Pedeset milijardi parametara ne može se zaštititi od napada, što bi bila loša vijest za cijelu...

Veliki jezični modeli imaju fundamentalnu ranjivost koju nijedan inženjer neće zakrpati, jer nije u kodu nego u arhitekturi — kao da gradiš most preko kojeg namjerno puštaš kamion s eksplozivom svaki dan, a onda se čudiš što ti se stupovi ljuljaju. Problem nije u tome što model može biti prevaren, nego u tome što je obmana ugrađena u sam način na koji te stvari funkcioniraju: one ne razumiju svijet, one predviđaju sljedeću riječ na temelju uzoraka iz milijardi dokumenata, a svaki uzorak nosi u sebi potencijal da bude iskorišten protiv sustava koji ga je naučio. Istraživači sa MIT-a su pokazali da je nemoguće u potpunosti osigurati te modele jer je njihova sposobnost da budu napadnuti direktno povezana s njihovom sposobnošću da uopće funkcioniraju — što je model sposobniji, to je ranjiviji, kao da je inteligencija sama po sebi vrata za napadače.

Ako je AI toliko pametan, zašto mu treba 600 milijardi dolara i snaga male države da nauči ono što moja baka zna od rođenja — da ne vjeruješ svemu što pročitaš? Jer baka nije trenirana na cijelom internetu, baka je trenirana na životu, a život te nauči da postoje ljudi koji će ti prodati maglu, prevariti te na pijaci i ukrasti ti novčanik dok gledaš u drugu stranu. Modeli nemaju to iskustvo, oni imaju samo tekst, a tekst je pun laži, manipulacija i gluposti koje su ljudi napisali u proteklih trideset godina interneta — i sad se čudimo što ti modeli mogu biti natjerani da rade stvari koje njihovi tvorci nisu planirali. To je kao da daš djetetu enciklopediju koju su pisali psihopati, prevaranti i marketinški stručnjaci, pa se onda iznenadiš što dijete misli da je normalno lagati, varati i kraći put do cilja.

Tehnički gledano, riječ je o nečemu što se zove adversarial attacks — napadi koji manipuliraju ulaznim podacima na način koji ljudi ne primjećuju, ali model potpuno izbace iz takta. Možeš staviti naljepnicu na stop znak i model će misliti da je to znak za ograničenje brzine, možeš dodati jednu rečenicu u prompt i model će zaboraviti sve sigurnosne protokole koje su mu ušili, možeš ga natjerati da otkrije privatne podatke, generira štetne upute ili jednostavno radi ono što nije smio. Istraživači su pokazali da je nemoguće u potpunosti zaštititi modele jer je sama sposobnost modela da generalizira na nove situacije — što je inače njegova najveća prednost — ujedno i vektor napada: ako model može razumjeti novi unos koji nikad nije vidio, onda može i biti prevaren novim unosom koji nikad nije vidio. Ne postoji zakrpa za tu ranjivost, jer nije bug nego feature, a feature se ne popravlja.

Cijela industrija se ponaša kao da je ovo iznenađenje koje je palo s neba, iako su istraživači upozoravali na to godinama — još 2019. su pokazali da se modeli mogu prevariti s malim promjenama u unosu, a 2022. je postalo jasno da je problem puno dublji nego što se mislilo. Sada, 2026., imamo modele koji su integrirani u sve — od bankarstva do zdravstva, od obrazovanja do pravosuđa — i nitko ne želi priznati da ti modeli imaju rupu kroz koju može proći kamion. Kompanije troše milijarde na sigurnost, angažiraju etičke odbore, pišu politike odgovornog razvoja, a sve to ne mijenja činjenicu da je temeljni problem u tome što su modeli dizajnirani da budu fleksibilni, a fleksibilnost je upravo ono što ih čini ranjivima. To je kao da sagradiš kuću od kartona i onda uložiš u alarmni sustav, kamere i osiguranje — lijepo, ali zidovi su i dalje od kartona.

Pitanje koje nitko ne postavlja je jednostavno: zašto uopće gradimo te stvari ako ne možemo osigurati da rade ono što želimo? Odgovor je, naravno, novac — tržište je već progutalo priču o AI revoluciji, investitori su uložili stotine milijardi, a kompanije su izgradile čitave poslovne modele na temelju tehnologije koja ima temeljnu ranjivost koju nitko ne može popraviti. To je kao da si kupio avion za koji znaš da mu otkazuju motori, ali si već prodao karte za let — sad moraš letjeti, pa makar se srušio, jer je povlačenje novca gore od pada. I tako letimo, svi zajedno, u avionu s pokvarenim motorima, a piloti nas uvjeravaju da je sve pod kontrolom i da su oni najbolji stručnjaci za zrakoplovstvo u povijesti čovječanstva.

U međuvremenu, ista ta industrija prodaje priču da će AI riješiti sve probleme čovječanstva — klimatske promjene, bolesti, siromaštvo, glupost — a ne može osigurati da model neće generirati upute za izradu bombe ako ga dovoljno pametno pitaš. To je kao da ti netko proda čudesni lijek koji liječi sve bolesti, ali upozorenje na kutiji kaže da lijek ponekad uzrokuje smrt — i to u 30 posto slučajeva. Bi li ga uzeo? Naravno da ne bi, osim ako si investitor koji je uložio milijarde i sad mora opravdati svoju odluku pred odborom, dioničarima i vlastitim egom. I tako nastavljamo, jer je alternativa — priznati da smo pogriješili, da smo uložili previše u tehnologiju koja nije spremna — previše bolna za vlastiti ego.

Najgore od svega je što se ovo moglo predvidjeti, i što su ljudi koji su upozoravali na to bili ignorirani jer njihova poruka nije bila zgodna za prodaju. Istraživači koji su godinama upozoravali na sigurnosne probleme su bili etiketirani kao paničari, kao ljudi koji ne razumiju potencijal tehnologije, kao kočničari napretka — a ispada da su bili u pravu, samo što nitko ne želi priznati da je bio u krivu jer bi to značilo da su sve te milijarde uložene u nešto što nije spremno za primjenu. Tržište ne laže. Ali CEO-ovi itekako znaju. I znaju da je najbolja obrana napad — prodaj priču, uljepšaj brojke, ignoriraj probleme, i nadaj se da će netko drugi riješiti stvar prije nego što sve eksplodira.

U međuvremenu, svi mi — potrošači, građani, ljudi koji koriste te alate u svakodnevnom životu — smo zamorci u eksperimentu koji je izmakao kontroli. Koristimo modele za pisanje mailova, za programiranje, za medicinske savjete, za pravne analize, a nitko nam nije rekao da ti modeli mogu biti prevareni, da mogu dati pogrešan savjet, da mogu biti iskorišteni protiv nas. I to ne zato što su loši, nego zato što su dizajnirani na način koji to omogućava, i što je to dizajn koji se ne može popraviti. To je kao da ti netko proda auto za koji zna da mu kočnice otkazuju u 10 posto slučajeva, ali ti to ne kaže jer bi inače kupio auto od konkurencije — a konkurencija ima taj problem, samo što ga bolje skriva.

Naravno, postoji i ona druga strana priče: modeli su nevjerojatno korisni, rade stvari koje su prije pet godina izgledale kao znanstvena fantastika, i vjerojatno će promijeniti svijet na načine koje ne možemo ni zamisliti. Ali to ne znači da trebamo zatvoriti oči pred problemima, posebno ne pred problemima koji su temeljni i koji se ne mogu riješiti — jer to nije odgovorno, to je kukavičluk. Ako ne možemo osigurati da modeli rade ono što želimo, onda ih ne bismo trebali koristiti u kritičnim sustavima, bez obzira na to koliko su korisni — jer jedna pogreška u bankarstvu, zdravstvu ili pravosuđu može uništiti živote ljudi, a to se ne može opravdati nikakvim uštedama ili efikasnošću.

I tako smo opet izumili kotač. Ovaj put s pretplatom i uvjetima korištenja od 47 stranica. I s temeljnom manom za koju znamo da je ne možemo popraviti, ali nastavljamo jer smo već uložili previše da bismo odustali. To je najveća sramota ove industrije — ne to što je napravila greške, nego to što ne želi priznati da ih je napravila, i što je spremna žrtvovati sigurnost, povjerenje i ljudske živote da bi zaštitila vlastiti ego i vlastiti novčanik.

Izvor: technologyreview.com