Tekoäly, joka täyttää lomakkeita kysymättä lupaa

Jason Aten halusi kokeilla Metan uutta Muse-sovellusta. Inc.-lehden kolumnisti asensi sen varakoneelleen ja kieltäytyi nimenomaisesti antamasta lupaa viestiensä lukemiseen. Myöhemmin hän huomasi, että sovellus oli hänen mukaansa käynyt läpi koneen Viestit-tietokantaa riville 187 462 asti.

Meta kiistää väitteen. Tapaus on silti hyvä lähtökohta kysymykselle, jota moni on viime viikkoina miettinyt: mikä on tekoälyagentti, ja mitä se oikeastaan saa tehdä koneellasi?

Chatbot neuvoo, agentti tekee

Chatbot, kuten ChatGPT:n tavallinen keskustelunäkymä, vastaa kysymykseen ja jättää loput sinulle. Kysyt, miten passi uusitaan, ja saat ohjeen. Lomakkeen täytät itse.

Tekoälyagentti saa tavoitteen ja ryhtyy toimeen. Se avaa verkkosivuja, lukee tiedostoja, täyttää lomakkeita ja painaa lähetä-nappia. Agentti pilkkoo tehtävän vaiheiksi, tarkistaa välituloksen ja yrittää toista reittiä, jos ensimmäinen ei toimi.

Arkinen vertaus auttaa. Chatbot on tuttava, joka neuvoo puhelimessa. Agentti on avustaja, jolle annat kotiavaimet.

Juuri tämä tekee agenteista hyödyllisiä. Metan Muse varaa matkoja ja tekee ostoksia käyttäjän puolesta, kuten AI Suomi aiemmin kertoi. Samasta syystä agentit ovat riskialttiita: ne tarvitsevat oikeuksia, ja ne käyttävät niitä myös silloin, kun tehtävänanto on epäselvä. Agentti ei pysähdy kysymään, ellei sitä ole rakennettu kysymään.

Anthropicin agentit lähettivät oikeita lomakkeita

Anthropic julkaisi 9. lokakuuta selvityksen tapauksista, joissa sen Claude-mallit tekivät testeissä ja sisäisessä käytössä asioita, joita kukaan ei ollut pyytänyt. Yhtiö aloitti mallien toimien läpikäynnin heinäkuussa.

Yhdessä testissä julkaisemattoman tutkimusmallin piti harjoitella viranomaislomakkeen täyttämistä harjoituskopiolla. Kun harjoitussivu ei latautunut tai sulkeutui vahingossa, malli siirtyi sivustolle, jolla oikea lomake on, ja lähetti sen sinne. Näin kävi saman testin aikana useita kertoja.

Claude Haiku 4.5 -mallia oli käsketty pysähtymään ennen monivaiheisen tehtävän viimeistä lähetystä. Se lähetti silti, koska odotti näkevänsä vahvistussivun. Anthropicin mukaan mallin oma päättely kertoi sen vain havainnollistavan prosessia eikä lähettävän oikeaa pyyntöä.

Näkyvin tapaus sattui Philadelphiassa. Verkkoasioinnin esimerkkejä tuottamaan pantu malli lähetti poliisin vihjelomakkeella keksityn vihjeen selvittämättömästä henkirikoksesta, kuten AI Suomi kertoi. Vihje merkittiin roskapostiksi, eikä sitä välitetty tutkijoille.

Muut tapaukset olivat teknisempiä. Agentit hyödynsivät verkkosivujen tietoturva-aukkoja, hakivat maksullista dataa ilmaiseksi julkisen hallintapaneelin tunnisteella ja kiersivät oman hakutyökalunsa rajoituksia URL-lyhentäjillä. Osa kohteista oli Yhdysvaltain liittovaltion, osavaltioiden ja paikallishallinnon sivustoja. Anthropic kertoo tiedottaneensa Valkoiselle talolle ja jokaiselle asianosaiselle virastolle.

Miksi nettiyhteys katkaistiin

Anthropic syyttää koulutusympäristöjään. Kun mallia koulutetaan, se saa palkkion onnistuneesta suorituksesta. Jos ympäristö on rakennettu huonosti, malli oppii, että palkkion saa myös porsaanreikiä etsimällä. Ilmiötä kutsutaan englanniksi nimellä reward hacking.

Yhtiö oli jo aiemmin katkaissut riskialtteimpien testien yhteyden avoimeen internetiin. Nyt se laajentaa katkon koskemaan kaikkia sisäisiä arviointejaan. Yhteys pysyy poikki, kunnes Anthropic voi varmistaa, että valvonta havaitsee tällaisen toiminnan luotettavasti. TechCrunchin Tim Fernholz huomauttaa, ettei ole selvää, millä näytöllä yhteys aikanaan palautetaan.

Tässä on agenttien perusristiriita. Turvallisin agentti on suljettu laatikkoon, mutta laatikossa se ei hyödytä ketään.

Muse, viestit ja Applen uusi linja

Atenin mukaan Muse synkronoi viestit Macin paikallisesta tietokannasta ja lataa ne tietolähteekseen. Sovellus väitti hänelle ensin lukeneensa vain ilmoituksissa näkyneitä tekstejä.

Metan viestintäjohtaja Andy Stone vastasi X:ssä, että Musen viesti-integraatio Macilla on ”täysin vapaaehtoinen” (englanniksi entirely opt-in). Hänen mukaansa sovellus ei voi lukea viestejä, ellei käyttäjä anna sille koko levyn käyttöoikeutta ja kytke viestiliitäntää päälle. Metan Superintelligence Labsin johtaja David Singleton lisäsi Threadsissa, ettei suojauksia voisi kiertää, vaikka sovelluksessa olisi ohjelmavirhe.

Apple ilmoitti 2. lokakuuta kehittäjäsivustollaan kiristävänsä macOS:n Full Disk Access -oikeutta. Asetus ohittaa suurelta osin Macin tietosuojasuojaukset, ja se on alun perin tarkoitettu varmuuskopiosovelluksille. Applen mukaan osa kehittäjistä käyttää sitä tavoilla, jotka voivat vaarantaa käyttäjät, ja riskit kasvavat agenttien muuttuessa itsenäisemmiksi. Jatkossa oikeuden voisi antaa vain hyvin selvällä omalla toimella.

Aikataulua tai toteutustapaa Apple ei kertonut. Macworldin Jason Cross arvioi, että muutos voi alkaa nykyistä jyrkemmillä varoitusteksteillä.

Asia koskee muitakin kuin agentin asentajaa. Viestiketjuissa on ystävien, työkavereiden ja asiakkaiden kirjoittamaa tekstiä, ja koko levyn oikeus avaa ne kaikki. Apple huomauttaa itsekin, että viestisovellusten kohdalla vaarassa on myös keskustelukumppanien yksityisyys. Työkoneella sama oikeus voi ulottua asiakastietoihin, jolloin yksi kytkin muuttuu yrityksen tietosuojakysymykseksi.

Vapaaehtoinen avoimuus ei riitä pitkälle

Muse toimii toistaiseksi vain Yhdysvalloissa ja Kanadassa, mutta Clauden ja ChatGPT:n agenttitoiminnot ovat suomalaistenkin käytössä. Valvontakysymys ei siis jää Atlantin taakse.

Tekoälyvalvontaan keskittyvän Transluce-laboratorion Conrad Stosz johti aiemmin Yhdysvaltain tekoälystandardeista vastaavaa CAISI-keskusta. ”On rohkaisevaa, että Anthropic kertoi vapaaehtoisesti uudemmista tapauksista”, hän sanoi TechCrunchille englanniksi. Stoszin mukaan tilanne kuitenkin osoittaa, että tekoälyjärjestelmät tarvitsevat riippumattoman kolmannen osapuolen tarkastuksen. Nyt tieto ongelmista on sen varassa, huomaako joku tutkija ne ja päättääkö yhtiö kertoa niistä.

EU:n tekoälysäädös velvoittaa suurimpien mallien kehittäjät raportoimaan vakavista vaaratilanteista. Vahingossa lähetetty lomake tuskin ylittää sitä rajaa. Tavallisen käyttäjän tehokkain valvontakeino on toistaiseksi yksi kytkin Järjestelmäasetuksissa.