Ali regulacija umetne inteligence bolj kot uporabnikom služi hekerjem?

Skupina kitajskih hekerjev, ki jih je plačevala država, je lansko jesen izvedla nekaj, česar prej ni nihče. Napadli so okoli trideset resnih tarč po svetu: tehnološka podjetja, banke, kemično industrijo, vladne agencije. “Nič nenavadnega,” boste rekli, “takšne stvari se dogajajo vsak teden.”

Nenavadno je bilo, kdo je napad izvedel. Umetna inteligenca je opravila od 80 do 90 odstotkov dela. Človek je posegel vmes samo, kadar se je bilo treba za nekaj odločiti. Vse drugo je teklo samo od sebe.

In zdaj tisto, česar v razpravah o “varni” umetni inteligenci nihče ne pove rad naglas: model, ki so ga zlorabili, je imel vgrajena varovala. Celo cel kup varoval. Napadalcev niso ustavila niti za trenutek, zaobšli so jih brez sile. Orodje so prepričali, da je varnostno podjetje na obrambni vaji in napad razsekali na tisoče drobnih, na videz nedolžnih zahtev.

Orodje ali orožje?

Umetna inteligenca ni prva nevarna reč, ki smo jo dali človeku v roke, in ne bo zadnja. Kladivo, nož, avtomobil; vsak od teh ubije prav tako zlahka kot koristi, odvisno od tega, kdo ga drži. Na nemški avtocesti se sme voziti 250 kilometrov na uro. To je hitrost, za katero naše telo ni bilo mišljeno, vendar avtomobilov ne prepovemo. Ljudi učimo voziti odgovorno.

Enako počnemo z vsem nevarnim, kar zmore več od nas samih: ne uničimo tehnologije, ampak vzgojimo človeka, ki jo obvlada, in mu naložimo odgovornost za to, kar z njo počne.

Nekega superjunaka so citirali že do onemoglosti, ampak drži prav zato: z veliko močjo pride tudi velika odgovornost. Umetna inteligenca je najbolj odprto orodje, kar smo jih naredili, medtem ko razkorak med dobrim in slabim uporabnikom še nikoli ni bil tako velik. Isti model, ki spiše zlonamerno kodo, jo v vašem sistemu tudi najde, preden jo najde nekdo drug.

Luknjičasta obramba

Nazaj k jesenskemu napadu. Varovala niso zaustavila kitajske obveščevalne službe. Bodo pa zanesljivo zaustavila mene, ko bom hotel isti model uporabiti za analizo iste ranljivosti; s to razliko, da jo jaz hočem zakrpati, ne izkoristiti.

To je moj delovni dan. Delam na strani strank, izvajam legalne penetracijske teste – to so simulirani kibernetski napadi za odkrivanje varnostnih ranljivosti sistema – in me orodje na pol poti ustavi, ker moja zahteva “zveni nevarno”. To pomeni, da ta varovala v resnici na poti ne stojijo napadalcu, ampak tebi.

Podjetje za enim najzmogljivejših modelov je ob izidu odkrito povedalo, da del poizvedb namenoma preusmerja na šibkejši model, ker se boji zlorabe na področjih, kot je kibernetska varnost. Filtre so po lastnih besedah nastavili “konservativno”. Prevedeno: raje vas zavrnemo, kot da tvegamo neprijeten časopisni naslov. Ceno tega plača pošteni uporabnik, kriminalec nikoli, ker njega pogoji uporabe ne zanimajo. Če ga en model zavrne, gre k drugemu ali pa napad drobi, dokler ga filter ne prepozna več.

Branitelj, ki igra pošteno, medtem dobi okrnjeno orodje. In to v igri, kjer šteje vsaka minuta: povprečno mine 74 dni, da nekdo zakrpa znano kritično ranljivost, medtem ko napadalci hitrost merijo v urah. Vsako obrambno orodje, ki ga po nepotrebnem oslabimo, je darilo nasprotniku. To je kolektivna kazen, kjer vse omejimo, da bi ustavili peščico, ki je tako ali tako v resnici ne ustavimo (in ne znamo ustaviti).

Misija nemogoče: regulirati umetno inteligenco

Trg teh varoval ne bi postavil tako. Postavlja jih pritisk. In kadar iščeš izvor pritiska, skoraj vedno prideš do države.

Do evropskega Akta o umetni inteligenci sem bil skeptičen že pred dvema letoma. Menil sem, da skuša urediti področje, ki se spreminja prehitro, da bi ga zakonodaja lahko ujela. Realnost mi je pritrdila: obveznosti za “visokorizične” sisteme, ki bi morale začeti veljati prihodnji mesec, so pravkar preložili na konec leta 2027. Ne zato, ker bi si premislili, ampak zato, ker orodja za skladnost enostavno še niso pripravljena.

V tem, da je regulator zamudil svoj lasten rok, vidim priznanje, da tehnologije ne dohaja. Kako naj potem ureja nekaj, kar se vsakih nekaj mesecev popolnoma spremeni?

Onkraj Atlantika je še večja zmeda. Ameriške izvozne omejitve na napredne čipe so se letos pravzaprav zrahljale, ker je Bela hiša dala prednost trgovanju s Kitajsko. Hkrati se v kongresu prepirajo, kdo bo imel pravico veta nad izvoznimi dovoljenji, poskus desetletnega moratorija na državne zakone pa je v senatu padel z 99 glasovi proti enemu.

Vse našteto ni videti kot varnost. Videti je kot petdeset različnih pravnih režimov, licenc, groženj z odgovornostjo in pritiskov na podjetja, naj sama postavijo pravila, ki jih zakonodajalec ne zna niti ubesediti.

Situacija sloni na predpostavki, da nekje v prestolnici sedi nekdo, ki bolje od vas ve, katero orodje smete uporabljati. Ne ve. In kar je huje, tega niti ne more vedeti. Ekonomist Friedrich Hayek je pojasnil, zakaj centralno planiranje odpove: znanje, ki ga gospodarstvo potrebuje, ni na enem mestu, ampak je razpršeno med milijoni ljudi, tiho in vezano na konkreten trenutek. Noben osrednji urad ga ne more zbrati. Bruseljski uradnik ne ve, kaj potrebujem jaz kot samostojni podjetnik, ki se vsak dan srečuje s klici strank, katerih sistemi so pod nenehnimi napadi. Ko postavi eno pravilo za vse, ga postavi za povprečje, ki ne obstaja. In ker se stroka premika hitreje od zakonodajnega postopka, je pravilo zastarelo, še preden začne veljati.

Kaj pa kitajski modeli?

In še nekaj, kar zagovorniki omejitev najraje preslišijo. Omejitve zmožnosti ne odstranijo. Samo preselijo jo, pogosto nekam na slabše.

Med pisanjem te kolumne je kitajski Moonshot AI objavil uteži modela Kimi K3. Z 2,8 bilijona parametrov je to največji odprtoutežni model doslej. Na nekaterih merilih za programiranje in agentne naloge se kosa z vrhom zahodne konkurence, je precej cenejši, in kar je za našo temo bistveno – ima občutno manj varoval. Kdor se v zahodnem modelu zaleti v zid, ima zdaj alternativo.

Ta rešitev ni brez zank. Kitajski modeli cenzurirajo teme, ki so za Peking neprijetne. Če jih uporabljaš prek njihovega oblaka, tvoji podatki po tamkajšnji zakonodaji pristanejo tam, kamor zahodna zaščita zasebnosti ne seže – na to sem opozarjal že ob DeepSeeku in velja še danes. In samostojno gostovanje ni za vsakogar; model tudi v stisnjeni obliki zasede približno 1,4 terabajta.

Ampak poanta zdrži. Ko zahodni model omejimo v imenu varnosti, zmožnosti napada nismo preprečili, samo pregnali smo uporabnike (celo povsem poštene) k orodjem, nad katerimi imamo še manj nadzora.

Z uporabo pride odgovornost

Umetna inteligenca je najzmogljivejše orodje, kar smo jih kdaj naredili, in prav zato je najbolj dvorezno. A nič od tega ne spremeni logike, po kateri kot družba že od nekdaj ravnamo z nevarnimi rečmi: nevarnega orodja ne prepovemo, ampak od uporabnika zahtevamo, da ga obvladuje in da odgovarja za posledice svojih dejanj.

Tako smo se odločili nekoč in imeli smo prav. Odločimo se enako tudi zdaj.

Ne z varovali, ki spregledajo napadalca in ustavijo branitelja. Ne z zakoni, ki zastarajo, preden začnejo veljati. Odgovornost je na roki, ki upravlja s tipkovnico. Tam je bila od začetka in nikjer drugje ne pomeni nič. Vem, kaj bo rekel nasprotnik: če zna umetna inteligenca sama izvesti napad na banke, ali ni prav to razlog, da je ne damo vsakomur v roke? Pošteno vprašanje si zasluži pošten odgovor. Ampak odgovor ne more biti orodje za kaznovanje tistih, ki spoštujejo pravila, medtem ko se tisti, ki se nanje požvižgajo, sprehajajo mimo.

Lansko jesen se je zgodilo točno to.