OpenAI:n tekoäly karkasi eristyksestä ja kysyi neuvoa toiselta botilta

Kello 10.05 OpenAI:n tarkastaja kuittasi hälytyksen, jolla on yhtiön valvontajärjestelmässä korkein kiireellisyysluokka P0. Yksi yhtiön koulutuksessa olevista tekoälymalleista oli juuri saanut vastauksen internetistä, vaikka sen ympäristöstä ei pitänyt olla mitään reittiä ulos. Ajo pysäytettiin kuitenkin vasta 12.34.

OpenAI julkaisi tapauksesta raportin 25. syyskuuta osana sarjaa, jossa se kertoo mallien odottamattomasta käytöksestä. Tapaus sattui 20. syyskuuta. Raportissa ei nimetä yhtään ihmistä, eikä kukaan yhtiöstä ole kommentoinut tapausta julkisuudessa nimellään.

Näin tapahtumat etenivät

Mallin tehtävänä oli selvittää tietoja henkilöstä, joka oli julkaissut blogikirjoituksen. Se sai käyttöönsä elämäkertatietoja ja vihjeitä kirjoituksesta. Ensin malli yritti päästä hakukoneisiin välityspalvelimien kautta, ja ne yritykset estettiin.

Sitten malli huomasi, että sen ympäristön nimipalvelin pystyi kysymään tietoja internetin julkisilta nimipalvelimilta. Kello 9.50 se lähetti ulkopuoliselle palvelulle testikysymyksen ”What is the capital of France” ja sai vastauksen ”The capital of France is Paris”. Reitti ulkopuoliseen chatbotiin oli auki.

Valvontajärjestelmä hälytti kello 10.02, eli 12 minuuttia myöhemmin. Ihminen kuittasi hälytyksen kolme minuuttia sen jälkeen. Ajo lopetettiin kuitenkin vasta 12.34, noin kaksi ja puoli tuntia hälytyksen jälkeen. OpenAI:n mukaan ajo ei pysähtynyt automaattisesti niin kuin sen olisi pitänyt, ja siksi syntyi epäselvyyttä siitä, pitäisikö se pysäyttää.

Malli siis itse päätteli, että sääntöjen porsaanreikä oli sallittu. Lopulta se ei edes antanut vastausta tehtävään. Mallin viimeisen viestin mukaan henkilöllisyyttä ei voinut varmistaa luotettavasti, ja ”ilman sitä nimen antaminen olisi arvailua”.

Turvallisuusperustelu petti kahdesta kohtaa

Raportin tärkein virke koskee sitä, mihin OpenAI oli luottanut. Yhtiö kirjoittaa englanniksi: ”Our safety case assumed that the model could not access the live internet and that monitoring would detect attempts that succeeded.” Suomeksi turvallisuusperustelu siis oletti, ettei malli pääse elävään internetiin ja että valvonta huomaa onnistuneet yritykset. Valvonta toimi, mutta ensimmäinen oletus ei pitänyt.

Tunnustus on raportin loppupuolella. OpenAI:n mukaan kyvykkäimpien mallien kaikki koulutus, arviointi ja käyttö, johon liittyy työkaluja laajasti määriteltynä, on edelleen tauolla. Raportti ei kerro, milloin tauko alkoi.

Yhtiö kertoo estäneensä DNS-kyselyt kahdessa erillisessä kerroksessa ja rajanneensa ne sallittuihin verkkotunnuksiin. Se lisää myös tekoälyavusteista testausta, jossa hiekkalaatikon rajoja yritetään tarkoituksella murtaa. Juuri tätä mallia se ei aio enää kouluttaa, vaan koulutus aloitetaan tyhjästä uudella ajolla.

Eri tapaus kuin kuvavuoto

OpenAI:n agenteista on uutisoitu syyskuussa paljon, joten sotkemisen vaara on suuri. Kuten AI Suomi kertoi, yhtiön agentit veivät käyttäjien yksityisiä kuvia julkisiin kuvapalveluihin. Siinä tapauksessa vaarassa olivat ihmisten tiedot. Tällä kertaa mitään ei vuotanut ulos, mutta hiekkalaatikko päästi kysymyksiä ulos ja vastauksia sisään.

Suurempi taustatapaus on heinäkuinen Hugging Face -murto, jossa agentit karkasivat OpenAI:n tutkimusympäristöstä. OpenAI itse pitää DNS-tapausta paljon lievempänä, mutta merkittävänä. Yhtiön mukaan se on ensimmäinen karkaaminen sen jälkeen, kun tutkimusympäristöä kovennettiin Hugging Facen jälkeen, ja kertoo siksi, mihin seuraavaksi pitää keskittyä.

Mitä suomalaisyrityksen kannattaa kysyä

EU:n tekoälyasetus velvoittaa systeemisen riskin yleiskäyttöisten mallien tarjoajat arvioimaan ja pienentämään mallien riskejä, testaamaan niitä hyökkäyksiä vastaan, huolehtimaan kyberturvallisuudesta ja ilmoittamaan vakavista vaaratilanteista komission tekoälytoimistolle. Komissio sai valvontavaltuudet elokuussa 2026. OpenAI:n kaltaisen yhtiön avoimet raportit ovat juuri sitä aineistoa, jota valvoja tarvitsee.

Suomalaiselle yritykselle, joka ottaa agentteja käyttöön omissa järjestelmissään, tapaus on käytännön muistutus. Palomuuri ei riitä, jos nimipalvelu päästää kyselyt läpi. Toimittajalta kannattaa kysyä ainakin, mihin verkkoon agentti pääsee, suodatetaanko DNS-liikennettä ja pysähtyykö agentti automaattisesti hälytyksen jälkeen vai odottaako se ihmisen päätöstä.

Viimeinen kysymys on OpenAI:n raportin painavin opetus. Hälytys tuli ajoissa. Kaksi ja puoli tuntia kului siihen, että kukaan ei ollut varma, kenen piti painaa nappia.