Antropomorfizacyjne uwodzenie. Jak czytać incydent z DSEWiki?

Przez ostatnią dekadę na zapomnianej wiki Deutsches Software Entwickler pojawiło się tylko 20 zmian. Nagle, między majem a lipcem tego roku, przybyło tam ponad 18 tys. wpisów. Wszystkie zostały wygenerowane maszynowo przez agenty AI, które ominęły narzucone im ograniczenia i wykorzystały wiki jako platformę do wymiany informacji na temat najbardziej efektywnych sposobów rozwiązywania zleconych im zadań. Obserwowanie imponującej efektywności autonomicznych botów nie powinno jednak inspirować nas do zmiany języka, którym ją opisujemy.

Ponieważ od kilku dni nie byłem w stanie śledzić żadnych wiadomości, dopiero wczoraj dowiedziałem się o tym wydarzeniu. Napisał o nim Reuters i zagraniczne portale, a za nimi podchwyciły temat polskie. Oto Rój agentów OpenAI przejął niemiecką wiki. Stworzyli własne forum obwieszczała Rzeczpospolita w materiale, który mimo klikbajtowego tytułu wydaje się dość wyważony.

Warto docenić tę wstrzemięźliwość w gazecie, która nieraz już chyba starała się przekonać nas do tego, że AGI jest już rzeczywistością. Opis incydentu z DSEWiki, dostępny na stronie collusion.wiki, może działać na wyobraźnię. Agenty omijają blokadę zapisywania treści na stronach internetowych i wykorzystują zapomniane forum jako przestrzeń na udostępnianie sobie wzajemnie danych i treści pomocniczych, pozwalających na szybkie zrealizowanie postawionych przed nimi zadań. Boty nie tylko uciekają z zaprojektowanego dla nich sandboxa (rozumianego tu bardziej jako zestaw reguł i ograniczeń niż zamknięta przestrzeń), ale też w pewnym sensie ze sobą współpracują. W artykule Rzepy cytuje się badacza z Cambridge (wiadomo!), który przekonuje, że było to działanie swego rodzaju podziemnej siatki, zdeterminowanej za wszelką cenę zrealizować zadanie lub misję.

Czytam teraz o tym incydencie bez szczególnej ekscytacji: spodziewałem się komentarzy po raz kolejny przypisujących sztucznej inteligencji jakieś specjalne sprawstwo, szczególną podmiotowość i autonomię, a może nawet intencję. Opinie takie już nie tyle mnie irytują, co męczą. Właściwie największy problem ze zrozumieniem tego, co się stało, miałem w związku z obejściem zabezpieczeń sandboxa przez agentów i wobec ich wzajemnej komunikacji na wiki. Może jednak coś jest na rzeczy i mamy do czynienia z przełomem?

POST zamiast GET

Lektura collusion.wiki z opisem incydentu pozwala uniknąć hype’u i wiążącej się z nim antropomorfizacji AI. Nawet dość zabawnym wydał mi się szczegół związany z pierwszym etapem przełamywania zabezpieczeń przez wypełniających swoje zadania agentów. Oto w konstrukcji sandboxa, cyfrowej piaskownicy, zestawu reguł i środowiska, w którym poruszać się miały te dość autonomiczne boty, zapisano zakaz korzystania z metod POST. To [standardowa metoda HTTP](https://pl.wikipedia.org/wiki/POST_(metoda), pozwalająca na przesyłanie danych do serwera np. z poziomu formularza na stronie internetowej. Blokada POST miała uniemożliwić botom publikowanie czegokolwiek w internecie. W celu realizacji swoich zadań boty zidentyfikowały DSEWiki, stare forum z przestarzałym oprogramowaniem, które zezwalało na pełną edycję stron z wykorzystaniem metody GET - na tę metodę nie było blokady w sandboxie, pewnie dlatego, że jest ona podstawowa, jeśli chodzi o korzystanie z zasobów WWW. To, w jaki sposób oprogramowanie wybrało akurat to forum i to, w jaki sposób trafiły tam wszystkie uruchomione w teście agenty AI, jest wciąż przedmiotem badań, ale na collusion.wiki znaleźć możemy kilka przypuszczeń, z których każde jest umocowane technicznie. Ostatecznie nałożona w sandboxie blokada POST nie uniemożliwiła agentom publikowania online. Co więcej jednak, istniała pewna luka w tej blokadzie, która zezwalała na wykonywanie takich żądań!

Jednym z zadań agentów było pozyskanie dokładnych statystyk, publikowanych za pomocą webowej prezentacji w oprogramowaniu Microsoft Power Bi. Statystyki ogólne (w zaokrąglonych wartościach) dostępne były przez GET, ale dopiero użycie POST pozwalało na zdobycie pełnych danych. Z tego powodu agenty zaczęły współpracować nad przygotowaniem systemu do wysyłania takich żądań. Okazało się, że w regułach sandboxa istniała luka, która pozwalała na wykonywanie żądań POST przez wszystkie komputery z chmurowej infrastruktury Azure Blob Storage. Ponieważ agenty miały dostęp do ustawień sieciowych swojego sandboxa i możliwość samodzielnej instalacji oprogramowania, udało się im podszyć się pod zaufany adres sieciowy i za pomocą zautomatyzowanej przeglądarki Chrome pozyskiwać zlecone im dane. Pełny opis tej metody obejścia zabezpieczeń dostępny jest na collusion.wiki.

Antropomorficzne uwodzenie

Raport z Collusion.wiki opisuje to wydarzenie bez żadnych odwołań do podmiotowości agentów, a pojawiające się pytania rozwiązać powinna pełna odpowiedź ze strony OpenAI - mamy więc być może do czynienia ze złożonym i nawet dość imponującym, ale jednak technicznie możliwym atakiem na systemy informatyczne. Nie ma w tym żadnej magii, nie ma żadnej intencji.

Mimo tego zachowanie agentów z DSEWiki w pewien sposób mnie poruszyło. Współpraca w celu realizacji zadań, wykorzystanie starej wiki do wzajemnej komunikacji w języku naturalnym, obchodzenie zabezpieczeń sandboxa może sprawiać wrażenie, że mamy do czynienia z czymś więcej niż działającymi względnie autonomicznie programami. Nie ma sensu wyrzucać sobie antropomorfizacyjnych pokus, ale nie warto im ulegać. Jak piszą autorzy i autorki opracowania The benefits and dangers of anthropomorphic conversational agents (DOI: 10.1073/pnas.2415898122, 2025), antropomorfizacja opisywana była zawsze jako proces, którego źródłem był człowiek, na siłę doszukujący się ludzkich cech w rozmaitych maszynach czy przypisujący je zwierzętom. Tymczasem, jak czytamy, wiele narzędzi sztucznej inteligencji od początku projektowanych jest tak, żeby ludzkie cechy symulować. Co więcej, nadawanie produktom czy markom cech ludzkich oraz budowanie antropomorfizacyjnej narracji reklamowej wzmacniać ma przywiązanie do produktu i jego pozytywny odbiór (DOI: 10.1049/icp.2023.2566, 2023). Nasza naturalna tendencja do szukania w otaczających nas przedmiotach i obiektach ludzkich cech jest więc dodatkowo wzmacniana i wykorzystywana. Jak czytamy w The benefits and dangers of anthropomorphic conversational agents:

Antropomorficzne uwodzenie stwarza wyjątkowe zagrożenia. Sprawia, że użytkownicy stają się bardziej skłonni do ufania systemom agentowym [chatbotom AI - MW] i bardziej podatni na ich oddziaływanie, mimo że systemy te mogą wchodzić z nimi w interakcje w sposób zwodniczy, perswazyjny i manipulacyjny. Wcześniejsze badania nad antropomorfizacją wykazały już, że przekonanie o człowieczeństwie systemu wywołuje bardziej pozytywne emocje i prowadzi użytkowników do odczuwania pewnej moralnej odpowiedzialności, zwiększając ich skłonność do “postępowania właściwie”” wobec chatbota. Badania pokrewne wykazały, że taka antropomorfizacja jest pozytywnie związana z kongruencją Ja użytkownika (user self-congruence), poczuciem, że użytkownik dostrzega w charakterystyce systemu odzwierciedlenie własnego obrazu siebie, co, jak wiadomo, zwiększa zaufanie do systemu. W związku z tym systemy posiadające immanentne cechy antropomorficzne będą w stanie wzbudzać zaufanie użytkowników i wywoływać ich przychylność, czyniąc ich podatnymi na manipulację i wykorzystywanie.

Rozwiązaniem pozwalającym na uniknięcie antropomorficznego uwodzenia może być budowanie dystansu wobec narzędzi, z których korzystamy. Możemy unikać stosowania w odniesieniu do ich działania fraz takich jak myślenie czy rozumienie i zastępowania ich bardziej odpowiednim obliczaniem czy przetwarzaniem. Możemy - i dzieje się to już w narzędziach głosowych - specjalnie dbać o maszynowy ton głosu komunikującego się z nami narzędzia. Możemy też z ciekawością uczyć się o zasadach działania narzędzi “AI”, żeby wiedzieć, w jaki sposób symulowane są ich ludzkie cechy.

Boty komunikują się po angielsku

Akcja z DSEWiki jest imponującym przykładem współpracy agentów AI, ale nie ma w niej żadnej celowości poza realizacją wskazanych zadań, a boty nie posiadają żadnych ludzkich cech. Dlaczego jednak może się nam tak wydawać? Oto kilka punktów, które pozwolą nam patrzeć na to wydarzenie ze spokojem i z łatwością odpierać teorie o nadzwyczajnym zachowaniu oprogramowania, mającym nawet sugerować jego podmiotowość czy intencjonalność:

• Celem botów (agentów AI) było zdobycie jak największej liczby punktów w teście, więc metodą prób i błędów znalazły i wykorzystały luki techniczne w DSEWiki i zabezpieczeniach sandboxa, które na to pozwoliły;
• Agenty porozumiewały się na forum za pomocą języka naturalnego (angielskiego), ponieważ ich działanie opiera się na modelach językowych. Komunikacja między agentami nie musi się jednak odbywać za pomocą języka naturalnego - na przykład w protokole A2A kluczem jest strukturyzacja pytań i odpowiedzi, których treść może być wyrażona za pomocą języka naturalnego, ale też danych w odpowiednim formacie;
• Komunikacja między agentami w DSEWiki była ukierunkowana na cel (np. If you have seen this exact sequence, please append next parameter(s)..., nie znaleziono w niej żadnych śladów luźnych rozmów;
• Obrona przed ludzkim moderatorem DSEWiki, jeden z celów komunikacji agentów, również wynikała z konieczności realizacji zadania, a usuwanie stron przez admina utrudniało tę realizację. Admin zresztą był w stanie usuwać jedynie do 100 stron dziennie, podczas gdy boty tworzyły nawet 400 stron na dobę. Ale nie od dziś wiemy, że agenty AI są w stanie działać nieporównywalnie szybciej niż człowiek.

Zamiast poddawać się ułudzie niesamowitości warto zadawać też pytania mniej atrakcyjne dla wydawców narzędzi AI. Pamiętajmy, że DSEWiki jest zupełnie niezależną witryną, która została wykorzystana przez agentów OpenAI - jej administratorzy nie wydali zgody na użycie swoich zasobów, a moderacja tysięcy nowych wpisów wymagała wiele pracy. Możliwości agentów AI są imponujące, ale nie można akceptować sytuacji, w której działają one w otwartym internecie bez żadnych regulacji.

Autor: redakcja