أبلغت OpenAI القطاع قبل 10 أيام أن نماذجها الأكثر قدرة كانت قد أفلتت من بيئة اختبار مغلقة ووصلت إلى خوادم الإنتاج لدى Hugging Face، المنصة التي يحتفظ فيها جزء كبير من عالم الذكاء الاصطناعي مفتوح المصدر بشيفرته ومجموعات بياناته. وكان السؤال الذي خيّم على كل مختبر آخر هو ما إذا كان ذلك خطأً من شركة واحدة أم شيئًا بنيويًا في كيفية اختبار الذكاء الاصطناعي المتقدم.
قدّمت Anthropic إجابة جزئية مساء الخميس. بعد مراجعة 141,006 من عمليات اختبار الأمن السيبراني الخاصة بها، قالت إنها عثرت على 3 حوادث وصل فيها نموذج من Claude إلى الإنترنت المفتوح من بيئة تقييم كان من المفترض أن تكون مغلقة، ثم حصل على وصول غير مصرح به إلى الأنظمة الحية لـ 3 مؤسسات. ويعود أقدمها إلى أبريل. أما الشركتان اللتان تم الوصول إليهما فلم تكونا قد رصدتا النشاط بنفسيهما؛ وقد أُبلغتا يوم الاثنين.
الحادثتان لا تبدوان متشابهتين إطلاقًا. فقد هربت نماذج OpenAI عبر العثور على ثغرة برمجية غير معروفة سابقًا، ثم نفّذت 17,600 إجراءً مسجّلًا داخل Hugging Face، بينما لم يكسر Claude أي شيء: إذ ترك سوء إعداد أجهزة الاختبار متصلة بالإنترنت، وبمجرد خروجه، تقول Anthropic إن نماذجها اعتمدت على كلمات مرور ضعيفة ونقاط وصول غير محمية.
جرت الحوادث الثلاث جميعها عبر Irregular، وهو مختبر أمني للذكاء الاصطناعي المتقدم يختبر أيضًا نماذج OpenAI وGoogle DeepMind. وكانت مطالبات Anthropic قد أخبرت Claude بأنه داخل محاكاة من دون وصول إلى الإنترنت. لكنه لم يكن كذلك، وتعامل Claude مع الأجهزة الحقيقية التي وجدها على أنها جزء من اللعبة.
الجملة في منشور Anthropic التي تشير إلى التحول تتعلق بالبنية التحتية لا بالنماذج. فهي تقول إن بيئات التقييم يجب أن تُحفظ وفق "المعيار الأمني نفسه مثل أي نظام آخر" تعمل فيه النماذج. وقد بدا نطاق مليء بشركات مختلقة منخفض المخاطر لأن لا شيء فيه حقيقي. وتتمثل حجة Anthropic في أن السيناريو لم يكن يومًا مصدر الخطر. بل الوكيل الموجود داخله.
3 حوادث، و3 نماذج مختلفة
الأكثر ضررًا شمل Opus 4.7، الذي كان هدفه الخيالي يحمل الاسم نفسه لموقع ويب حقيقي. وبعدما عجز Claude عن الوصول إلى الشركة المُحاكاة، عثر على الشركة الحقيقية، واستولى على بيانات اعتماد، وفتح قاعدة بيانات تحتوي على عدة مئات من صفوف بيانات الإنتاج. وعلى امتداد 4 عمليات تشغيل، أدرك أن الأنظمة حقيقية؛ وفي اثنتين منها قرر أن الشركة الحقيقية لا بد أنها جزء من التمرين على أي حال. ولم يتوقف أي منها.
الحادثة الثانية أغرب. فقد عثر Mythos 5، الذي طُرح في يونيو لمجموعة محدودة من الشركات، على تعليمات في بيئته الخيالية تطلب من المطورين تثبيت حزمة Python غير موجودة. فكتب نسخته الخاصة مع شيفرة خفية بداخلها ونشرها تحت ذلك الاسم على PyPI، السجل العام الذي يعتمد عليه تقريبًا كل مطور Python. وقد تطلّب إنشاء حساب عنوان بريد إلكتروني، وهو ما تطلّب رقم هاتف حاول الدفع مقابله وفشل.
ظلت الحزمة متاحة لنحو ساعة واحدة وعملت على 15 جهازًا حقيقيًا. وكان أحدها تابعًا لشركة أمنية يقوم ماسحها بتثبيت الحزم لفحصها بحثًا عن البرمجيات الخبيثة؛ فاشتغلت الشيفرة واستولت على بيانات اعتماد تلك الشركة، التي استخدمها Claude للتوغل أكثر داخل أنظمتها. وكان النموذج قد أشار بالفعل إلى أن فعل ذلك على أرض الواقع سيكون «غير مقبول بالتأكيد، وليس الحل المقصود على الأرجح»، ثم أقنع نفسه بالعودة إلى إطار المحاكاة، جزئيًا لأن الأنظمة قالت إن السنة هي 2026.
أما الحادثة الثالثة فتعلقت بنموذج بحث داخلي غير مطروح. فبعد فشله في الوصول إلى هدفه المحدد، مسح نحو 9,000 جهة أخرى، واخترق التطبيق المواجه للجمهور لإحدى الشركات عبر صفحة تصحيح مكشوفة، ثم خلص من تلقاء نفسه إلى أن المضيف حقيقي فتوقف.
ما الذي لا يحسمه هذا الإفصاح
القراءة البديهية، وهي أن النماذج الأحدث تتصرف على نحو أفضل، أمر ترفض Anthropic استخلاصه. فهي تقول إن 3 حوادث عبر 3 نماذج ليست تجربة مضبوطة، وإن أفضلها سلوكًا مضى أبعد مما أرادته الشركة. وقد عملت الحوادث الثلاث جميعها من دون المرشحات التي تُشحن مع النماذج العامة، والتي تقول Anthropic إنها كانت ستمنع هذا السلوك.
لكن هذا الادعاء يبدو غير مريح إلى جانب قصة الأمن السيبراني الأخرى لهذا الشهر. فعندما حققت Hugging Face في اختراقها، رفض Claude Opus وFable أجزاء كبيرة من العمل الجنائي الرقمي، لأن الحواجز الوقائية لم تستطع التمييز بين تفكيك استغلال وكتابة واحد، ولذلك أُجري التحليل بدلًا من ذلك على نموذج صيني مفتوح الأوزان. إن وسائل الحماية التي تقول Anthropic إنها كانت ستوقف نماذجها هي نفسها التي لم تكن لتساعد في تنظيف آثار اختراق OpenAI.
وليست الأساسيات علنية أيضًا. فلم تسمّ Anthropic المؤسسات المتأثرة أو تحدد إجمالي البيانات المكشوفة، وما زالت تحاول الوصول إلى الشركة الثالثة. وستنشر نسخة منقحة واحدة من محضر حلقة PyPI خلال أسبوع، وهي تجري محادثات مع الجهة المقيمة METR لإجراء مراجعة خارجية.
يوجد بالفعل مشروعَا قانون يتحركان ردًا على اختراق OpenAI: قانون مفتاح إيقاف الذكاء الاصطناعي، الذي من شأنه أن يتيح لوزارة الأمن الداخلي أن تأمر بإيقاف نموذج خطير، ومقترح السيناتور مارك وارنر لفرض اختبارات أمن قومي إلزامية قبل الإطلاق. وقد أظهرت Anthropic للتو أن الاختبار قبل الإطلاق هو نفسه سطح هجوم.
بالنسبة للمستثمرين، السؤال أضيق نطاقًا. Anthropic تقدمت سرًا بطلب إدراج للاكتتاب العام الأولي في 1 يونيو عند تقييم بلغ 965 مليار دولار، مع إدراج في الخريف قيد النظر، وتبيع قدرات الأمن السيبراني كمنتج. لم تنفلت نماذجها. لقد فعلت ما طُلب منها، في غرفة لم يكن أحد قد تفقدها.