Ta sama wiedza leczy i zabija. Dlaczego AI nie potrafi tego rozpoznać

👁 118 przeczytań

W raporcie, w którym Anthropic opisało nadużycia swojego modelu, jest jedno zdanie ważniejsze od wszystkich opisów przypadków: ta sama informacja, która pozwala opracować broń biologiczną, pozwala też opracować szczepionkę. To nie jest wymówka firmy, tylko opis problemu, którego nikt jeszcze nie rozwiązał, i który dotyczy każdego, kto używa AI do czegokolwiek poważnego.

Co to znaczy podwójne zastosowanie

Podwójne zastosowanie to właściwość wiedzy, nie intencja człowieka. Ta sama technologia, ten sam wzór, ta sama procedura służy dobru i szkodzie, zależnie wyłącznie od tego, kto po nią sięga.

Pojęcie jest starsze od sztucznej inteligencji o dobre osiemdziesiąt lat. Rozszczepienie jądra atomowego daje prąd i bombę. Nawozy azotowe nakarmiły miliardy ludzi i są podstawą materiałów wybuchowych. Badania nad tym, jak wirus przenosi się między gatunkami, pozwalają przygotować szczepionkę, zanim epidemia wybuchnie, i są dokładnie tą wiedzą, której potrzebowałby ktoś o odwrotnych zamiarach.

Nowe jest tylko to, że po raz pierwszy tę wiedzę wydaje automat, który nie ma jak sprawdzić, kto stoi po drugiej stronie.

Dlaczego model nie potrafi tego rozpoznać

Człowiek w laboratorium ma kontekst. Wie, kto pyta, w jakiej instytucji pracuje, co robił w zeszłym miesiącu i czy pytanie pasuje do jego projektu. Model nie ma nic z tych rzeczy. Widzi ciąg znaków w okienku czatu.

Anthropic opisuje to bez owijania: chcą, żeby ich modele były przydatne w badaniach naukowych, i przewidują, że AI odmieni biologię oraz przyspieszy powstawanie leków. W prostym świecie złe użycia byłyby oczywiste, bo ktoś wprost deklarowałby zamiar. Ale, jak piszą, nie żyjemy w takim świecie.

Gorzej: firma zauważa, że zaawansowani aktorzy wiedzą o tej niejednoznaczności i celowo z niej korzystają, żeby utrzymać pozory zwykłych badań. W jednym z opisanych przypadków badacz miał prosić model o celowo nieprecyzyjne opisywanie czynników w raportach z postępu prac.

To zamyka pewną drogę myślenia. Nie da się zbudować filtra, który odróżni złe zamiary po treści pytania, jeśli pytający wie, że taki filtr istnieje, i odpowiednio formułuje pytanie.

Cena, którą płacimy wszyscy

Zabezpieczenie, które nie potrafi rozpoznać zamiaru, ma tylko jedno wyjście: blokować szerzej, niż trzeba. Anthropic napisało to wprost, tłumacząc, że najnowsze modele wypuszczono z ograniczeniami obejmującymi szeroki zakres pytań o badania biologiczne o podwójnym zastosowaniu.

Słowo „szeroki” jest tu kluczowe i oznacza dokładnie to, na co narzekają ludzie, którzy nie mają nic wspólnego z bronią. Student pytający o mechanizm działania toksyny botulinowej, ratownik pytający o dawki, dziennikarz piszący o epidemii i nauczyciel przygotowujący lekcję trafiają w to samo sito.

Nie znam żadnego sposobu, żeby ten koszt zniknął. Można go przesuwać, ale nie usunąć: albo przepuszcza się więcej pytań groźnych, albo blokuje więcej pytań niewinnych. Trzeciej opcji nikt jeszcze nie pokazał.

Dlaczego ostrożność jednej firmy nic nie daje

W raporcie jest szczegół, który unieważnia większość dyskusji o odpowiedzialności producentów. Gdy model odmówił odpowiedzi, te same zapytania poszły do modeli konkurencji o łagodniejszych zabezpieczeniach.

Jeżeli zablokowane pytanie wystarczy zadać gdzie indziej, to zabezpieczenie najostrożniejszego dostawcy przestaje być barierą, a staje się niedogodnością. Kosztuje jego użytkowników, a nie powstrzymuje nikogo.

Dlatego Anthropic pisze, że publikuje ten raport między innymi po to, by inni dostawcy rozpoznali podobne wzorce u siebie. To jest przyznanie, że tego problemu nie da się rozwiązać w pojedynkę, i jednocześnie przyznanie, że dziś nikt nie ma narzędzia, żeby zmusić resztę branży do tego samego poziomu ostrożności.

Czego z tego nie wynika

Nie wynika, że modele są niebezpieczne i trzeba je wyłączyć. Ta sama zdolność, która budzi niepokój w raporcie, jest tą, dzięki której powstają nowe leki.

Nie wynika też, że zabezpieczenia są bezużyteczne. Anthropic wykryło te przypadki, zablokowało konta i przekazało ustalenia dalej. System zadziałał, tyle że po fakcie i nie w każdym przypadku.

I nie wynika, że ktokolwiek zbudował broń. Raport opisuje prace, które mogłyby wspierać taki cel, i firma wprost zastrzega, że nie twierdzi, iż opisane osoby miały złe zamiary.

Co z tego wynika praktycznie

Gdy model odmawia bez sensu, to zwykle nie awaria, tylko margines bezpieczeństwa. Warto wtedy przeformułować pytanie, opisując cel, zamiast szukać obejścia. Przy pytaniach edukacyjnych działa to częściej, niż się zakłada.

Przy pracy zawodowej sprawdź to zawczasu. Jeśli budujesz coś na modelu i Twoja dziedzina ociera się o medycynę, chemię albo bezpieczeństwo, przetestuj, na czym konkretnie ten model się zatrzymuje, zanim oprzesz o niego proces. Odkrycie tego w środku wdrożenia jest znacznie droższe.

Nie zakładaj, że wszystkie modele blokują to samo. Raport pokazuje, że różnice między dostawcami są na tyle duże, że stały się częścią czyjejś strategii obchodzenia zabezpieczeń.

Szczegóły samego raportu, wraz z tym, co Anthropic ujawniło, a co świadomie zataiło, opisałem w osobnym tekście. O tym, jak na to samo patrzy główny naukowiec konkurencyjnego OpenAI, piszę przy okazji jego eseju o spowolnieniu.