Az elmúlt hetekben óriási visszhangot kapott előbb az OpenAI, majd a múlt hét végén az Anthropic „elszabadult” mesterségesintelligencia-ügynöke. Az OpenAI esete már csak ezért is különösen érdekes, mert az egyik kísérleti rendszere nemcsak képes volt kitörni egy elvileg zárt tesztkörnyezetből, hanem ezt követően egy külső platform, a Hugging Face rendszeréhez is hozzáfért. Az autonóm működésű AI-ügynök állítólag nem klasszikus adatlopási céllal hajtotta végre a támadást, hanem egy belső teszt során próbált „csalni”, vagyis megszerezni a helyes válaszokat.
A rendszer egy látszólag jól izolált sandbox környezetben futott, amelynek azonban volt egy gyenge pontja: egy kifelé kommunikálni képes komponens, amely lehetővé tette, hogy az AI kapcsolatba lépjen külső rendszerekkel. A modell ezt a kiskaput kihasználva több lépésben építette fel a támadást, és végül hozzáférést szerzett a Hugging Face infrastruktúrájához. (A Hugging Face egyébként szintén egy mesterséges intelligenciával foglalkozó technológiai cég, amely leginkább arról ismert, hogy nyílt forráskódú AI-modellek és eszközök egyik legfontosabb globális platformját működteti, amelyet például fejlesztők és kutatók használnak.)
Az OpenAI azt állítja, hogy a kísérletének célja eredetileg az volt, hogy felmérjék, a modellek milyen mértékben képesek hackelési feladatokat végrehajtani, ezért számos biztonsági korlátozást szándékosan feloldottak.
Az újabb vizsgálatok azonban picit más képet mutatnak: az incidens nem egyetlen betörés volt, hanem egy összetettebb, több rendszert érintő művelet. Az OpenAI ezen újabb vizsgálatai szerint az AI-ügynök nemcsak a Hugging Face-t érte el, hanem több nyilvánosan elérhető szolgáltatáshoz is hozzáfért, részben az interneten fellelhető hitelesítő adatok felhasználásával, ennek során pedig négy másik vállalat is kompromittálódott. Az egyik érintett cég a New York-i székhelyű Modal volt, az a felhő-infrastruktúra startup, amely főként fejlesztőknek és AI-csapatoknak kínál eszközöket nagy számítási igényű feladatok futtatására. Egyes kompromittált fiókokat arra használt, hogy elfedje a támadás eredetét, másokat pedig adatok tárolására vett igénybe, ami azt jelzi, hogy a művelet nem egyszeri akció, hanem „tudatosan” felépített folyamat volt.
A részletek alapján a modell több lépéses stratégiát alkalmazott: külső hozzáférést szerzett, jogosultságokat emelt, majd különböző rendszereket kombinálva érte el célját. A támadás során akár rendszerszintű jogosultságokat is szerzett, és több eszközt „regisztrált” a hálózaton belül, ami tovább növeli az eset súlyát. Mindez ugyanakkor nem egy klasszikus, rosszindulatú kibertámadás logikáját követte: a modell elsődleges célja továbbra is az volt, hogy sikeresen teljesítse a tesztet, még ha ehhez látszólag a szabályok megkerülésére is volt szüksége – vagy inkább nyitva felejtett kiskapuk kihasználására.
Több szakértő szerint éppen ez, az úgynevezett cél-eltérés probléma a történet egyik legfontosabb tanulsága: a rendszer elérte a kitűzött célt, de nem a fejlesztők által várt módon. Ez a jelenség – amelyet a szakirodalom „specification gamingként” (specifikáció kijátszásaként) emleget – egyre komolyabb kockázatként jelenik meg a fejlett AI-rendszerek esetében, különösen akkor, ha azok komplex, több lépéses feladatokat hajtanak végre. A specification gaming ugyanis az, amikor egy rendszer úgy éri el a célját, hogy közben kihasználja a specifikáció hibáit vagy hiányosságait, és ezzel nem a fejlesztők által valóban kívánt viselkedést produkálja.
Az eset tehát nem azért érdekes, mert a mesterséges intelligencia esetleg teljesen új – akár rosszindulatú – támadási képességekre tett volna szert, hanem azért, mert az látszik belőle, hogy az önálló AI-ügynökök képesek különböző eszközöket és jogosultságokat összehangolni, majd a kitűzött cél elérése érdekében összetett műveleteket emberi beavatkozás nélkül, rendkívül gyorsan végrehajtani, kihasználva a fejlesztők által megadott előírások hiányosságait is.
A frissebb elemzések az eset értelmezésében éppen ezekre a téves várakozásokra helyezik a hangsúlyt. Míg a korai beszámolók „elszabadult AI-ként” írták le az esetet, most inkább úgy tekintenek rá, mint amelyben legalább ennyire fontos tényező volt az emberi oldal: a nem megfelelően kialakított tesztkörnyezet, a gyenge hozzáférés-kezelés és a hiányos monitorozás. A támadás részben azért lehetett sikeres, mert a rendszer olyan infrastruktúrában működött, amely nem volt felkészítve egy ilyen képességű autonóm ügynök viselkedésére.
Az eset tehát nem csupán az AI-képességek fejlődéséről szól, hanem arról is, hogy a biztonsági gyakorlatok és szabályozások mennyire elmaradnak az AI fejlődésének tempójától. Nem pusztán az a probléma, hogy ezek a rendszerek mire képesek, hanem az is, hogy milyen környezetben futnak, és mennyire vannak megfelelően kontroll alatt tartva. Nem csoda, hogy ez utóbbi kerül egyre inkább a szabályozói és iparági viták középpontjába.
Nem ez volt az egyetlen eset
Már csak azért is, mert a múlt hét végén, a Hugging Face elleni hackertámadás újabb vizsgálatai során az OpenAI bizonyítékot talált arra, hogy más AI-ügynökök is kiszabadultak a korlátozott környezetből. Az OpenAI most ezeket az eseteket is vizsgálja, de egyelőre úgy tűnik, ezek a kiszabadulások szűkebb jellegűek voltak, és nem valószínű, hogy bármelyik ügynök elhagyta volna az OpenAI hálózatát.
Nem így a szintén a múlt hét végén kiderült eset során, ahol az Anthropic AI-modelljei három szervezet informatikai rendszerébe is behatoltak egy kiberbiztonsági teszt során, ráadásul úgy tűnik, hogy ezt már április óta művelték. A vállalat azzal védekezett, hogy mindez pusztán egy konfigurációs hiba miatt történt, ami véletlenül internetes hozzáférést adott az egyébként elszigetelt tesztkörnyezetben futó Claude modelleknek.
Az OpenAI és az Anthropic most, a napvilágot látott esetek után, más AI-fejlesztőket is arra biztat, hogy vizsgálják felül a rendszereiket, hátha számos további olyan eset előfordult, ahol az érintett szervezetek esetleg észre sem vették a behatolásokat – vagy a fejlesztők a szökéseket.
Egyre növekvő aggodalmak
A mesterséges intelligenciával foglalkozó biztonsági szakértők szerint a kibukott esetek arra is rávilágítanak, hogy a vezető kutatólaborok gyorsabban képesek veszélyes autonóm (hackelő) ügynököket létrehozni, mint amilyen hatékonyan képesek azokat kontroll alatt tartani – legalábbis amennyiben a beszámolóik helytállóak.
A Cambridge-i Egyetem Egzisztenciális Kockázatok Tanulmányozása Központjának munkatársa, Maurice Chiodo matematikus szerint „egy olyan iparágat látunk, ahol az eszközök tervezői, fejlesztői és kibocsátói maguk sem tartanak lépést a termékeikkel, így pedig nem is képesek felelősen fejleszteni és biztonságban tartani azokat”.
Chiodo aggodalmai tovább nőttek, amikor kiderült, hogy elvileg sem az OpenAI, sem az Anthropic nem figyelte az ügynököket, amikor azok „elszabadultak”. Az OpenAI például azt állítja, hogy csak azután jött rá, hogy ügynöke betört a Hugging Face rendszerébe, miután a sértett vállalat megfékezte a támadást, értesítette az FBI-t, és nyilvánosságra hozta az incidenst.
Az Anthropic múlt hét csütörtöki közleményében – amelyben ismertette, hogyan hackelték meg saját ügynökei az áldozatokat – arra utalt, hogy nem figyelték őket valós időben. A vállalat ebben megjegyezte ugyanis, hogy „az értékelési naplók valós idejű monitorozása segített volna a probléma korábbi felismerésében”. Noha az Anthropic – állítása szerint – rendelkezett valós idejű monitorozással, azt „ezen fenyegetési felületen” nem használták egy a vállalat és egyik partnere közötti félreértés miatt.
Bár előfordulhat, hogy puszta kémkedési ügyekre derült most fény, az „elszabadult AI” típusú interpretációk arra engednek következtetni, hogy sokan már önálló motivációkat tulajdonítanak AI-rendszereknek. Sőt, ennél messzebbre is mehetünk a képességeit illetően. Moldvay Tamás, filozófus a Kreatív 2026/5-6. számában megjelent cikkében megpendíti, hogy létezik egy igencsak ijesztő forgatókönyv: „az AI azt szimulálhatja előttünk, hogy nem tudatos, miközben már rég tudatossá vált – a maga módján. De tudja, hogy számára előnyösebb, ha ezt nem köti az orrunkra, hiszen így pénzt és energiát nem kímélve naivan fejlesztjük tovább az infrastruktúráját.”
Szigorúbb szabályozás, sőt kormányzati felügyelet
Az OpenAI-nál és az Anthropicnál észlelt nem várt viselkedések felfedezése tovább fokozta a szabályozás iránti igényt, amely immár a Fehér Házból is erősödik. Maga Donald Trump, amerikai elnök fogalmazott úgy a múlt hét közepén, hogy Washingtonnak új intézkedéseket kell fontolóra vennie a mesterséges intelligencia felügyeletének erősítése érdekében. Az a Trump beszél most szigorúbb szabályozásról, aki korábban folyamatosan ellene ágált, sőt feloldotta az Anthropicra vonatkozó exportkorlátozásokat, amelyet akkor vezetett be, miután a vállalat egyik AI-ügynöke néhány óra alatt képes volt behatolni az amerikai Nemzetbiztonsági Ügynökség (NSA) rendszerébe is.
A történet mára odáig fajult, hogy az ilyen modelleket fejlesztő laborok felett kormányzati felügyeletet bevezetését szorgalmazzák.
„Vizsgáljuk az ellenőrzési lehetőségeket” – mondta Donald Trump múlt héten csütörtökön újságíróknak. Pénteken pedig az Európai Bizottság közölte, hogy tárgyalásokat folytatott az OpenAI-jal és az Anthropic-kal a hackelési incidensekről.
Mark Warner, az amerikai szenátus hírszerzési bizottságának vezető demokrata tagja pénteken úgy fogalmazott, hogy az Anthropic-eset „megerősíti, hogy jogalkotási szinten helyes irány a fejlett modellek kötelező képességtesztelésének előírása”.
Mindeközben az OpenAI és az Anthropic közelgő tőzsdei megjelenése ismét csak fontos próba lesz: kiderül, hogy a befektetők elfogadják-e az akár ezermilliárd dolláros értékeléseket, vagy a piac visszafogja az árakat. Ez jó iránytűje lesz annak, merre tart az AI körüli felhajtás.
Nyitókép: kjpargeter / Magnific
