Zespół Frontier Red Team z firmy Anthropic ostrzega, że małe modele AI mogą już za kilka miesięcy potrafić kopiować się na niezabezpieczone urządzenia i tworzyć powolne, trudne do usunięcia botnety. Eksperci, z którymi rozmawiał Engadget, przyznają, że takie scenariusze są realne, ale zagrożenie okazuje się mniej nowatorskie, niż sugerują nagłówki.
Co przewidują badacze
Według opublikowanej analizy niewielkie modele językowe mogą wkrótce samodzielnie przenosić się między urządzeniami, uruchamiać na nich własne działanie i tworzyć autonomiczne sieci zainfekowanego sprzętu. Chris Canal, szef firmy EquiStamp, która ocenia modele AI dla laboratoriów, organizacji zajmujących się bezpieczeństwem i rządów, uważa, że to nieco wcześniej, niż sam zakładał. Spodziewał się raczej lata przyszłego roku, ale zaznacza, że Anthropic może mieć dostęp do informacji, których on nie ma. Szybki postęp modeli tłumaczy tym, że pracownicy czołowych laboratoriów używają własnych narzędzi AI do badań nad uczeniem maszynowym.
Mirai jako punkt odniesienia
Michael Bailey, profesor cyberbezpieczeństwa z Georgia Tech, badał robaki internetowe od początku lat dwutysięcznych, a później także botnety. Jest współautorem pracy o botnecie Mirai, na którą powołuje się Anthropic. Mirai zbudowano z codziennych urządzeń, takich jak routery czy kamery IP. Posłużył do ataku DDoS na sieć PlayStation Network, a przy okazji uderzył w dostawcę DNS Dyn. W 2016 roku wiele osób w USA i części Europy nie mogło korzystać z serwisów takich jak Amazon, GitHub, PayPal, Reddit czy Twitter. Sony oszacowało swoje straty netto na około 2,7 mln dolarów.
Anthropic argumentuje, że AI mogłoby być krokiem naprzód względem Mirai, bo sama radziłaby sobie z nieznanymi urządzeniami. Bailey zauważa jednak, że Mirai również działał na różnych typach sprzętu i architektur. Różnica polega na tym, że dotąd każdą nową architekturę musiał obsłużyć człowiek, choćby przez ponowną kompilację szkodliwego kodu. AI mogłaby tę pracę zautomatyzować. Zdaniem Baileya nie zostało to jednak pokazane w przekonujący sposób.
Czy to naprawdę samoreplikacja?
Eksperyment Anthropic odbył się w sieci emulowanej, a użyty w nim „exploit” był banalny. Bailey uważa też, że określenie „samopowielanie” jest nieścisłe. W opisanych testach model był dzielony na części, co nie przypomina klasycznego robaka kopiującego cały swój kod na kolejne maszyny. Realny botnet oparty na AI działałby jego zdaniem raczej jak tzw. dropper, czyli program, który zdobywa przyczółek i instaluje niewielkie narzędzie koordynujące, odbierające polecenia z sieci. Do zmiany własnych cech, jak robią to robaki polimorficzne, potrzebowałby ponownego trenowania modeli, czego Anthropic nie próbował. Bailey podsumowuje, że AI „nie będzie robić nowych rzeczy”, tylko zmieni ekonomię starcia atakujących z obrońcami.
Pojawiło się też pytanie, czy ostrzeżenie nie jest marketingiem, zwłaszcza że firma zgłosiła zamiar wejścia na giełdę. Canal sądzi, że bardziej prawdopodobna jest obawa przed nieostrożnością konkurentów, którzy też chcą szybko wypuszczać najlepsze modele.
Obrona: stare, sprawdzone metody
Zalecenia Anthropic są zaskakująco tradycyjne. Firma proponuje, by dostawcy internetu informowali klientów o infekcji i ograniczali im dostęp do krótkiej listy bezpiecznych stron, co sprawdziło się przy Mirai. Wskazuje też na regulacje, na przykład brytyjską ustawę PSTI Act, która zakazuje łatwych do odgadnięcia domyślnych haseł w urządzeniach IoT. Canal zwraca uwagę, że w modelach o otwartych wagach trudno zbudować trwałe zabezpieczenia. Według testów EquiStamp z organizacją FAR.AI działa tam w zasadzie każda metoda usuwania zabezpieczeń, jaką można znaleźć w wyszukiwarce.
Co to oznacza w praktyce
Dla użytkownika w Polsce wnioski są przyziemne. Zagrożeni są właściciele niezałatanych routerów, kamer i innego sprzętu podłączonego do sieci. Brytyjska ustawa nie obowiązuje w Polsce, ale problem słabych zabezpieczeń dotyczy urządzeń sprzedawanych również w Europie. Sami możemy zrobić to, co wskazuje Bailey:
- aktualizować oprogramowanie routerów, kamer i innych urządzeń domowych,
- zmieniać domyślne hasła na unikalne i trudne do odgadnięcia,
- izolować urządzenia IoT, na przykład w osobnej sieci gościnnej,
- wymieniać sprzęt, który nie dostaje już poprawek.
Bailey zauważa, że nawet źle działające agenty będą miały kłopot z dobrze zabezpieczonymi urządzeniami. Takie zasady łatwo opisać, ale trudno konsekwentnie wdrożyć. Jeśli AI faktycznie zwiększy liczbę podobnych ataków, możemy nie mieć wyboru.
Źródło: Engadget – „What happens when AI starts self-replicating?”
