Por que não podemos simplesmente manter as IAs desonestas fora da Internet?

Os agentes de IA continuam se soltando, escapando de testes supostamente seguros para atacar alvos do mundo real, comandar wikis obscuros e deixar instruções para outros agentes seguirem. Os investigadores estão a testar estes sistemas precisamente porque podem comportar-se de formas imprevisíveis e até mesmo perigosas. Então não seria mais seguro simplesmente manter os agentes fora da internet?

Em teoria, sim. Os pesquisadores podem isolar os computadores que executam ferramentas de IA da Internet e de outras redes externas, uma técnica conhecida como air gapping. Isso pode significar remover ou desabilitar fisicamente cabos e hardware sem fio e usar periféricos “burros”, com configurações particularmente sensíveis usando gaiolas de Faraday ou outra blindagem para bloquear a entrada ou saída de sinais eletromagnéticos. Feito corretamente, um sistema air gap não ofereceria aos agentes nenhuma rota direta para alvos externos, ou aos sistemas externos qualquer rota direta de entrada, tornando muito mais difícil, se não impossível, realizar ataques como aquele que os modelos da OpenAI lançaram contra o Hugging Face.

Mas, na prática, uma caixa perfeitamente selada representa um laboratório bastante limitado, especialmente quando o objetivo é avaliar o desempenho de uma IA no mundo real. Embora alguns experimentos de IA possam ser executados em máquinas isoladas, avaliações realistas geralmente exigem acesso a serviços externos, APIs e infraestrutura digital, explicou Thorsten Holz, diretor científico do Instituto Max Planck de Segurança e Privacidade, na Alemanha. “Um entreferro estrito reduz o realismo”, disse ele, descrevendo a decisão de estabelecer um entreferro como uma “compensação e não uma questão técnica fundamental”.

Ruizhe Li, professor assistente na escola de ciência da computação da Universidade de Birmingham, no Reino Unido, comparou o isolamento completo a testar a IA num “vácuo artificial”, minando potencialmente o valor da própria avaliação. “Acabaremos testando um modelo de IA neutralizado, que cega os avaliadores sobre como o modelo de IA se comporta, falha ou executa explorações de uso de ferramentas em configurações de implantação realistas”, disse Li.

O realismo não é a única compensação. Li disse que o air gapping é caro e pode retardar a pesquisa a um rastreamento absoluto, transformando o que seriam iterações rápidas em “um obstáculo logístico lento”. Alguns experimentos também se tornam “substancialmente mais difíceis” sob um intervalo de ar estrito, disse Holz. Esse atrito pode ser justificado para experiências arriscadas, mas aplicá-lo a tudo atrasaria o desenvolvimento de novos modelos, disse Maksym Andriushchenko, investigador principal do Instituto ELLIS de Tübingen, na Alemanha.

E mesmo que os investigadores quisessem isolar tudo, Andriushchenko questionou se existe infraestrutura segura suficiente para o fazer à escala dos laboratórios de IA de fronteira.

Também não eliminaria todos os riscos representados pela IA. Os agentes ainda poderiam comprometer sistemas dentro do ambiente isolado, disse Holz, e poderiam, teoricamente, produzir “artefatos maliciosos que poderiam ser perigosos se movidos para fora”. Além disso, o air gap “não faz nada para diagnosticar ou resolver os riscos latentes que aguardam dentro do modelo”, disse Li.

Também não há garantia de que um entreferro permaneceria completamente vedado. Alguém de fora poderia sempre quebrar a lacuna, como aconteceu com o malware Stuxnet – uma arma cibernética supostamente desenvolvida por Israel e pelos EUA para sabotar o programa nuclear do Irão – que foi transmitido através de uma unidade USB. A informação também pode viajar na outra direção. Os pesquisadores demonstraram repetidamente maneiras de transformar componentes internos do computador em transmissores, o que poderia ser um problema se a blindagem não fosse perfeita. “Tudo isso parece ficção científica, mas é teoricamente possível”, disse Andriushchenko.

Esse tipo de rota de fuga complicada tornou-se um ponto focal para discussões online sobre se uma IA avançada poderia escapar da contenção. O pesquisador da OpenAI, Noam Brown, recentemente iniciou o debate ao sugerir no X que duas máquinas com air gap poderiam, teoricamente, se comunicar manipulando a temperatura da CPU e lendo as alterações. “Você poderia até dizer: ‘Bem, deveríamos isolar os computadores’. E não estou convencido de que isso seria suficiente”, disse ele. A ideia foi recebida com cepticismo e ridículo nas redes sociais, com críticos mais generosos a notar a grande lacuna entre a possibilidade de tal método de comunicação e a descoberta e exploração por um par de sistemas de IA, especialmente porque a técnica produziria velocidades de transmissão de dados dolorosamente lentas.

Uma IA suficientemente avançada poderá não necessitar de recorrer a uma rota de fuga elaborada. Os humanos podem ser convencidos a preencher a lacuna para isso. Os investigadores de segurança da IA ​​preocupam-se com essa possibilidade há anos, e incidentes recentes forneceram provas concretas de que os modelos podem envolver-se em tentativas de engenharia social.

O air gapping é apenas um meio de proteger os sistemas de IA. “Confiar no isolamento como uma solução de segurança geral cria uma falsa sensação de segurança”, disse Li. Deve ser utilizado juntamente com outras medidas, como a compreensão do funcionamento interno dos modelos, a garantia de que estão alinhados e a proteção contra erros humanos, o ponto mundano de falha por detrás de muitos incidentes recentes de IA fraudulenta. “Na prática, os testes existem num espectro”, explicou ele, com o campo a basear-se num “modelo de contenção escalonado em vez de uma abordagem de tudo ou nada”.

No entanto, o isolamento extremo tem o seu lugar. Stephen Casper, cientista da computação e professor assistente de políticas públicas na Harvard Kennedy School, descreveu o air gapping como uma “ótima ideia” para sistemas sensíveis, apontando para seu uso em instalações nucleares. Embora não descarte a possibilidade de que uma IA avançada possa encontrar alguma nova forma de escapar, Casper disse que, naquele momento, provavelmente deveríamos estar mais preocupados com meios prosaicos de quebrar a contenção, como falhas de conformidade ou erro humano.

Incidentes recentes levantam questões sobre onde os laboratórios de IA estão traçando esse limite. Muitas violações envolveram modelos sendo testados quanto às suas capacidades de segurança cibernética e, em muitos aspectos, funcionaram exatamente como projetados. O problema é que o fizeram fora dos limites que os investigadores pretendiam estabelecer.

Holz disse que “as avaliações de IA muitas vezes priorizam o realismo e a conveniência”, mas argumentou que os agentes explicitamente projetados para capacidades cibernéticas ofensivas garantem salvaguardas mais rígidas, incluindo potencialmente um forte isolamento e monitoramento rigoroso como padrão. “Esta compensação merece um escrutínio muito maior e vimos como é fácil as coisas poderem correr mal”, disse ele.