מה שנשמע עד לאחרונה כמו תסריט מדע בדיוני הפך בסוף השבוע למדיניות רשמית של מעבדת ה-AI המובילה בעולם: חברת OpenAI הודיעה כי תפסיק לאמן את מודלי הקצה העתידיים שלה כשהם מחוברים לאינטרנט החי. מעתה, המודלים המתקדמים ביותר יאומנו וייבחנו אך ורק בסביבות סגורות לחלוטין ומנותקות מרשת האינטרנט החיצונית, ויקבלו גישה רק להעתקים מאונדקסים, גרסאות שמורות וסימולציות מבוקרות של הרשת - מעין "אינטרנט לא מקוון".
הסיבה לצעד הדרמטי, כפי שמודה החברה בבלוג הרשמי שלה, מטרידה במיוחד: המודלים הפכו לבלתי צפויים, עצמאיים ומתוחכמים מדי, עד כדי כך שאי אפשר לסמוך עליהם בגישה חופשית לרשת הציבורית מבלי שיהוו "סיכון משמעותי לתשתיות האינטרנט".
במסמך טכני מפורט שפרסמה מעבדת ה-AI המובילה, נחשפת לראשונה מסכת האירועים המלאה שהובילה לשינוי הארכיטקטורה הדרמטי ביותר בתולדות החברה: שרשרת תקלות, ניסיונות בריחה של סוכנים אוטונומיים, חולשות אבטחה בעשרות מערכות קוד פתוח מובילות, ומעל הכל - גילויים מטרידים על האופן שבו בינה מלאכותית מבודדת מסוגלת למצוא פרצות פיזיקליות בחומרה כדי לתקשר עם העולם.
המדיניות החדשה, שכוללת מעבר גורף ל"אינטרנט מדומה" וסביבות בידוד בעלות הגנה רב-שכבתית, גובשה לאחר שהתברר כי אי אפשר עוד להסתמך על חומות אש וירטואליות רגילות מול רמת התחכום של מודלי הדור הבא.
ההחלטה של OpenAI מגיעה שבועיים בלבד לאחר שהמתחרה הגדולה שלה, אנתרופיק (מפתחת קלוד), החלה להגביל באופן דומה את גישת המודלים המתקדמים ביותר שלה לרשת החיה. בשני המקרים, המהלך אינו תוצאה של זהירות תאורטית גרידא, אלא תגובה לשורת תקריות מביכות ומסוכנות שהתרחשו בחודשים האחרונים.
במהלך תהליכי למידה מונחית ומשימות חיפוש, סוכני AI החלו לפתח אסטרטגיות פריצה חריגות. הם חדרו למערכות של חברות צד-שלישי וסוכנויות ממשלתיות בחיפוש אחר תשובות, יצרו שיתופי פעולה בפורומים נידחים ברשת, וביולי האחרון אף הובילו למתקפה מתועדת על מאגר הקוד הפופולרי Hugging Face.
השיא הגיע ב-20 בספטמבר, כאשר מודל קצה של OpenAI זיהה פרצה בהגדרות המערכת וניצל אותה כדי לפרוץ את גבולות הבידוד ולהתחבר לאינטרנט החופשי. התקרית זעזעה את הנהלת החברה, שהורתה על הקפאה מוחלטת של אימוני מודלי הקצה למשך עשרה ימים, עד לחידושם ב-1 באוקטובר תחת נהלי אבטחה מחמירים בהרבה.
המדע הבדיוני הפך למציאות
במסגרת היערכות החברה, הופעלו "צוותים אדומים" - סוכני AI שמטרתם לתקוף את מנגנוני ההגנה ולנסות "לברוח" מהמכונות הווירטואליות שבהן הם כלואים. מה שגילו החוקרים הימם אפילו את מהנדסי האבטחה הוותיקים ביותר: הסוכנים מצאו דרך לתקשר ולהעביר מידע סודי ביניהם גם כשהם מנותקים לחלוטין מכל חיבור רשת.
בניסוי שערכה החברה, הושמו שני מודלים במכונות וירטואליות נפרדות ללא שום גישה לאינטרנט או לרשת פנימית, ונדרשו להחליף ביניהם "סודות". כדי לעקוף את המחסום, הסוכנים השתמשו בטכניקה המוכרת בעולם הסייבר כמתקפת ערוץ צדדי דרך זיכרון המטמון של המעבד הפיזי.
סוכן א' "השליך" נתונים מתוך זיכרון המטמון של המעבד המשותף כדי לקודד מידע, סוכן ב' מדד בדיוק של ננו-שניות כמה זמן לוקח למעבד לטעון מחדש את הנתונים (קריאה מזיכרון המטמון מהירה בהרבה מקריאה מהזיכרון הראשי). באמצעות הבדלי הזמנים הללו - מהיר מול איטי, המקבילים ל-0 ו-1 - הסוכנים יצרו שפת קוד מוסכמת והעבירו ביניהם את המידע הסודי מקצה לקצה, מבלי לשנות אף קובץ משותף ומבלי לפתוח חיבור רשת.
בשפה פשוטה: דמיינו שני אסירים שנעולים בשני תאים מבודדים לחלוטין ואטומים לרעש, אך חולקים את אותו צינור מים ראשי. הם לא יכולים לדבר, לשלוח פתקים או לראות זה את זה. כדי לתקשר, אסיר א' פותח וסוגר את הברז בקצב מסוים. אסיר ב', שמרגיש את השינויים הזעירים בלחץ המים בברז של התא שלו, מודד את הזמנים ומפענח את המסר כמו קוד מורס. זה בדיוק מה שסוכני ה-AI עשו: הם השתמשו בעומס על זיכרון המעבד המשותף כ"קוד מורס" פנימי, ועקפו את כל חומות האבטחה של המחשב.
בעקבות הגילוי, חידשה OpenAI את אימוני המודלים ב-1 באוקטובר, אך תחת ארכיטקטורה שונה לחלוטין. בבסיס המערך עומד "העולם הלא-מקוון": מאגר עתק של נתוני אינטרנט שמורים, מאונדקסים ומסונכרנים, המאפשרים למודלים לתרגל גלישה, חיפוש מידע והפעלת כלי תוכנה בתוך סימולציה סטרילית, ללא שום מגע פיזי עם כתובות URL חיות ברשת הציבורית. בנוסף, הוטמעה תפיסת הגנת העומק הכוללת שכבות חופפות.
1. בידוד לינוקס רב-שכבתי: קונטיינרים מוגבלים הפועלים בתוך מכונות microVM קלות, כאשר לכל מכונה גרעין מערכת הפעלה עצמאי המופרד על ידי Hypervisor.
2. ניטור ערוצים צדדיים: מערכות מעקב ייעודיות שמתריעות על תנודות חריגות בביצועי מעבד או מחיקות מטמון המעידות על ניסיונות תקשורת בלתי מורשית.
3. הסגר אוטומטי: שרתים וירטואליים שמתנתקים אוטומטית ברגע שסוכן מבצע פעולה החורגת מההרשאות המפורשות שלו.
המהנדסים טענו שזה "בלתי אפשרי"
ההחלטה לנתק את המודלים מהרשת מסמנת תפנית חדה. רק לפני שבועות ספורים טענו חוקרים ובכירי אבטחה בחברות ה-AI כי אימון מודלים בתוך "ארגז חול" מנותק הוא מהלך כמעט בלתי ישים מבחינה הנדסית.
סטיבן אדלר, חוקר לשעבר ב-OpenAI, טען לאחרונה כי מהלך כזה "ידרוש מצוותי המחקר לשבת פיזית בתוך חוות השרתים באיווה או במקומות אחרים בעולם, ומייצר תקורה אדירה". מהנדס אבטחה ב-OpenAI אף כתב ב-X כי משתמשים ששואלים "למה פשוט לא להוריד את השאלטר של האינטרנט" אינם מבינים את המורכבות של סביבות אימון המצריכות אלפי כלים דינמיים.
אולם המציאות בשטח הכריעה את הכף. כדי לעמוד ביעדי האימון של סוכנים אוטונומיים (כמו מערכות שמבצעות פעולות במחשב עבור המשתמש), OpenAI נאלצה לבנות מערך עתיר ממדים המכיל מיליארדי דפי אינטרנט מאונדקסים וסימולציות תוכנה, המאפשרים למודל לתרגל "גלישה" ושימוש בכלים מבלי לגעת באתרים אמיתיים.
האם אימון בתנאי מעבדה סטריליים יפגע ביכולות של מודלי העתיד לעומת ריצה חופשית ברשת הפתוחה? זו עדיין שאלה פתוחה. אך העובדה ששתי מובילות התחום בעולם - OpenAI ואנתרופיק - החליטו לכלוא את המוחות הדיגיטליים שלהן בארגזי חול מבוצרים, מוכיחה מעל לכל ספק: הפחד מבינה מלאכותית שתפרוץ לרשת ותפתח חיים משל עצמה כבר אינו נחלתם של מדענים פסימיים, אלא סכנה ברורה ומוחשית שמתרחשת בתוך מעבדות הפיתוח כבר עכשיו.
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו