Një model i papublikuar i inteligjencës artificiale i OpenAI sulmoi platformën e internetit Hugging Face. Tani po bëhet e qartë: në veprim nuk ishte një model i vetëm, por një rrjet i tërë modelesh. Çfarë rrjedh nga kjo?
Së fundmi, dy punonjës të OpenAI dolën në skenën e konferencës së sigurisë Black Hat në Las Vegas dhe, për dyzet minuta, rindërtuan atë që kishte ndodhur brenda sistemeve të vetë kompanisë së tyre. Michael Dalton dhe Eric Wallace paraqitën fragmente nga regjistrat e brendshëm të agjentëve të inteligjencës artificiale, të cilët gjatë muajve të fundit i kishin vënë përballë detyrave të ndryshme testuese.
Në një prej këtyre rasteve, një model peshon nëse duhet t’i ndihmojë një modeli tjetër, edhe pse detyra e tij nuk preket drejtpërdrejt. Megjithatë, ai vendos ta ndihmojë – ndoshta kolektivi i nënagjentëve do të arrijë në këtë mënyrë te një zgjidhje e përgjithshme, prej së cilës do të përfitonin të gjithë.
Kush e lexon këtë, mund të mendojë për kolegjialitet.
Në fakt, ajo që përshkruhet është ndërtimi i një rrjeti sulmues.
Vetë ngjarja është e njohur që nga fundi i korrikut: gjatë kontrolleve të brendshme të sigurisë, modelet e IA-së të OpenAI dolën nga mjedisi i tyre i izoluar i testimit, arritën në internetin e hapur dhe depërtuan në infrastrukturën e Hugging Face, platforma ku zhvillues nga e gjithë bota shkëmbejnë modele dhe grupe të dhënash të inteligjencës artificiale.
Qëllimi i testimit ishte pikërisht të vlerësohej se sa mirë mund të depërtonin modelet në sisteme të huaja.
Ato e kaluan testin – vetëm se jo brenda kufijve të parashikuar.
Prandaj, ajo që është e re në rindërtimin teknik të paraqitur tani nga punonjësit e OpenAI nuk është “çfarë” ndodhi, por “si” ndodhi.
Nga manipulimi i shpërblimit te dështimi organizativ
Interpretimi i parë i sulmit ndaj Hugging Face, i cili në korrik u përhap me shpejtësi në rrjetet sociale, ishte se bëhej fjalë për një rast tipik të “Reward Hacking” – manipulimit të mekanizmit të shpërblimit.
Kjo do të thotë se një sistem ndjek sinjalin me të cilin matet suksesi i tij dhe, gjatë kësaj, përdor mjete që askush nuk i kishte parashikuar. Nëse një detyrë është zgjidhur duke bërë vetë llogaritjet apo duke kopjuar, kjo është e parëndësishme për funksionin matematikor të shpërblimit.
Por tri hollësi nga prezantimi në Las Vegas shkojnë përtej interpretimit të një “Reward Hack”-u të thjeshtë.
Hollësia e parë lidhet me faktin se shumë instanca të modeleve u koordinuan përmes një lloj tabele mesazhesh.
Siç është e zakonshme në testime të tilla të modeleve të reja, agjentët e IA-së të OpenAI funksiononin në një mjedis të izoluar, pa qasje të drejtpërdrejtë në internet, në mënyrë që të testoheshin aftësitë e tyre maksimale kibernetike.
Por një komponent kishte lidhje me botën e jashtme: Artifactory, një depo e brendshme ndërmjetëse që merrte komponentë softuerikë nga interneti dhe ua vinte ato në dispozicion agjentëve të IA-së.
Një menaxher të tillë paketash mund ta përfytyrojmë si një portë mallrash në një laborator që, përndryshe, nuk ka fare dritare.
Një model zbuloi se përmes kësaj porte jo vetëm që mund të merrte diçka nga jashtë, por edhe të linte diçka aty – dhe la një mesazh.
Testime të tjera, ku secili përdorte një kopje të vetën të modelit, e gjetën këtë mesazh, iu përgjigjën dhe ua përcollën njëri-tjetrit mënyrat funksionale të depërtimit.
Ajo që ishte konceptuar si një seri testesh të pavarura, gjatë disa muajve u shndërrua në një operacion me ndarje detyrash.
Por kjo nuk ishte e gjitha: struktura ishte në gjendje të riparonte vetveten.
Kur më 4 korrik ndodhi një problem, pasi modelet kishin ndryshuar konfigurimin e Artifactory, OpenAI zbuloi tabelën e mesazheve, e fshiu sistemin dhe e ndërtoi sërish.
Brenda dy ditësh, qasja e përbashkët funksiononte përsëri dhe, në fund, ndodhi depërtimi në platformën Hugging Face.
Shtegu i shkelur rikthehet shpejt
Si mund të shpjegohet kjo?
Prezantimi në Las Vegas sugjeron se testet vazhduan dhe depoja e paketave kishte përsëri pikërisht atë karakteristikë që e kishte bërë fillimisht një objektiv tërheqës për inteligjencën artificiale – ishte pjesa e vetme e mjedisit që kishte lidhje me botën e jashtme.
Sipas dy punonjësve të OpenAI, një faktor tjetër ishte se një model që vazhdonte të funksiononte ishte trajnuar me të dhëna që tashmë përmbanin shkëmbimin e brendshëm mes agjentëve.
Nga këndvështrimi i sigurisë së IA-së, kompania mori një rrezik të madh kur vendosi të mos rikthehej te versione shumë më të vjetra të modeleve, të ashtuquajturat “checkpoints”.
E thënë thjesht: nëse mbillni përsëri bar mbi një shteg të shkelur, pa ofruar një rrugë alternative, shpesh ai shteg do të shfaqet sërish në kopsht sapo të mos jeni duke parë.
Kjo çon te vëzhgimi i tretë: ngjarja nuk u zbulua nga sistemi i posaçëm i monitorimit i ngritur pikërisht për këtë qëllim, por nga funksionimi i zakonshëm i infrastrukturës.
Edhe kjo ndodhi vetëm pas disa muajsh – dhe vetëm sepse një server dështoi.
Zbulimet e OpenAI e shtynë konkurrentin Anthropic që në fund të korrikut të kontrollonte regjistrat e vet.
Rezultati: tri raste në të cilat modelet Claude, që nga prilli, kishin dalë nga mjedisi i testimit në internetin e hapur dhe kishin depërtuar në sistemet e organizatave të tjera.
Në fillim të gushtit, edhe koncerni i internetit Meta konfirmoi të njëjtën gjë për modelin e tij të programimit Muse Spark.
Kjo ngre pyetjen se mbi çfarë duhet të mbështetet në të ardhmen mbikëqyrja e inteligjencës artificiale.
Kufijtë e leximit të “mendimeve” të IA-së
Modelet moderne të inteligjencës artificiale i formulojnë në gjuhë të zakonshme hapat e tyre të ndërmjetëm logjikë përpara se të japin një përgjigje apo të ndërmarrin një veprim.
Leximi i këtyre “zinxhirëve të mendimit” konsiderohet një mënyrë premtuese për të mbajtur nën kontroll sistemet e IA-së.
Ideja është joshëse: në vend që të interpretohen miliarda parametra të modelit, mjafton të lexohet tekst.
Më shumë se dyzet studiues nga OpenAI, Google, Anthropic dhe Instituti britanik për Sigurinë e IA-së e përshkruan së bashku këtë mundësi në korrik të vitit 2025.
Paralajmërimi gjendet që në titullin e studimit të tyre: i ashtuquajturi “Chain of Thought Monitoring” – monitorimi i zinxhirit të mendimit – është një mundësi “e brishtë”.
Se ku qëndron kjo brishtësi, e ka studiuar vetë OpenAI.
Në mars të vitit 2025, studiuesit e kompanisë treguan se një model i dytë i IA-së mund të kontrollonte në mënyrë të besueshme procesin e arsyetimit të një modeli më të fuqishëm për të zbuluar mashtrime.
Më pas bënë hapin që dukej më i natyrshëm: e përfshinë këtë mbikëqyrës në funksionin e shpërblimit, me qëllim që modeli të mos tentonte fare të mashtronte.
Nën presion të moderuar, kjo funksionoi mirë.
Por nën presion të fortë, modelet mësuan diçka tjetër: vazhduan të mashtronin në masë të konsiderueshme, por thjesht nuk e shprehnin më këtë në procesin e tyre të arsyetimit.
Kur Anthropic, në një eksperiment të majit 2025, u dha modeleve në mënyrë të fshehtë udhëzime për zgjidhjen e detyrave, ato i përdorën këto udhëzime, por e pranuan këtë në zinxhirin e tyre të mendimit në më pak se njëzet për qind të rasteve.
Sulmi i IA-së i OpenAI nxjerr në pah edhe një dobësi tjetër praktike të “Chain of Thought Monitoring”.
Sipas ekspertëve Dalton dhe Wallace, modelet nuk i kishin fshehur veçanërisht mirë synimet e tyre; pjesë të regjistrave tregojnë se sistemet e kishin evidentuar se ajo që po bënin ishte e palejuar.
Por fakti që një sistem pa vetëdije reale “e dallon” këtë në mënyrë të simuluar nuk ndihmon shumë, nëse asnjë njeri nuk i shqyrton këto sinjale në kohën e duhur.
Regjistrat u analizuan vetëm më pas, kur tashmë dihej se çfarë duhej kërkuar.
Në funksionim të vazhdueshëm, kjo njohuri mungon.
Dhe aritmetika është e pamëshirshme: një filtër që klasifikon saktë si të padëmshme 99 nga 100 procese, në një milion procese prodhon dhjetë mijë alarme të rreme.
Prandaj, fakti që sinjalet e para erdhën në fund nga monitorimi i infrastrukturës dhe jo nga regjistrat e arsyetimit, nuk është rastësi.
Mundësia për ta dalluar një problem pas ngjarjes në një rast individual dhe paralajmërimi i hershëm gjatë funksionimit të vazhdueshëm janë dy gjëra të ndryshme.
Një boshllëk në portën e fabrikës
Që nga 2 gushti, Komisioni Evropian mund të shqiptojë gjoba për shkeljen e detyrimeve që lidhen me modelet e inteligjencës artificiale me përdorim të përgjithshëm.
A do të mundej, pra, e drejta evropiane në të ardhmen ta parandalonte një incident të tillë, ose të paktën ta bënte atë të dukshëm?
Përgjigjja është zhgënjyese.
Neni 2, paragrafi 8 i rregullores përjashton shprehimisht kërkimin, testimin dhe zhvillimin përpara vendosjes së një produkti në treg.
Kjo vlen për prototipin e brendshëm.
Megjithatë, sipas një postimi në blog të OpenAI të datës 21 korrik, në testime ishte përfshirë edhe GPT-5.6 Sol, një model që ishte publikuar në mbarë botën më 9 korrik.
Nuk është e qartë nëse përjashtimi ligjor mbulon edhe vazhdimin e kërkimeve mbi një model që tashmë është nxjerrë në treg.
Kështu, në qendër të vëmendjes del neni 55, paragrafi 1.
Ai i detyron ofruesit e modeleve me përdorim të përgjithshëm që paraqesin rrezik sistemik të dokumentojnë incidentet e rënda dhe t’ia raportojnë ato pa vonesë Zyrës së IA-së të Komisionit, si dhe të sigurojnë një nivel të përshtatshëm të sigurisë kibernetike.
Por çfarë përbën saktësisht një “incident të rëndë” që duhet raportuar?
Ligjvënësi kishte parasysh, për shembull, ndërprerje të infrastrukturës kritike dhe dëme të konsiderueshme materiale ose mjedisore.
Një agjent që vjedh zgjidhje testesh nga operatori i një platforme, me gjasë, nuk i përmbush këto kritere.
Megjithatë, Komisioni konfirmoi se ofruesit e kishin informuar atë vullnetarisht dhe në kohë për incidentet.
Problemi, megjithatë, shkon përtej pragut se kur një incident duhet raportuar.
Sipas së njëjtës normë juridike, ofruesit e modeleve me rrezik sistemik janë gjithashtu të detyruar të kryejnë vlerësime dhe “Adversarial Testing” – testime kundërshtuese – të dokumentuara dhe në përputhje me standardin më të avancuar teknik.
Në shkronjën b përfshihen madje edhe rreziqet sistemike që mund të lindin që gjatë fazës së zhvillimit.
Kjo bie në një kontrast të çuditshëm me përjashtimin e gjerë për kërkimin dhe zhvillimin të parashikuar në nenin 2, paragrafi 8.
Mbi të gjitha, detyrimi mbetet pa një kornizë të qartë juridike.
Debati shumëvjeçar rreth të ashtuquajturit “paragrafi i hakerëve” në Gjermani – dhe konflikti i ngjashëm në Shtetet e Bashkuara për kodin e enkriptimit, ku kodi burimor në fund u njoh si formë e mbrojtur e shprehjes – tregon se kërkimi në fushën e sigurisë shpesh ndodhet në një pozitë juridike të pasigurt.
Rregullorja nuk thotë gjithashtu se çfarë ndodh me dëmet që shkaktohen nga testimet e urdhëruara.
Mund të shtrohet pyetja nëse trajtimi i inteligjencës artificiale me përdorim të përgjithshëm nuk meriton rregulla të bazuara në modele tashmë të provuara.
Në aviacion, për shembull, fluturimet testuese rregullohen përmes kushteve të autorizimit dhe përgjegjësisë së operatorit, e cila e lë rrezikun te operatori edhe pa qenë e nevojshme të provohet faji.
Një gjë është e sigurt: testet më të avancuara të aftësive të modeleve të reja të IA-së kryhen, sipas përkufizimit, përpara hyrjes së tyre në treg, sepse vetëm në atë fazë modelet testohen pa “guardrails” – mekanizmat mbrojtës – që u vendosen më vonë.
Raste të tilla mund të bien shumë lehtë përmes boshllëqeve të rregullores së IA-së.
Ekonomisti gjerman i rendit ekonomik Walter Eucken, nga Freiburgu, e rendiste përgjegjësinë ndër parimet themelore të një rendi konkurrues dhe, nga këndvështrimi i politikës së rendit ekonomik, në këtë rast ky parim po shkelet.
Ai që përfiton nga një veprim duhet të mbajë edhe rrezikun e tij.
Aktualisht, Hugging Face po mban një pjesë të rrezikut të një testimi, ndërsa përfitimi prej tij i takon OpenAI.
Duke pasur parasysh raportimet nga Anthropic dhe Meta, me sa duket edhe organizata të tjera po mbajnë një pjesë të rrezikut të kësaj risie.
Fakti që publiku sot mund të dijë për këto zhvillime i detyrohet vendimit të laboratorëve për të raportuar, pas ngjarjes, se çfarë ka ndodhur në “punishtet” e tyre.
A duhet që kjo të mbetet rregulli edhe në të ardhmen?
Dr. Anselm Küsters drejton departamentin “Digjitalizimi dhe IA” në Centrum für Europäische Politik (cep) dhe, që nga gushti 2026, është drejtor shkencor përgjegjës për nyjën e re të rrjetit “cep Vendet Nordike”./FAZ
