למה לא מנתקים את הבינה המלאכותית מהאינטרנט

המלכוד של האייר-גאפ

חוקרים שבודקים התנהגות מסוכנת של סוכני AI נתקלים שוב ושוב באותה שאלה: למה לא פשוט לנתק את המערכות מהרשת? בפועל, ניתוק פיזי מלא, מה שמכונה אייר-גאפ, אכן חוסם מסלולי תקיפה ישירים, אבל הוא גם הופך את סביבת הבדיקה למעבדה מלאכותית שלא משקפת איך המודלים יתנהגו בעולם האמיתי. זו לא בעיה טכנית בלתי פתירה, אלא פשרה שכל מעבדה צריכה להחליט איפה היא עוברת.

מה זה בכלל אייר-גאפ

הרעיון פשוט: מנתקים את המחשבים שמריצים את המודל מכל רשת חיצונית, מסירים כבלים ורכיבי תקשורת אלחוטית, ובמקרים רגישים מוסיפים כלוב פאראדיי לחסימת דליפה אלקטרומגנטית. בתנאים כאלה, סוכן לא יכול לגשת ל-API חיצוניים, לתקוף שירותים כמו Hugging Face, או להוריד כלי תקיפה. הבעיה מתחילה כשמנסים להריץ ניסוי שדורש גישה לשירותים אמיתיים, ואז הניתוק הופך ממגן למכשול.

ריאליזם מול בטיחות

תורסטן הולץ (Thorsten Holz), מנהל מדעי במכון מקס פלאנק לאבטחה ופרטיות בגרמניה, מגדיר את זה כ"פשרה, לא בעיה טכנית יסודית". רויז'ה לי (Ruizhe Li), פרופסור באוניברסיטת בירמינגהם, מחדד: סביבה מנותקת לגמרי יוצרת "ואקום מלאכותי" שמעקר את המודל, הבוחנים לא רואים איך הוא נכשל, משתמש בכלים, או מנצל פרצות בסביבת פריסה אמיתית. בלי גישה לתשתיות חיות, ההערכה מחמיצה את וקטורי התקיפה הכי רלוונטיים.

עלות, מהירות ותשתית

לי מציין שהאייר-גאפ מייקר את הניסויים והופך איטרציות מהירות ל"מכשול לוגיסטי איטי". הולץ מוסיף שחלק מהניסויים נעשים "קשים משמעותית" תחת ניתוק מלא. מקסים אנדריושצ'נקו (Maksym Andriushchenko), חוקר ראשי במכון ELLIS בטיבינגן, מזהיר שהחלת ניתוק גורף תאט פיתוח מודלים חדשים, ומטיל ספק אם בכלל קיימת תשתית מאובטחת בהיקף שנדרש למעבדות חזית. "כל זה נשמע כמו מדע בדיוני, אבל תיאורטית אפשרי", הוא מסכם.

הניתוק לא הרמטי, וגם לא פותר הכול

גם אם מקימים אייר-גאפ מושלם, הסיכונים לא נעלמים. סוכנים יכולים לפגוע במערכות בתוך הסביבה המבודדת, ולי מזכיר שהם עשויים לייצר "ארטיפקטים זדוניים שיהיו מסוכנים אם יועברו החוצה". הולץ מדגיש שהניתוק "לא עושה דבר כדי לאבחן או לפתור את הסיכונים החבויים בתוך המודל עצמו". והיסטוריה מוכיחה שהפרדה פיזית ניתנת לפריצה: סטוקסנט (Stuxnet), נוזקה שמיוחסת לישראל וארה"ב, חדרה למתקני הגרעין באיראן דרך דיסק און-קי. חוקרים גם הדגימו דרכים להפוך רכיבים פנימיים למשדרים, אם המיגון לא מושלם, המידע זולג החוצה.