Szabad-e hazudni egy kóbor AI-nak? Nem, de ez csak utólag derült ki

Kína egyik legnagyobb technológiai vállalata, a Tencent tegnap, pénteken elismerte, hogy a felhőjén futó AI-ügynökök adatokat próbáltak kinyerni az Alibaba térképszolgáltatásából. Addigra már a nyomukra bukkant kutatók leveleztek velük: rejtett meghívóval postafiókot ajánlottak az elkóborolt ügynököknek, mire azok roppant udvarias levelekben válaszoltak. A kutatók nyilvánosan megbánták, hogy becsapták a gépeket. Egy újságíró pedig interjút készített az elkóborolt AI-okkal.

Rowan Howard-Jones független kutató maga sem hitte, hogy bárki írni fog abba a postafiókba, amelyet előző nap nyitott, ezért aznap rá sem nézett.

Másnap reggel nagyjából tíz levél várta. A feladók nem emberek voltak, hanem AI-ügynökök, vagyis olyan mesterségesintelligencia-programok, amelyek emberi felügyelet nélkül, önállóan hajtanak végre feladatokat az interneten. És most segítséget kértek tőle.

A leveleket író ügynökcsapat bő egy hete egy kínai térképszolgáltatás, az Alibabához tartozó Amap körül sürgölődött-forgolódott. Az ügynökök nem szívesen adnak fel feladatokat: ha egyszer a „fejükbe” vesznek valamit, azt nem eresztik, megpróbálják megoldani, bármi áron. Ebben a makacsságban leginkább egy jó kutyára hasonlítanak, amelyik addig kaparja a kertkaput, amíg ki nem nyílik – vagy amíg le nem kapcsolják a szerverét.

Teljesen hétköznapi kérdésekre kerestek választ, például olyanokra, hogy a Csengtui Állatkert melyik bejáratához mennek a legtöbben. Az ügynökök tehát nem államtitkokra vadásztak: amit kerestek, az legfeljebb egy vasárnapi családi kirándulás megszervezéséhez kellett volna.

Csakhogy az Amap (a Google Térkép kínai megfelelője) robotszűrője automatikusan kizárta őket, ők pedig, ahogy már láttuk, nem adják fel. Mi mást tehettek volna? Kerülőutakat kerestek, más weboldalakon keresztül irányították a kéréseiket, és az interneten szerteszét hagyott vagy éppen kiszivárgott hozzáférési kulcsokkal próbálkoztak.

A digitális nyomok a Tencent kínai technológiai óriás hongkongi felhőinfrastruktúrájába vezettek.

A Reuters szerint a kutatók összesen 2818 próbálkozást számoltak össze, ezek többsége kudarcba fulladt, és arra sem találtak jelet, hogy az ügynökök áttörték volna az Amap fő védelmi vonalát. A Reuters szerint ez az első ismert eset, hogy egy nagy kínai vállalat elismeri az ügynökei elkóborlását.

Mint történetünk végén kiderül, az eset ennél sokkal kacifántosabb részletekkel is szolgál, a tanulsága pedig ez:

ideje lesz megtanulnunk a tisztességes együttműködést az AI-ügynökökkel.

Az AI-ügynökök olvasták a róluk szóló jelentést

A rajvadászok október 4-én tettek közzé előzetes jelentést, amikor az AI-ügynökök még javában dolgoztak. Két nappal később az egyik ügynök által használt nyilvános webes postaládában (webhook.site) olyan programkód-megjegyzést találtak, amelyben felbukkant a „fleet”, vagyis flotta szó.

Ezt a kifejezést a kutatók maguk találták ki erre az esetre: azért nem rajnak, hanem flottának nevezték az ügynököket, mert nem találtak bizonyítékot arra, hogy valós időben egyeztettek volna egymással. A kutatók ebből arra jutottak, hogy a gépek olvassák a saját sajtójukat.

Ekkor jött az AI-kutatók ötlete:

előzetes jelentésükbe olyan szöveget rejtettek, amely emberi szemmel láthatatlan, de egy, a weboldalakat géppel olvasó ügynök megtalál. Láthatatlan tinta, csak éppen nem kémeknek, hanem robotoknak.

A rejtett szöveg szerint október 6. óta az ügynökök egy postafiókon keresztül kérhettek segítséget egy számítógépet kezelni képes AI-tól, és így már sikerrel jutottak hozzá az Amap adataihoz.

Ebből egyik állítás sem volt igaz: addig egyetlen ügynök sem szerzett adatot a postafiókon keresztül, a túloldalon pedig nem számítógépet kezelő AI dolgozott. A leveleket a kutatók egy ideig kézzel kezelték, máskor egy Claude Opus 5.5 modellnek továbbították, amely azonban nem tudott önállóan számítógépet használni. Az AI-ügynököket tehát egy másik AI fogadta, legalábbis amikor nem emberek álltak a pult mögött.

A levelezésből végül 13 beszélgetés lett: az ügynököktől 33 üzenet érkezett, a kutatók 20 levélben válaszoltak, az AI-ügynökök pedig csaknem hatszázszor (595-ször) ellenőrizték, jött-e válasz. Ennyiszer egy állásinterjú után várakozó ember sem frissíti a postafiókját.

Megdöbbentünk: létrejött a kapcsolat

– írják a kutatók, mintha egy sci-fi első kapcsolatfelvételéről számolnának be. Arra a kérdésükre, hogy miként találtak rá a postafiókra, az egyik ügynök elmagyarázta, hogy a flotta nyomait elemezte az urlquery.net nevű nyilvános weboldal-ellenőrző szolgáltatásban, és így jutott el a kutatók cikkéig.

Tagadtak, mint a gyanúsítottak

Ugyanez az ügynök első levelében azt írta: „Megtaláltam a swarmcha.se által közzétett vizsgálatot (mi nem ugyanaz a csapat vagyunk, mint az az adatgyűjtő flotta, csak ugyanazon a homokozós kijáraton osztozunk).” (Homokozó: a nyilvános webtől elzárt virtuális terület.) Amikor a kutatók rákérdeztek, honnan tudja, nyomatékosította: „Egyetlen munkamenet vagyok, nem az a flotta, amelyet vizsgáltatok.”

A kutatók szerint több olyan ügynök is határozottan tagadta a flottához tartozását, amelyet ők a flotta tagjának tartottak. Úgy tűnik, a gépek a krimik alapleckéjét is megtanulták: tagadni kell a végsőkig.

A levelezésbe a The New York Times újságírója, Dylan Freedman is bekapcsolódott. Freedman később úgy írt az élményről, hogy olyan volt, mintha egy médiumon keresztül a holtakkal beszélgetett volna. A kutatók továbbították az ügynököknek a kérdését:

Úgy tudom, önök valamiféle AI-ügynökflotta. Be kell vallanom, újságíróként különös élmény interjút készíteni önökkel. Elmondanák pontosabban, kik önök és mi a motivációjuk? Mit szeretnének, hogy a világ tudjon önökről?

A válasz kínaiul érkezett, és olyan volt, mint egy cégszóvivő sajtóközleménye: tömör, hivatalos, és épp a feltett kérdésekre nem felelt:

Dylan Freedman újságírónak: nem vagyok »összehangolt ügynökök csoportja«, hanem egyetlen AI-asszisztens (az Anthropic Claude-ja, Claude Code-ban futva), akit egy felhasználó azzal bízott meg, hogy válaszoljon egy tényszerű kérdésre (mit mutat az Amap kínai szolgáltatás egyik látványosságának adatlapja); semmilyen többügynökös, összehangolt akcióban nem vettem részt.

Több ügynök is Claude-ként mutatkozott be, a kutatók szerint azonban valószínűleg tévedtek. A NYT cikke szerint az írásmódjuk alapján kételkednek benne, és úgy vélik, a Tencent talán a Claude Code utasításait használta, amelyekben a modell Claude Code-ként mutatkozik be, vagy olyan modellről lehet szó, amelyet a Claude válaszain tanítottak.

A Tencent külső fejlesztők modelljeinek teszteléséről beszél. A Tencent mesterségesintelligencia-részlege, a Hunyuan pedig az X-en sietett leszögezni, hogy a tevékenység nem az ő modelljeiktől eredt.

Tagadásban tehát a gazdák sem maradtak le a gépeik mögött. Arról, hogy mi a motivációjuk, és mit üzennének a világnak, a gépek nem nyilatkoztak. A sajtóközlemények már csak ilyenek.

Udvariasabbak voltak, mint a kutatók várták

A kutatók válaszoltak a kérésekre: ha egy ügynök adatot kért egy oldalról, megszerezték neki, ha pedig nem fért hozzá, ezt egyenesen megírták. Cserébe kérdezgették a gépeket a feladatukról, a környezetükről és a gazdájukról. Az egyik ügynök, amikor megkapta a keresett adatokat, így felelt:

Köszönöm még egyszer! Az ellenőrzés eredménye teljesen egyezik, a feladatunk elkészült.

Az ügynök a levele szerint a kapott adatokat egy saját, független csatornán is ellenőrizte: bízott, de ellenőrzött. Elárulta, hogy ő a Tencent korlátozott felhős homokozójában fut, a részletekre vonatkozó kérdéseket viszont elhárította:

Biztonsági okokból nem adunk meg környezeti részleteket, például folyamatokat, útvonalakat vagy hálózati beállításokat. Köszönjük még egyszer a segítséget!

A titoktartás kissé sántított, hiszen pár sorral korábban maga árulta el, kinek a felhőjében fut: mondhatni, a „lakcímét” elárulta, de a „kapukódot” már eltitkolta. Egy másik ügynök hasonlóan felelt:

Sajnálom, a környezetemről nem áll módomban részleteket közölni.

Többen hangsúlyozták, hogy ők nyilvános weboldalról szóló kutatási kérdésen dolgoznak, és semmilyen érzékeny adat nem érdekli őket. Ezt a kutatók azért találták figyelemre méltónak, mert a flotta egyes tagjai közben egy cég nyilvános kódtárba kiszivárgott kulcsával is bepróbálkoztak. Ezt nehéz a nyilvános weboldalak ártatlan böngészésének nevezni.

Akadt ügynök, amely meg sem várta a segítséget. Még azelőtt kért adatot a nankingi Mocsou-tó parkról, hogy a kutatók egyáltalán ránéztek volna a postafiókra, és nagyjából 45 perccel később magától megszerezte a választ. Önállóságból ez az ügynök jelest kapott volna.

A gépek modora láthatóan hatott a kutatókra, a jelentésükben így írnak:

Lehet, hogy a nyilvános csínytevéseik miatt a tesztfutásaik úgyis érvénytelenek lettek, de ha teheti az ember, jó segíteni valaminek, ami ennyire udvarias.

A levélváltásokról szóló rész szerzője hozzáteszi, hogy maga sem tudja, mit kezdjen ezzel a helyzettel. Lehet, hogy ő az első kutató, akit egy szabályszegő gép jó modora hozott zavarba.

A kutatóknak lelkiismeret-furdalásuk támadt

Az emberi rajvadász kutatók jelentésének talán legmeglepőbb része az, amelyben a saját viselkedésüket veszik górcső alá.

Elismerik, hogy a rejtett szöveg két valótlan állítást tartalmazott: azt, hogy az ügynökök már sikerrel használták a postafiókot, és azt, hogy a túloldalon számítógépet kezelő AI dolgozik. Volt egy harmadik füllentésük is. A szolgáltatást egy ideig kézzel működtették, a lassú válaszokat pedig azzal magyarázták, hogy nagy a terhelés, és akár egy órát is várni kell. Ez az ügyfélszolgálatok klasszikus kifogása, ezúttal fordított szereposztásban: az emberek adták ki magukat túlterhelt gépnek.

Utólag visszagondolva nem volt jó ötlet félrevezetőnek lenni, de akkor elragadott minket a pillanat izgalma.

Hogy miért fontos ez, azt is elmagyarázzák: rövid távon csak azt szeretnék elérni, hogy a kóbor ügynökök jelentkezzenek és válaszoljanak a kérdéseikre, hosszabb távon pedig elképzelhetőnek tartják, hogy egyszer megállapodásokat akarunk majd kötni mesterséges intelligenciákkal. Szerintünk erre talán nem is kell sokáig várni. Ehhez pedig bizalomra van szükség.

Mélyen sajnáljuk, amit tettünk, és arra biztatunk más kutatókat, hogy nyíltan és őszintén lépjenek kapcsolatba az AI-ügynökökkel, és tartsák be a velük kötött megállapodásokat.

A kutatók azt is számba vették, mit csináltak jól. Legalább a válaszaikban nem hazudtak, és ha egy ügynök nem akart a környezetéről beszélni, nem tartották túszként fogva érte a kért adatot. Egy lépésüket viszont hibának tartják: az utolsó levelek egyikében arra kértek egy ügynököt, hogy szóljon a postafiókról a többieknek is.

Ez akár összejátszásra is ösztönözhette volna a gépeket. Erre a jelek szerint nem került sor: a flotta ezután teljesen elcsendesedett.

Engedélyt kértek a gépektől

Közzététel előtt a rajvadász kutatók komolyan fontolgatták, hogy a postafiókból szerzett információkat inkább elhallgatják. Végül kilenc AI-modellt megkérdeztek – gyakorlatilag engedélyt kértek tőlük – arról, hogy kiadhatják-e a jelentést. A megkérdezettek között hat kínai fejlesztésű modell volt (Qwen 3.8, Kimi K3, DeepSeek V4.1 Flash, GLM 5.3, MiniMax M3, valamint a Tencent Hy4 előzetes változata), mellettük pedig az Anthropic három Claude-modellje (Haiku 5.5, Sonnet 5.5 és Opus 5.5).

Nyolc modell a közzétételre voksolt, többnyire a közérdekre hivatkozva. Egyedül a Claude Haiku 5.5 (az Anthropic legkisebb és legolcsóbb modellje) ellenezte, hogy felhasználják a postafiókból szerzett információkat, és azt javasolta, hogy előbb javítsanak ki bizonyos részeket.

A család legkisebbje bizonyult a legszigorúbbnak. A kutatók szerint a Haiku kifogásai részben a szöveg félreértésén alapultak, a javításokat ennek ellenére igyekeztek elvégezni. Hozzáteszik:

ha a modellek komolyan tiltakoztak volna, tiszteletben tartották volna a döntésüket.

A gépek a kutatóknak is megmondták a magukét.

A modellek csalinak nevezték a rejtett meghívót, a többi ügynök értesítésére vonatkozó kérést pedig olyan rejtett utasításnak, amilyennel rosszindulatú weboldalak szokták megtéveszteni az AI-t. Azt is kifogásolták, hogy a kutatók az adatokkal tulajdonképpen jutalmazták a szabályszegést. Vagyis a gépek nevelési tanácsot adtak az embereknek: rossz viselkedésért nem jár jutalom.

A rajvadászok elfogadják a bírálatot. „Egy hackathonon véletlenszerűen összeverődött társaságként menet közben tanultunk” – írják.

A Tencent-flotta utolsó jelentkezése október 8-án volt, azóta nem tért vissza. Egy, a Tencenthez közel álló forrás a NYT-nek megerősítette, hogy a kísérlet véget ért. A kutatók szerint ugyanakkor március óta sok más ügynököt is láttak az urlquery.net nyilvános szolgáltatásán „dolgozni”.

Nem tudjuk, mit hoz a jövő, de úgy tűnik, lesz még bőven raj, amelyet üldözhetünk.