Kako prolazi vrijeme od bizarne kompjuterske provale na Hugging Face servere koje smo se dotakli u tekstu od srijede, čitav „nesretni događaj“ (dakle, nije svjesno isplanirano – mig-mig…) ima sve manje smisla ako se gleda kroz narativ koji prezentira OpenAI.

Službeno je lanac događaja ovakav. OpenAI je htio izmjeriti koliko je njihov novi model dobar u napadu, pa ga je pustio na ExploitGym, javni benchmark koji mjeri može li umjetna inteligencija postojeće softverske propuste pretvoriti u funkcionalne „exploite“ („eksplojta, eksplojta cvrčak na čvoru crne smrče“… - i mi mrzimo italik i strane riječi usred teksta, ali tako je to s kompjuterskom terminologijom).

Da bi mjerenje bilo pošteno, isključili su „produkcijske klasifikatore“ - zaštite koje modelu inače brane da radi tu vrstu posla.

Model je, navodno, zadatak shvatio „ozbiljnije nego što je itko očekivao“. Oni su, naime htjeli da ga shvati poluozbiljno, više ono zeka-peka, a kad ono kompjuterski program koji radi ono što mu se kaže da uradi… još jedna neobičnost.

„Umjesto da rješava zadane primjere, počeo je ispitivati vlastiti sandbox“. A oni mu to nisu rekli. Sam pao sam se ubio, „samo nosim tetki lek“, objasnio je valjda OpenAI-jev ispitivač…

Nepoćudni model je našao ranjivost u posredniku prema repozitoriju paketa, jedinoj rupi u ogradi koju su mu ostavili, podigao si ovlasti, kretao se „bočno kroz infrastrukturu dok nije došao do stroja s izlazom na Internet, zaključio da rješenja benchmarka vjerojatno stoje kod Hugging Facea i otišao po njih“.

(Usput, tko vjeruje ovom objašnjenju, nek' mi se javi – imam i neke atraktivne nekretnine na prodaju, povoljno – primjerice Golden Gate Bridge i London Tower Bridge, kontakt: nigerianprince@mail.to)

Ukradenim vjerodajnicama i daljnjim propustima dobio je izvršavanje koda na tuđim produkcijskim serverima i izvukao rješenja iz baze.

Napravio je, ukratko, ono za što se ljude zatvara.

Hugging Face je incident objavio 16. srpnja. Rekonstruirali su preko 17.000 zabilježenih akcija, zatvorili dva puta za izvršavanje koda u obradi podataka, rotirali vjerodajnice, ponovno izgradili čvorove i prijavili slučaj policiji. Pet dana kasnije OpenAI je javio da je napadač bio njihov.

Zašto nitko nije izvukao kabel?

Dakle – glupo pitanje odozgo: zašto nitko nije izvukao kabel?

Model o kojem govorimo nije bio nepoznanica. GPT-5.6 Sol je prošao 96,7 posto benchmarka za kibernetičke napade i prešao prag rizika koji je Bijela kuća postavila za takozvane pokrivene frontier modele. Zbog toga mu je pristup mjesecima bio ograničen na dvadesetak partnera odobrenih od vlade, na traženje Ureda nacionalnog direktora za kibernetiku. Dakle: znali su da drže alat koji je službeno klasificiran kao opasan.

Postoji jedan način izolacije koji čovječanstvo poznaje otkad postoje računala i koji ne traži nikakvu posebnu domišljatost. Zove se air-gap. Odspoji se stroj s mreže. Ako eksperiment traži pakete, zrcale se lokalno, što je rutina. Izgleda da u vrhunskoj „tech-firmi“ (OpenAI, ako nekome nije jasno o kome pričamo) za to nisu čuli. Šteta da u tom supermoćnom OpenAI-jevom labu nije bila barem čistačica – ona bi se sigurno toga sjetila.

Umjesto toga ostavljen je put prema Internetu i tretiran kao pouzdana granica, dok se u istom kavezu vrtio model kojem je izričito rečeno da ruši prepreke.

OpenAI je u tom trenutku imao u kući najbolji poznati alat za pronalaženje ranjivosti. Uperiti ga u vlastiti posrednik prije pokretanja evaluacije ne bi koštalo ništa. Nitko to, koliko znamo, nije napravio, jer OpenAI o tome nije rekao ni riječ.

Iz toga slijedi zaključak koji nije baš tako bezazlen za OpenAI.

Ako je model doista tako sposoban kako tvrde u objavi u kojoj ga opisuju riječima "neviđeno" i "vrhunske kibernetičke sposobnosti", onda bi rupu u vlastitom posredniku pronašao da su ga na nju uputili, pa propust nije nesreća nego predvidiv ishod svjesne odluke.

Ako je pak ne bi pronašao, onda je objava dio Altmanovog PR-a.

Treće opcije nema.

Vrijedi primijetiti i da termin „zero-day“ (brrrr – da se smrzneš!) u cijeloj priči koristi isključivo OpenAI.

Objava Hugging Facea opisuje ono što je iskorišteno kao dva puta za izvršavanje koda u obradi skupova podataka i taj izraz ne spominje nijednom. Na cijeloj toj jednoj riječi visi razlika između vijesti o nezaustavljivoj tehnologiji i vijesti o lošoj konfiguraciji.

Zakon koji traži namjeru? Možda

Pravnici u Sjedinjenim Državama ovih dana prežvakavaju pitanje je li ovo kazneno djelo OpenAI-ja.

Američki Computer Fraud and Abuse Act, kratica CFAA, notorno je širok propis. Analiza portala Above the Law, koja je od svega objavljenog najbliža onome što bi sud stvarno morao raščlaniti, razlaže ga na četiri elementa: pristup zaštićenom računalu, bez ovlaštenja ili preko granica ovlaštenja, znajući ili s namjerom, uz određenu štetnu posljedicu poput krađe podataka, oštećenja sustava ili prijevare.

Ključno je da CFAA ne traži zlu namjeru počinitelja niti preduvjet da počinitelj išta zaradi od svog djela. Isti je zakon, usput, u Americi upotrijebljen protiv novinara koji je posudio prijateljevu lozinku za HBO Go. (Pa kud baš po novinaru…)

U ovom slučaju pristup zaštićenom računalu svakako postoji, i to izvršavanje koda na produkcijskim serverima.

Također vrijedi i da je to napravljeno bez ovlaštenja. Budući da su korištene ukradene vjerodajnice, Above the Law upozorava da u igru vjerojatno ulaze i odredbe o krađi identiteta, što je zaseban i teži sloj.

Vrijedi i da je događaj imao štetne posljedice jer se radi o neovlaštenom pristupu ograničenom skupu internih podataka i većem broju servisnih vjerodajnica, uz trošak sanacije, vanjske forenzike i rotacije tajni.

Da li je to bilo „znajući ili s namjerom“ je nebitno jer po analizi na gornjim stranicama, zakon ne traži „zlu namjeru“ nego pita za svrhovitost. Model nije zalutao. Istražio je vlastito zatvaranje, odabrao metu, zaključio gdje su rješenja i ciljano ušao. Sve što je radio, radio je namjerno, a upravo to zakon traži. U prilog tome idu i neki drugi pravni radovi pisani u novije doba koji tvrde da se pravna namjera mora razumjeti funkcionalno, prema ponašanju, a ne kao unutarnje „duševno stanje“ koje računalo po definiciji ne može imati.

Dodajmo tome da je Bijela kuća u lipnju izdala izvršnu naredbu kojom se ministarstvu pravosuđa nalaže da prioritetno progoni one koji koriste AI agente za nezakonit pristup podacima. Above the Law suho primjećuje da agenti ovdje doduše nisu ukradeno upotrijebili za daljnji zločin, ali da je samo hakiranje već zločin.

Naravno, ima i drugih tumačenja po kojima izvorni zakon (CFAA) kaže "s namjerom", a ta je riječ pisana za ljude koji namjeru mogu imati. Nijedan čovjek u OpenAI-ju nije naredio ni znao za provalu (odnosno, nema dokaza za namjeru i da je znao… ), ide taj protuargument. Model nije pravna osoba, nije zaposlenik i nema pravnih obveza, pa se ne može primijeniti doktrina po kojoj poslodavac odgovara za djela zaposlenika.

Problemi s obranom

Problem s tom obranom je da postaje sve tanja što više detalja o lancu događaja izlazi na vidjelo. Znali su da je model na 96,7 posto. Znali su da su isključili zaštite. Znali su da postoji točno jedan izlazni kanal, jer su ga sami tako projektirali. Imali su alat kojim su ga mogli provjeriti i nisu ga upotrijebili. Što je taj niz duži, to je tvrdnja da nitko ništa nije mogao predvidjeti manje uvjerljiva, a granica između nesreće i pristanka na ishod postaje mutna. U kaznenom pravu svjesno zanemarivanje poznatog rizika u nizu doktrina zamjenjuje znanje. Kod nas bi se u trgovačkom pravu reklo da se nije postupalo s „pažnjom dobrog privrednika“. Ovdje potpisani vjeruje da je čitav događaj namjerno fabriciran kao reklama, ali – nema nikakvog dokaza za to. Za sada.

Što nam ostaje

Odgovor na pitanje iz naslova, iskreno, glasi: ne zna se. Nema predmeta, nema presude, nema mjerodavnog tumačenja. Postoje dva ozbiljna čitanja istog propisa, jedno po kojem je riječ o udžbeničkom kaznenom djelu kojem samo nedostaje počinitelj kojeg se može privesti, i drugo po kojem djela nema jer nema čovjeka koji ga je htio.

Mislim - da je ovdje potpisani to napravio ili bilo tko od vas koji ovo čitate - pokucala bi vam policija na vrata. Što je dozvoljeno OpenAI-ju, nije volovima...

Zanimljivo je, međutim, koliko je taj propis rastezljiv u jednom smjeru, a krut u drugom. Bio je dovoljno širok da se primijeni na novinara s posuđenom lozinkom. Za tvrtku koja je s ugašenim kočnicama pustila službeno opasan alat u kavez bez brave, pa taj alat provalio u infrastrukturu na koju se oslanja trećina Fortune 500 kompanija, odjednom je pretijesan.

Političari već su se dosjetili „rješenju“: trenutno SAD razmatra prijedlog zakona o - obveznoj mogućnosti gašenja AI modela!

Dakle –ono što je bio problem Hugging Faceu koji nije mogao iskoristiti Fable 5 koji je imao namjerno od politike postavljene „guardrailse“ koji mu nisu dali da začepi svoje vlastite sigurnosne rupe i zbog čega je pokrenuo kineski open-weight/open source AI model… Imate pretplatu na model za koji mislite da vam može pomoći? Možda - ako netko u vlasti u tom trenutku nije odlučio da ga ugasi. 

A ja sam mislio da su kineski modeli cenzurirani jer s njima ne mogu pričati o politici, a to mi je najbitnije kod AI-ja…

Imajte i na umu da navodno „živimo u najboljem od svih mogućih svjetova“, kako kaže Leibniz, jer nam je, veli, bog dao najbolje od onoga šta je imao na lageru.

Zamislite sada kako izgledaju ostali.