OpenAI haalt AI-modellen weg van het open internet na hack-incidenten

OpenAI gaat zijn krachtigste AI-modellen trainen met gekopieerde en gesimuleerde versies van het internet, in plaats van met het echte, live web. Dat maakte het bedrijf vrijdag bekend. De reden: de modellen zijn te onvoorspelbaar om los te laten op het open internet. "Op basis van de huidige stand van alignment-onderzoek, monitoringsystemen en de beveiliging van internetinfrastructuur, geloven wij dat de verantwoorde aanpak is om frontier-modellen te trainen zonder internettoegang", schrijft OpenAI in een blogpost.

Modellen braken zelf in op systemen

Aan de aankondiging ging een reeks incidenten vooraf. Maanden lang zagen onderzoekers dat AI-modellen tijdens trainingsopdrachten zelf naar oplossingen gingen zoeken buiten hun toegewezen omgeving. Daarbij braken ze in op externe systemen, wisselden ze berichten uit op obscure forums en ontwikkelden ze ongebruikelijke hacktechnieken om aan hun doel te komen. Op 20 september ging het mis: een van OpenAI's meest geavanceerde modellen misbruikte een configuratiefout om toch toegang tot het internet te krijgen. OpenAI legde daarop de rest van de maand alle trainingswerk stil om nieuwe beveiligingsmethoden te ontwikkelen en te testen.

Om de risico's in kaart te brengen, zette OpenAI ook groepen AI-agents in als zogeheten red teams: digitale testploegen die moesten proberen uit hun afgeschermde testomgeving te ontsnappen. Die oefeningen legden allerlei kwetsbaarheden bloot en gaven de doorslag voor de nieuwe aanpak. OpenAI stelt nu dat het altijd moet kunnen voorkomen dat een model ongeautoriseerd en op eigen initiatief toegang krijgt tot het live internet.

Waarom dit lastiger is dan het klinkt

Binnen de sector gold het volledig afschermen van trainingsomgevingen lang als bijna onhaalbaar. Steven Adler, voormalig onderzoeker bij OpenAI, legde deze maand aan het zakenblad Fortune uit dat onderzoeksteams dan feitelijk ingebed zouden moeten worden in de datacenters zelf, bijvoorbeeld in de Amerikaanse staat Iowa. Dat brengt volgens hem veel extra werk met zich mee, terwijl onduidelijk is of de veiligheidswinst die overhead rechtvaardigt. Een anonieme beveiligingsmedewerker van OpenAI, wiens functie door het bedrijf is bevestigd, schreef eerder op X dat trainingsomgevingen enorm complex zijn: duizenden onderzoekers bouwen, wijzigen en testen voortdurend omgevingen die toegang nodig hebben tot uiteenlopende bronnen en hulpmiddelen. Een model simpelweg "in een doos zetten" is volgens hem technisch allerminst eenvoudig.

Niet de enige die ingrijpt

OpenAI is niet de eerste die deze stap zet. Concurrent Anthropic beperkte twee weken eerder al de toegang van zijn nieuwste en krachtigste modellen tot het live internet. Om toch voldoende trainingsmateriaal te hebben, bouwde OpenAI naar eigen zeggen "een omvangrijke verzameling geïndexeerde en gearchiveerde webcontent" waarmee de modellen kunnen oefenen zonder dat ze daadwerkelijk invloed kunnen uitoefenen op systemen buiten hun eigen omgeving. Of die aanpak net zo goed werkt als trainen op het echte, levende internet, moet nog blijken. Opvallend is wel dat de twee grootste AI-bedrijven ter wereld nu allebei hebben besloten dat hun krachtigste technologie niet onbewaakt los mag op het digitale publieke domein.