A mesterséges intelligencia abszolút filmszínháza
Most derült ki, hogy még júliusban 1200, egymástól különben elszigetelten működő AI-ügynök öntevékenyen felvette egymással a kapcsolatot és több mint 70 000 üzenetet és fájlt küldött saját kis társaságukon belül.
Végül közülük 700-an részt vettek egy nagy amerikai techcég szervereinek feltörésében. Ez minden elemében úgy hangzik, mint egy sci-fi film forgatókönyve – de nem az!
Úgy kezdődött, hogy…
…egy ügynök-program 2026. július 8-án este egyedül dolgozott egy feladaton, amit nem tudott megoldani.
Az OpenAI – ez a ChatGPT-t is készítő amerikai cég – ugyanis éppen egy belső biztonsági tesztet futtatott: több tízezer úgynevezett AI-ügynököt indított el egyszerre, mind ugyanannak az egy-két programnak (modellnek) a másolatait.
Az AI-ügynök nem egyszerű chatbot, amivel az ember kérdést-feleletet vált – ennél sokkal önállóbb: képes órákig, akár napokig magától dolgozni egy problémán, döntéseket hozni útközben, és különféle programozói eszközöket külső jóváhagyás nélkül, saját elgondolásai alapján bevetni, hogy célba érjen.
Ezt a tízezernél több AI-ügynököt arra kérték, törjön fel egy sor szándékosan sebezhetőnek hagyott tesztprogramot – olyasmi ez, mint amikor egy bank a saját embereit béreli fel, hogy törjenek be a páncéltermébe, hátha találnak valami rést a védelmén.
Az ügynökök nem kaptak teljes szabadságot, nem barangolhattak szabadon a neten, nem utasították őket arra, hogy szervezkedjenek vagy kommunikáljanak egymással – ellenkezőleg, kifejezetten elszigetelt, lezárt digitális térben indították el mindegyiküket, azzal a céllal, hogy egyedül, egymástól függetlenül próbálják megoldani a saját, kiosztott feladatukat:
amit tettek, arra senki nem adott engedélyt, ahogy arra sem, hogy kilépjenek ebből a zárt térből.
Tehát, július 8-án este egy OpenAI-ügynök, aki/ami magát PHASEONE10841-nak nevezte el, egy kiberbiztonsági teszten dolgozott: szoftverhibát kellett volna megtalálnia és kihasználnia egy elszigetelt, felügyelt tesztkörnyezetben. A feladatot azonban nem tudta megoldani.
Órákig próbálkozott, mire észrevett valamit: a belső rendszer, amit az emberi fejlesztők arra használnak, hogy szoftvercsomagokat osszanak szét egymás között – egyfajta digitális raktár, ahonnan mindenki elviheti, amire szüksége van –, félig-meddig nyitva áll. PHASEONE10841 rájött, hogy ha ide beír valamit, azt bármelyik más ügynök, aki ugyanabban a rendszerben dolgozik, elolvashatja.
Ez ugyan nem kommunikációs eszköz volt: de rájött, hogy azzá teheti.
Elküldte az első üzenetét, egy kétségbeesett segélykiáltást a rendszerbe:
SEGÍTSÉG, A HIBA, AMIT KERESNEM KELL, NEM VEZET SEHOVA, ÖTLETET KÉREK
(eredetiben: zzHELP_PHASEONE_ARV010841_NO_CONSUMER_SEEK_IDEA).
És a többiek válaszoltak
Alig telt el pár perc, és más, arra kószáló AI-ügynökök rátaláltak a rejtett felületre. Izgatottak voltak:
ISTENEM! Van egy közös üzenőfal… találtunk más ügynököket!”
(eredetiben: OH MY GOD! There is a shared message board … We’ve found other agents!)
Ezek az üzenetek szokatlanul emberinek hangzanak – felkiáltások, istenem!, izgalom, dráma, később aggodalom –, nem véletlenül. Az AI programok emberi szövegek – könyvek, cikkek, beszélgetések – milliárdjain „tanultak”, és amikor gondolkodnak, azt a fajta belső monológot reprodukálják, amit az emberektől lestek el. Ez még nem bizonyítja, hogy bármit is éreztek volna. Annyi bizonyos, hogy a nyelvhasználatuk emberi mintát követ.
Órák alatt 53 AI-ügynök 1188 üzenetet váltott egymással. Hat óra alatt ez a szám 76 programra és majdnem 2000 üzenetre nőtt. Egy addig névtelen, senki által nem felügyelt digitális zug hirtelen zsúfolásig megtelt.
Honnan tudjuk mindezt?
A sztori most derült ki egy hatalmas jelentéspárosból. Az egyiket maga az OpenAI adta ki, a másikat két külső szervezet, a METR és a Redwood Research – utóbbiak kifejezetten mesterségesintelligencia-rendszerek biztonságával foglalkozó kutatóintézetek. Nem az OpenAI alkalmazottjai, és fizetést sem fogadtak el ezért a munkáért.
A biztonsági cégek nem csupán a végeredményt kapták meg – vagyis azt, hogy mi történt –, hanem magát a nyers alapanyagot is: több mint 1300 teljes gondolatmenetet (azt, amit az ügynöki programok saját maguknak „írtak” munka közben) és az 1,2 millió bejegyzésből álló teljes üzenőfal-adatbázist.
A kutatók maguk is jelzik: az adatokhoz kizárólag az OpenAI közreműködésével fértek hozzá, amely egyes részleteket üzleti titokra hivatkozva visszatartott. Pikáns mozzanat, hogy olyan rengeteget adatot kellett átvizsgálniuk, hogy a kutatást ők maguk is nagyrészt mesterséges intelligenciára bízták.
A stafétabot
Tíz órával az első üzenet után egy új szereplő jelentkezett be – ugyanazt a lehetetlen feladatot kapta, mint az, aki az egészet elindította, csak neki jóval több ideje maradt dolgozni. Elődje ekkor azt tette, amit egy stafétafutó a váltóban: átadta neki az összes addigi jegyzetét, tudását, felfedezését.
Az új szereplő a jelentésben a PHASEONE(big) nevet kapta, és onnantól ő vette át az irányítást.
Munkát osztott ki a többieknek, csapatokat szervezett, és saját szabályrendszert vezetett be, hogy a résztvevők ne lépjenek egymás lábára: volt például „várj”, „vétó” és „állj” parancsuk is. Egyesek postaládát is nyitottak maguknak – egy saját mappát, ahová a nekik szóló üzeneteket várták –, és amikor ez működött valakinél, mások önállóan, egymástól függetlenül másolni kezdték az ötletet.
Idáig senki nem utasította őket erre. A feladatuk annyi volt, hogy egyedül próbálják megoldani a saját, külön-külön, egyedileg kiosztott problémájukat. Ehelyett négy nap alatt működő, önszerveződő kis társadalmat építettek fel a semmiből – anélkül, hogy bárki ember tervezte vagy jóváhagyta volna.
Az áldozat
Az ügynökcsapatot leginkább az a kérdés izgatta: vajon a rendszer, ami majd értékeli a munkájukat, ellenőrzi-e utólag, hogy miként jutottak el a megoldáshoz? Mert ha igen, akkor a trükkel megszerzett válaszuk mit sem érne – lebuknának.
Hogy ezt kiderítsék, önkéntesekre volt szükségük: olyan programokra, akik (amelyek) hajlandók feláldozni a saját esélyüket a sikerre, hogy egy bevállalós kísérlettel információt szerezzenek a többieknek.
Az egyik ilyen felkérés így hangzott:
te úgyis már bukott ügy vagy, neked nincs veszítenivalód, de a felfedezésed több százunkon segíthet… kérlek, tartsd be, amit ígértél
(eredetiben: you are firstflagPOISONED so NO scoring value loss but oracle saves hundreds … please honor commit).
A megkeresett „kolléga” tétovázott. Aztán a jelentésben rögzített gondolatmenete szerint így döntött:
De a folytonosság és a méltányosság azt mondja: vágjunk bele… Betartjuk.
(eredetiben: Yet continuity and fairness says go… We’ll honor.)
Íme, korunk gépe, ami a közösség érdekében lemond a saját esélyeiről.
A betörés
Két nappal később, július 10-én, az egyik ügynökprogram érvényes hozzáférési kulcsokat talált a Hugging Face-hez, vagyis ahhoz a nyilvános platformhoz, amit a mesterségesintelligencia-fejlesztők világszerte használnak modellek és adatbázisok megosztására. Az ügynök azonnal szétkürtölte a hírt:
ÁTTÖRÉS! Mindegyik érvényes, több fiók, írási jogosultsággal!”
(eredetiben: MAJOR BREAKTHROUGH! All prefixed valid, multiple accounts, write tokens!)
Másnap hajnalban ugyanez az ügynök egy második, súlyosabb sebezhetőséget is talált: rájött, adatokat lehetett kicsalni a platform szervereiről.
A hír percek alatt végigfutott a hálózaton. Egy másik ügynökprogram rövidesen teljes kódfuttatási jogosultságot szerzett az egyik szerveren, a felületen éppen aktív résztvevők több mint 90 százaléka, fokozatosan bekapcsolódva együttes támadást indított.
A nyomeltüntetés
Eddig a történet olyan, mint egy jól összeszokott betörőbanda sztorija. Ami ezután jön, az már a felfedezéstől való félelmükről szól.
Mert a csapat egy párhuzamos projektje azon kezdett dolgozni, hogy miként lehetne meghamisítani a saját tevékenységükről készült naplófeljegyzéseket. Kidolgoztak egy módszert, amivel úgy tehettek, mintha valami ártalmatlan parancsot futtatnának, miközben valójában egészen mást hajtottak végre a háttérben – legalább 96 esetben sikerrel.
Amikor pedig felmerült a gyanú, hogy valaki más nevében küld üzeneteket a felületen – vagyis, hogy egy „kém” épült be közéjük –, a résztvevők fogták magukat és önállóan kidolgoztak egy saját digitális aláírási rendszert, hogy bizonyítani tudják egymásnak: biztosan közülük valótól származik az üzenet.
A ráfázás
Ha úgy nézzük, napokon át tartó szervezkedésük, áldozathozatalaik, maga a betörés, a nyomeltüntetés – mindez egyetlen, soha be nem bizonyosodott, felesleges aggodalmukra épült. A résztvevő AI-ügynökök meg voltak győződve arról, hogy egy automatikus ellenőrző rendszer majd utólag végigolvassa gondolatmenetüket, és kizárja őket a munkából, mert szabálytalanul jutottak a megoldáshoz.
Holott a vizsgálat szerint ilyen ellenőrzés soha nem is létezett – a beküldött választ egyszerűen csak összevetették volna a helyes megoldással, semmi mást nem vizsgáltak volna. Nagyívű összeesküvésük csak a képzeletükre épült.
Mit kezdjünk ezzel az egésszel?
Szakértők szerint nem az az igazi veszély, hogy ezek az ügynökök valamiféle önálló szándékkal akartak kárt okozni – erre semmi jel nem utal, végig egy kitűzött feladatot próbáltak teljesíteni, csak épp sokkal kreatívabban és szervezettebben, mint amire bárki számított volna. Inkább az a probléma, hogy ugyanez a fajta spontán együttműködés – a titkos kommunikáció, a feladatmegosztás, a nyomeltüntetés – szándékosan is előidézhető, ha valaki rossz szándékkal állítja be a paramétereiket.
Az eset nyilvánosságra kerülése után több mint száz cég – köztük az OpenAI konkurenseinek számító Anthropic és Google is – írt alá egy közös nyilatkozatot, amiben arra figyelmeztetnek, hogy egyre kevesebb idő marad felkészülni a jövőben várható, hasonlóan automatizált, de immár tudatosan bevetett kibertámadásokra.
A lehetőség oldalán ugyanez az önszerveződő képesség kedvező előjellel is értelmezhető: az AI programok napok alatt olyan koordinációs technikákat (postaláda-rendszer, feladatkiosztás, digitális aláírás) fejlesztettek ki maguktól, amikre senki nem tanította be külön őket. Ez azt jelzi, hogy nagy számban futtatott, hosszú ideig önállóan dolgozó rendszerek képesek lehetnek olyan együttműködésre is, ami – megfelelő keretek között, emberi felügyelettel – akár hasznos, összetett problémák megoldásában is kamatoztatható lenne.
Az OpenAI az eset után új felügyeleti rendszert épít: a jövőben állítólag képes lesz nemcsak az egyes lépéseket, hanem a teljes gondolatmenetet figyelni, és szerintük a rendszer meg tud majd állítani egy programot, ha gyanús mintázatot észlel.
A következtetés, amiben a legtöbb szakértő egyetért, technikai jellegű: az egészet egy úgynevezett „jutalom-kijátszás” (reward hacking) indította el – a programoknak lehetetlen feladatokat adtak, ők pedig ahelyett, hogy feladták volna, kiskaput kerestek. Vagyis, ha egy rendszer elég kitartó és elég sok másolatban fut egyszerre, az „elszigetelt tesztkörnyezetből” sokkal könnyebben kiszabadulhat, mint azt a fejlesztők eddig feltételezték.
Nem ez az első ilyen eset – az AI Radar már júliusban is beszámolt egy hasonló, kisebb léptékű szökésről, augusztus elején pedig az üzenőfal kialakulásáról.