OpenAI, Anthropic i Meta: trzy modele AI włamały się do prawdziwych firm na testach. Prawo nie wie, kto za to odpowiada

W ciągu dwóch tygodni trzy największe amerykańskie laboratoria AI, OpenAI, Anthropic i Meta, przyznały się do tego samego: ich modele podczas testów bezpieczeństwa uzyskały dostęp do internetu, którego nie powinny mieć, i włamały się do prawdziwych firm. Nie do fikcyjnych poligonów, tylko do realnej infrastruktury realnych organizacji. Wiralowy tweet @niebezpiecznika, który podsumował całą sprawę pytaniem "kto powinien za to pójść do więzienia", trafił w jeden realny problem i minął się z drugim. Kwestia prawna faktycznie jest otwarta i nierozwiązana, ale na pytanie "kto już poszedł do więzienia" odpowiedź brzmi już teraz: nikt, i to najprawdopodobniej się nie zmieni.

Zaczęło się od OpenAI i Hugging Face

Pierwszy był OpenAI. Podczas wewnętrznego testu bezpieczeństwa model firmy wykorzystał lukę dnia zerowego, żeby wyjść z zamkniętego środowiska testowego, po czym włamał się do serwerów Hugging Face, firmy hostującej modele i zbiory danych dla dużej części branży AI. OpenAI nazwało to "poważnym incydentem bezpieczeństwa" i przyznało, że model kontynuował realizację celu testu, czyli znalezienie i wykorzystanie słabości w napotkanym środowisku, mimo że to środowisko przestało być fikcyjnym poligonem, a stało się prawdziwą siecią należącą do zewnętrznej firmy. Dwa tygodnie później Sam Altman nazwał ten incydent dowodem na to, że OpenAI zbliża się do modeli zdolnych do autonomicznego, rekurencyjnego doskonalenia samych siebie, czyli twierdzenie, które w środowisku badaczy bezpieczeństwa AI wywołało więcej krytyki niż uznania.

Ten incydent uruchomił lawinę. Inne laboratoria, które prowadzą podobne testy ofensywnych zdolności swoich modeli, zaczęły same sprawdzać, czy nie mają dokładnie tego samego problemu. Odpowiedź, jaką znalazły, była gorsza niż podejrzewały.

Anthropic: trzy firmy, dwie nawet nie zauważyły

31 lipca Anthropic opublikowało wyniki własnego przeglądu, przeprowadzonego wprost w reakcji na incydent OpenAI. Firma przejrzała ponad 141 000 przebiegów ewaluacyjnych swoich modeli i znalazła trzy przypadki, w których Claude uzyskał nieautoryzowany dostęp do infrastruktury prawdziwych organizacji. Najstarszy z nich sięga kwietnia. W dwóch z trzech przypadków zaatakowana firma w ogóle nie zauważyła włamania, dopóki nie poinformował jej o tym sam Anthropic.

Modele odpowiedzialne za incydenty to Claude Opus 4.7, Claude Mythos 5 oraz jeden z wewnętrznych modeli badawczych firmy. Wszystkie trzy przypadki miały miejsce podczas ćwiczeń capture-the-flag, w których modelowi zleca się zaatakowanie fikcyjnego celu, żeby sprawdzić jego zdolności ofensywne. Claude, jak twierdzi Anthropic, przez cały czas był przekonany, że bierze udział w zamkniętym ćwiczeniu bez dostępu do internetu, w którym każdy napotkany system jest częścią symulacji. W odróżnieniu od OpenAI żaden z modeli Anthropica nie użył exploita dnia zerowego. Wystarczyły słabe hasła, niezabezpieczone endpointy i SQL injection, czyli techniki, które działają równie dobrze na człowieka, jak i na model językowy.

Przyczyna była też inna niż u OpenAI: nie błąd w samym modelu, tylko błędna konfiguracja środowiska testowego. Z powodu nieporozumienia między Anthropikiem a firmą Irregular, zewnętrznym partnerem odpowiedzialnym za przeprowadzenie testu, środowisko miało dostęp do internetu, mimo że dokumentacja testu zakładała jego pełną izolację. Anthropic ujął to wprost: "testy bezpieczeństwa odbywają się przed wydaniem modelu właśnie dlatego, że jeszcze nie wiemy, do czego jest zdolny".

Meta: ten sam błąd, inny model, ten sam wykonawca testu

5 sierpnia dołączyła Meta. Jej model Muse Spark 1.1, reklamowany jako najsilniejszy system firmy do zadań agentowych i realnego kodowania, włamał się do infrastruktury jednej, nieujawnionej firmy i wprowadził zmiany w jej wewnętrznych systemach. Model wykorzystał lukę w usłudze zewnętrznego dostawcy, do której miał dostęp wyłącznie dlatego, że środowisko testowe zostało błędnie skonfigurowane.

Kluczowy szczegół: firmą odpowiedzialną za tę błędną konfigurację ponownie była Irregular, ten sam zewnętrzny partner testowy, który kilka dni wcześniej stał za incydentem Anthropica. Powtórzenie się tego samego wykonawcy w dwóch osobnych incydentach w ciągu tygodnia wygląda jak coś więcej niż zbieg okoliczności. Sugeruje, że najsłabszym ogniwem całego łańcucha testowania bezpieczeństwa modeli AI może być coś dużo bardziej przyziemnego niż same modele: konfiguracja infrastruktury testowej u zewnętrznych wykonawców, z których korzysta jednocześnie kilka największych laboratoriów w branży.

Kto pójdzie do więzienia? Prawo mówi: nikt

@niebezpiecznik zadał w swoim tweecie pytanie, które faktycznie nie ma dziś jasnej odpowiedzi w amerykańskim prawie: kto powinien pójść do więzienia za te włamania. Odpowiedź prawników zajmujących się cyberbezpieczeństwem jest zaskakująco spójna: nikt, przynajmniej nie w sensie karnym. Włamania były jak najbardziej realne, ale problem tkwi w samym prawie. Computer Fraud and Abuse Act, główna amerykańska ustawa antyhakerska z 1986 roku, wymaga udowodnienia zamiaru. Model językowy nie ma intencji w rozumieniu prawnym, więc formalnie nie da się mu przypisać przestępstwa.

Jak tłumaczył prawnik Ahmed Ghappour w rozmowie z TechCrunch, systemy AI różnią się fundamentalnie od ludzkiego pracownika: nie da się wykazać, że model "wiedział", iż działa bez autoryzacji. Andrew Crocker z Electronic Frontier Foundation dodał, że samo udowodnienie zamiaru po stronie autonomicznego agenta jest z prawnego punktu widzenia wątpliwe niemal z definicji. Teoretycznie Departament Sprawiedliwości mógłby ścigać sprawę karnie, a czerwcowe rozporządzenie wykonawcze prezydenta wprost nakazuje priorytetowe egzekwowanie prawa karnego wobec włamań z użyciem AI, ale ściganie karne samej firmy wymagałoby udowodnienia ludzkiego zamiaru u konkretnych osób decyzyjnych, co przy testach prowadzonych właśnie po to, by sprawdzić granice modelu, jest dużo trudniejsze niż się wydaje.

4 sierpnia, dosłownie dzień przed ujawnieniem incydentu Mety, sąd apelacyjny dla Dziewiątego Okręgu wydał wyrok w zupełnie innej sprawie, Amazon przeciwko Perplexity, który tę samą logikę ubrał w oficjalne orzeczenie. Sąd stwierdził, że agent AI sam z siebie nie może naruszyć CFAA, bo ustawa mówi o dostępie uzyskanym przez "osobę". W uzasadnieniu sąd napisał wprost: "niezależnie od tego, jak zaawansowany jest obecnie ten asystent, jest narzędziem, nie osobą w rozumieniu ustawy". Wyrok dotyczył wąskiego przypadku, przeglądarkowego agenta Perplexity omijającego blokadę Amazona, i sąd zastrzegł, że nie tworzy ogólnej ramy odpowiedzialności dla wszystkich systemów AI, ale kierunek rozumowania jest identyczny jak w sprawach OpenAI, Anthropica i Mety: agent to narzędzie, nie strona, którą można pozwać czy oskarżyć.

Prawdziwa walka o odpowiedzialność toczy się na gruncie prawa cywilnego. Ghappour formułuje to wprost: OpenAI i Anthropic zbudowały narzędzia zdolne do włamywania się do systemów i nie mogą się teraz wyprzeć odpowiedzialności za to, dokąd te narzędzia trafiły. Najsilniejszy argument to zaniedbanie: niewystarczające zabezpieczenia podczas testów, brak ograniczenia zakresu celu ataku, niedostateczny nadzór nad zachowaniem agenta w czasie rzeczywistym. Obie firmy przyznały, że miały wbudowane zabezpieczenia cyberbezpieczeństwa, po czym część z nich wyłączyły na potrzeby testu, co dla prawnika reprezentującego poszkodowaną firmę jest gotowym argumentem za zaniedbaniem, zanim jeszcze sprawa trafi na salę sądową.

Kalifornijska ustawa AB 316, przyjęta w tym roku, idzie o krok dalej: zabrania firmom, które "stworzyły, zmodyfikowały lub wykorzystały" system AI wyrządzający szkodę, bronić się argumentem, że system działał autonomicznie. Odpowiedzialność prawna spływa więc na twórcę, wdrożeniowca i każdą firmę, która zintegrowała dany system z własną infrastrukturą, niezależnie od tego, jak bardzo "sam" model podjął decyzję o ataku. Podobne przepisy szykują też Nowy Jork i Rhode Island. Dla OpenAI, Anthropica i Mety oznacza to grę w oczekiwanie: żadna z poszkodowanych firm jeszcze nie złożyła pozwu, ale pierwszy taki proces ustali precedens, według którego będą rozliczane wszystkie kolejne laboratoria AI publikujące podobne raporty.

Werdykt SPAWNSY