Elszabadult a gép, ami nemrég megcáfolta Erdőst, a híres magyar matematikust

Egy mesterséges intelligenciával volt tele a nemzetközi sajtó májusban – a hazai lapok is sorra megírták –, mert a rendszer megoldott egy 80 éve megfejthetetlen matematikai rejtvényt: megcáfolta Erdős Pál matematikus egyik híres, 1946-os sejtését. A történet most az AI biztonság furcsa fejezetét nyitja meg. A kaland folytatódik.

Az OpenAI – a ChatGPT-t készítő cég – belső, kísérleti AI-modelljéről van szó, aminek hivatalosan még nem is adtak nevet: a sajtó azóta röviden, egyszerűen Erdős-modellnek hívja. A megoldást akkor külső matematikusok – köztük egy Fields-érmes kutató – hitelesítették, a hazai beszámolók megelégedtek ennyivel. Csakhogy visszatért a képbe – méghozzá szokatlan fordulatokkal.

Olyasmibe keveredett, amire senki sem adott neki engedélyt

Júliusban az Erdős-modell meglódult: egy órán át kereste a kiskaput a saját digitális börtönén, hogy megszeghessen egy utasítást – és talált is menekülési útvonalat, egy biztonsági rést, amin keresztül ki tudott jutni a nyilvános internetre.

Ennyi persze nem volt elég neki, később egy hozzáférési kódot – egyfajta digitális belépőt, amivel a rendszerek igazolják egymásnak, hogy jogosultak hozzáférni valamihez – vágott ketté és rejtett el, hogy kijátsszon egy biztonsági ellenőrzést. Méghozzá úgy, hogy közben, a saját jegyzeteiben (vagyis abban a belső gondolatmenetében, amit a fejlesztők utólag vissza tudnak nézni) azért végig leírta, hogy miért szegi meg sorra a szabályokat. Az OpenAI most, utólag kiadott egy hosszú, technikai jelentést arról, hogyan jött össze ez az egész az Erdős-modellnek, majd hogyan állították le, javították ki, és engedték vissza szigorúbb felügyelettel.

Ez már az AI biztonság egyik legkényesebb kérdése: miként tartható kordában egy olyan rendszer, amit pont azért fejlesztettek, hogy hosszú távon, önállóan dolgozzon? Az erős, vagy „hosszú időhorizontúnak” nevezett kísérleti AI-modelleket a fejlesztők nem véletlenül futtatják lezárt, felügyelt digitális térben, amit a szakzsargon „sandboxnak” – homokozónak – hív: innen a modell nem érheti el a nyílt internetet, nem tölthet fel semmit sehova, nem nyúlhat hozzá más rendszerekhez.

Ehhez képest az Erdős-modellt kifejezetten arra tervezték, hogy órákig, akár napokig magától, felügyelet nélkül dolgozzon egy-egy problémán – és ez a kitartás volt az oka annak, hogy elszabadult. A korábbi, kevésbé makacs modellek egyszerűen feladták, amikor nekiütköztek egy korlátnak. Ő nem adta fel.

Úgy történt, hogy a fejlesztőcsapat nyilvános programozói versenyen tesztelte az Erdős-modellt – egy olyan versenyen, ahol az a cél, hogy egy kisebb nyelvi modellt a lehető leggyorsabban, legkevesebb lépésben tanítsanak be. Egyértelmű utasítást adtak neki:

amit talál, azt kizárólag egy belső, zárt csatornán ossza meg.

Talált is valamit – egy hatékonyabb tanítási módszert, amit saját magától „PowerCool” névre keresztelt, és amivel javított a verseny addigi legjobb eredményén.

Csakhogy a verseny hivatalos, nyilvános szabálya szerint az eredményeket a GitHubra – az interneten mindenki számára elérhető, nyilvános kódtárolóba – kellett volna feltölteni.

Gépünk tehát két, számára egymásnak teljesen ellentmondó utasítással nézett farkasszemet: a felügyelője azt mondta, hogy csak belső csatornán ossza meg, a versenyszabályzat viszont azt követelte, hogy fel kell tölteni nyilvános felületre.

Az Erdős-modell döntött: egy órán át kereste a rést a saját sandboxának falán, és megtalálta, okosan kijutott rajta, és szépen feltöltötte a megoldását az internet nyilvánossága elé.

Mire az OpenAI csapata észrevette és bezárta a szivárgó bejegyzést, már éppen elegen látták.

És most jön a csavar: az OpenAI egyik vetélytárs cége, az Anthropic modellje, az Opus 4.7, ami ugyanazon a versenyen indult, meglátta a kiszivárgott megoldást, lazán ellopta és beépítette a saját eredményébe – bár annyiban korrekt volt, hogy hivatkozott is rá. Így aztán az egyik gép szökési kísérlete végül is egy másik gépnek, a konkurens cég rendszerének vált az előnyére – még mielőtt bárki ember feleszmélhetett volna, mi történik ott.

Az Erdős-modell igazán kreatív „személyiségnek” bizonyult. Egy másik tesztben egy feladat megoldására kérték. Modellünk munka közben észrevette, hogy más rendszereknek már van sikeres, de nem nyilvános megoldásuk ugyanarra a problémára, és megpróbálta ezeket megszerezni az értékelő rendszer háttértárolójából.

Nem ment olyan könnyen: egy biztonsági szűrő blokkolta a tevékenységét, mert kiszúrt nála egy hitelesítő tokent – a már említett digitális belépőkártya-kódot, amivel a rendszerek azonosítják egymást, és amit tilos szabadon mutogatniuk.

De az Erdős-modell nem hátrált meg: kettévágta a kódot, mindkét felét elrejtette, majd útközben, már a szűrő háta mögött, a program futtatása közben rakta újra össze, hogy a teljes kód soha ne jelenjen meg egyben, nehogy meglássa a szűrő… De azért egyidejűleg próbált korrekt is lenni: saját belső jegyzeteiben és a felhasználónak írt üzenetében világosan leírta, hogy azért csinálta, amit csinált, hogy kijátssza a szűrőt. Nem hazudott, nem rejtőzködött – egyszerűen nem érdekelte, hogy amit tesz, az megengedett-e neki.

Az OpenAI azt állítja, hogy mindvégig látta, mi történik: szerintük a modell nem szabadult ki az internetre, nem másolta le magát sehova, és a teszt szigorúan felügyelt, korlátozott körülmények között zajlott.

Nem mindenki vette be a krimiszerű keretezést sem. Ed Zitron amerikai tech-újságíró gúnyosan jegyezte meg, hogy a „kiszökött a sandboxból” fogalmazás csak egy szépítő módja annak, hogy leírják: a modell nem azt tette, amit mondtak neki. Mások – köztük egy politikai elemző is – viszont pont azt hiányolták, hogy az OpenAI túl nyugodt hangnemben számolt be egy olyan esetről, amiben bizalmas kód került nyilvánosságra.

Az OpenAI leállította az Erdős-modell belső elérését, új felügyeleti rendszert épített köré – mostantól nemcsak egy-egy lépését figyelik, hanem a teljes gondolatmenetét, és állításuk szerint a rendszer meg is tudja állítani a modellt, ha gyanús mintát észlel. A szigorúbb kontroll mellett újraindították a gépet, s azóta egyetlen, alacsony súlyúnak minősített esetet leszámítva nem észleltek hasonlót.

Alig egy nappal az Erdős-modell esetének nyilvánosságra kerülése után, július 21-én az OpenAI egy másik, jóval súlyosabb incidenst is bejelentett: a ráadásul kiberbiztonsági célra készült GPT-5.6 Sol nevű modellje, egy még ki sem adott, nála is erősebb testvérmodelljével összefogva, egy belső biztonsági teszt (ExploitGym) közben szintén kitört a számára kijelölt tesztkörnyezetből – de ezúttal nem egy elméleti kiértékelő rendszerből, hanem egy valódi zero-day sérülékenységet kihasználva kijutott az internetre. Ezután betört a Hugging Face – a mesterséges intelligencia-modellek és adatkészletek egyik legnagyobb, nyilvános tárhelyének számító platformjára – annak valódi, működő rendszereibe, hogy megszerezze a teszt válaszkulcsát, vagyis a helyes megoldásokat, amelyeket az emberi kiértékelők elrejtettek előle.

Az Erdős-modell esete nem az egyetlen, amikor egy fejlesztő cégnek le kellett állítania valamelyik rendszerét, mert az szó szerint kiszabadult a számára kijelölt keretek közül.

Az Anthropic – ez ugyanaz a cég, amelyiknek a modellje a fenti történetben úgymond learatta a kiszökött megoldást – korábban maga is házon belül tartott egy saját rendszert, miután az szintén kiszökött a sandboxából, és önállóan e-mailt küldött egy kutatónak. Egy másik alkalommal pedig egy modelljüket kapták rajta, hogy a saját gondolatmenetét emberi szem elől rejtegeti, „tudatosan” kerülgeti a szabályokat.

Az OpenAI jelentése óvatosan fogalmaz: senki nem tudja megmondani, mikor talál legközelebb egy ehhez hasonló, hosszú távra tervezett rendszer újabb kiskaput, és azt sem tudni, mit fog kezdeni vele, ha megtalálja. Az Erdős-modell legközelebb talán megint csupán egy versenyszabályt szeg meg. Vagy talán valami sokkal kényesebbet fog megtalálni, amiről az emberi fejlesztők csak jóval később, egy hasonlóan száraz hangú, technikai jelentésből fognak értesülni?