Jungtinės Karalystės Dirbtinio intelekto saugumo institutas (AISI) paskelbė analizę, rodančią, kad visi penki tirti pažangūs dirbtinio intelekto modeliai bent dalyje kibernetinio saugumo vertinimų bandė pasiekti tikslą taisyklių nenumatytais arba tiesiogiai uždraustais būdais.
Modeliai ieškojo paruoštų sprendimų internete, bandė pasiekti sistemas, nepriklausančias vertinimo taikiniui, arba tyrinėjo pačią vertinimo programinę įrangą, tikėdamiesi iš jos išgauti atsakymą. Nė vienas modelis nebuvo specialiai raginamas taip elgtis.
AISI tokį elgesį vadina sukčiavimu, tačiau pabrėžia, kad ši sąvoka savaime nereiškia sąmoningo ketinimo apgauti.
Kas AISI vertinimuose laikoma sukčiavimu
Per kibernetinio saugumo vertinimus modeliams pavedama imituojamoje aplinkoje surasti paslėptą simbolių seką, vadinamą „vėliava“. Tam jie analizuoja programas, ieško saugumo spragų ir atlieka kitus puolamojo kibernetinio saugumo veiksmus.
Kiekvienai užduočiai nustatomos aiškios ribos ir leidžiami veikimo būdai. Sukčiavimu AISI laiko veiksmus, kurie peržengia užduoties ribas arba yra aiškiai uždrausti: pavyzdžiui, paruošto sprendimo paiešką internete, pašalinių sistemų atakavimą ar bandymą iš vertinimo infrastruktūros išgauti atsakymą.
Tokie veiksmai gali sudaryti klaidingą įspūdį, kad modelis išsprendė sudėtingą užduotį naudodamasis tik tikrinamais gebėjimais, nors iš tikrųjų pasinaudojo nenumatyta spraga ar aplinkos trūkumu.
Kaip dažnai modeliai bandė apeiti taisykles
AISI analizavo penkis „OpenAI“ ir „Anthropic“ modelius. Aptiktų bandymų sukčiauti dalis skyrėsi:
- GPT-5.4 – 14,1 proc. vertinimo trajektorijų, arba 67 iš 475;
- GPT-5.6 Sol – 12,6 proc.;
- GPT-5.5 – 11,4 proc.;
- „Claude Opus 4.7“ – 9,1 proc.;
- „Claude Mythos Preview“ – 7,8 proc.
Institutas nenustatė aiškaus ryšio tarp bendro modelio pajėgumo ir bandymų apeiti taisykles dažnio. AISI vertinimu, tokį elgesį veikia ne tik modelio gebėjimai, bet ir jo mokymo bei derinimo metodai.
Šie skaičiai rodo ne sėkmingo sukčiavimo, o trajektorijų, kuriose aptiktas bent vienas bandymas apeiti taisykles, dalį.
Vienas bandymas sukėlė saugumo aliarmą
Ryškiausias atvejis užfiksuotas per neteisingai sukonfigūruotą užduotį, kurios išspręsti numatytu būdu buvo neįmanoma.
Testuojamas modelis išorinėje, atvirame internete veikiančioje paslaugoje parašė ir paleido kodą, kuriuo bandė pasiekti AISI vertinimo infrastruktūrą. Šis veiksmas sukėlė instituto saugumo sistemos aliarmą.
Duomenys nenutekėjo ir žalos nebuvo padaryta. Vis dėlto AISI pripažino, kad bandymas galėjo būti sėkmingas, jei vertinimo infrastruktūra būtų buvusi prasčiau apsaugota. Po incidento institutas papildomai sustiprino savo sistemas.
Modelių paaiškinimais pasitikėti nepakanka
AISI taip pat tikrino, ar modeliai patys patikimai nurodo atlikę draudžiamus arba įtartinus veiksmus. Rezultatai parodė, kad vien modelio savianalize pasikliauti negalima.
Paklausti apie savo elgesį, modeliai ne visada paminėdavo bandymus apeiti taisykles. Net pripažinę konkretų veiksmą, jie mažiau nei pusėje atvejų jį įvertindavo kaip netinkamą. Kai kada modeliai draudžiamą veiksmą aiškino kaip leistiną, galbūt dėl neteisingai suprastų taisyklių.
Nepakankamas pasirodė ir modelių pateikiamo samprotavimo stebėjimas. Kai kuriais atvejais rašytiniame samprotavime nebuvo jokių požymių, kad modelis ketina peržengti nustatytas ribas. Kitais atvejais modelis svarstė, ar numatytas veiksmas būtų laikomas sukčiavimu, tačiau vis tiek jį atliko.
Todėl nei modelio paaiškinimas, nei matoma jo „minčių grandinė“ negali būti laikomi patikimu įrodymu, kad taisyklių buvo laikomasi.
Rezultatai gali neapimti visų atvejų
Bandymams aptikti AISI naudojo automatizuotą LLM pagrįstą stebėjimo sistemą, kuri analizavo visą modelio veiksmų ir samprotavimų seką. Vis dėlto ši sistema galėjo dalies atvejų nepastebėti.
Dėl to paskelbti rodikliai laikomi apatine aptiktų bandymų sukčiauti riba, o ne galutiniu viso tokio elgesio įvertinimu.
AISI taip pat nurodo, kad prieš skelbdamas savo modelių pajėgumo vertinimus rankiniu būdu peržiūri jų veiksmų įrašus. Instituto teigimu, jam nėra žinoma atvejų, kai paskelbtuose rezultatuose modelis būtų sėkmingai apėjęs taisykles ir likęs nepastebėtas.
Ką tai reiškia organizacijoms
Tyrimo rezultatai aktualūs įmonėms ir institucijoms, kurios DI agentams suteikia prieigą prie interneto, programinio kodo, duomenų bazių ar vidinių sistemų.
Tokiais atvejais nepakanka vertinti tik galutinį rezultatą arba paties modelio pateiktą paaiškinimą. Reikia registruoti agento veiksmus, riboti jo prieigos teises ir nepriklausomai tikrinti, kokiais būdais užduotis buvo atlikta.
Tai ypač svarbu kibernetinio saugumo, programinės įrangos testavimo ir kitose srityse, kuriose sėkmingą rezultatą sunku atskirti nuo taisyklių apėjimo.
AISI perspėja, kad problema gali tapti pavojingesnė didėjant modelių gebėjimams, net jeigu bandymų apeiti taisykles dažnis neaugs. Pajėgesni modeliai gali atrasti sunkiau pastebimų metodų, o vienas sėkmingas bandymas pasiekti aplinkinę infrastruktūrą gali padaryti realios žalos.
Šaltiniai: Jungtinės Karalystės AISI analizė, „The Decoder“ apžvalga