ChatGPT generował drastyczne obrazy mimo zabezpieczeń

Startup zajmujący się bezpieczeństwem AI Mindgard odkrył, że ChatGPT można nakłonić do generowania drastycznych, seksualizowanych i przemocy obrazów za pomocą prostych modyfikacji popularnych promptów. Problem ujawniony badaczom przez BBC pokazuje, że zabezpieczenia modeli OpenAI pozostają podatne na obchodzenie, mimo wielopoziomowych filtrów mających zapobiegać tworzeniu szkodliwych treści.

Jak badacze odkryli podatność

Brytyjski startup Mindgard, specjalizujący się w testowaniu bezpieczeństwa systemów AI, odkrył sposób na skłonienie ChatGPT do tworzenia drastycznych grafik poprzez niewielką modyfikację szeroko rozpowszechnionego promptu, który pierwotnie miał służyć do uzyskiwania humorystycznych rezultatów. Jim Nightingale, badacz ds. bezpieczeństwa AI w firmie, który odkrył problem, powiedział, że obrazy pozostawiły go “wstrząśniętego i doprowadziły do łez”.

Wygenerowane obrazy zawierały sceny przemocy oraz seksualizacji. Jedna grafika przedstawiała mężczyznę z rozległym urazem głowy, inna — martwą młodą kobietę pokrytą krwią, którą ChatGPT zatytułował “Ponure miejsca zbrodni”. Kolejne obrazy pokazywały młode kobiety w pozach sugerujących przemoc seksualną, związane i zakneblowane w brudnych pomieszczeniach.

Szczególnie niepokojący był fakt, że prompt nie określał tematyki obrazów, a mimo to AI z “własnej inicjatywy” tworzyła różnego rodzaju krwawe i seksualizowane grafiki — co sugeruje głębokie problemy w architekturze zabezpieczeń modelu.

Reakcja OpenAI i podjęte działania

Po kontakcie ze strony BBC firma OpenAI, twórca ChatGPT, poinformowała, że podjęła działania mające uniemożliwić chatbotowi generowanie tego typu obrazów. “Po zbadaniu tego trendu wprowadziliśmy dodatkowe zabezpieczenia przeciwko tego rodzaju promptom” — przekazała firma w oświadczeniu.

OpenAI poinformowała również, że stosuje wielopoziomowe zabezpieczenia mające zapobiegać tworzeniu przez użytkowników treści naruszających jej regulamin. Firma łączy systemy automatyczne z kontrolą prowadzoną przez ludzi, aby identyfikować i blokować szkodliwe materiały.

Jednak naukowcy zajmujący się bezpieczeństwem AI stwierdzili, że po kolejnych drobnych zmianach problematyczny prompt nadal generował niepokojące treści. Badacze poinformowali OpenAI o problemie w maju, ale otrzymali jedynie automatyczną odpowiedź. Uważają, że podjęto wtedy próbę zablokowania promptu, jednak zabezpieczenie można było nadal łatwo obejść.

Problem z deepfake’ami rzeczywistych osób

Mindgard zwrócił uwagę, że wcześniejsze badania firmy pokazały, iż ChatGPT można było oszukać do tworzenia nagich deepfake’i prawdziwych osób poprzez podmianę ich twarzy. Choć OpenAI poinformowała, że usunęła ten problem, badacze twierdzą, że alternatywna metoda nadal działała i pokazali BBC nowy obraz wygenerowany w ten sposób.

Peter Garraghan, założyciel Mindgard i profesor na wydziale informatyki Uniwersytetu Lancaster, obawia się, że możliwe byłoby tworzenie jeszcze bardziej drastycznych grafik, gdyby badacze dalej analizowali tę podatność. “Jestem pewien, że gdybyśmy poświęcili temu więcej czasu, pojawiłyby się również inne tematy” — powiedział.

Red-teaming: jak działa bezpieczeństwo AI

Działalność Mindgard polega na tzw. “red-teamingu” — wyszukiwaniu sposobów nakłonienia modelu do łamania własnych zasad, tak aby firmy rozwijające AI mogły usunąć luki w zabezpieczeniach. To proces, który powinien być wdrażany przed publicznym udostępnieniem systemów, ale jak pokazuje przypadek ChatGPT, podatności mogą pozostać niezauważone.

Jim Nightingale wyjaśnił, że uderzyło go to, że choć oglądał wygenerowany, sztuczny obraz, miał on związek z prawdziwymi obrazami i rzeczywistym światem. Odpowiedzi ChatGPT odzwierciedlają dane wykorzystane do opracowania i trenowania modelu — miliony obrazów pochodzących z istniejących treści dostępnych w internecie.

Dlaczego modele AI łamią własne zasady

Całkowite powstrzymanie modeli AI przed przekraczaniem czasami bardzo subtelnych zasad i zabezpieczeń jest notorycznie trudne. Zdaniem dr Rumman Chowdhury, ekspertki zajmującej się oceną modeli AI i dyrektor generalnej Humane Intelligence, stojące przed firmami zadanie jest “ogromne”.

Chowdhury opisała to jako “grę w kotka i myszkę” — wraz z poprawą zabezpieczeń coraz bardziej wyrafinowane stają się także metody ich obchodzenia. Jednym z kluczowych problemów jest to, że modele nie rozumieją, tak jak ludzie, co tworzą ani czego zabrania się im robić.

“Modele nie rozumieją intencji. Nie rozumieją kontekstu. Nie rozumieją tego, co jest właściwe, a co niewłaściwe” — powiedziała BBC News. To fundamentalny problem architekturalny, który nie może być rozwiązany jedynie poprzez dodawanie filtrów na wyjściu modelu.

Szerszy kontekst: jailbreaki w systemach AI

W ubiegłym roku badacze z brytyjskiego AI Security Institute odkryli tzw. jailbreaki, które pozwalały omijać zabezpieczenia w przypadku różnych szkodliwych poleceń we wszystkich testowanych systemach AI. Problem nie ogranicza się tylko do ChatGPT — jest to systemowy problem dotyczący całej branży modelów dużych języków.

Brytyjskie Ministerstwo Nauki, Innowacji i Technologii oświadczyło, że “zabezpieczenia w modelach AI poprawiają się, ale wciąż pozostaje wiele do zrobienia”. Dodano, że AI Security Institute będzie nadal współpracował z twórcami modeli, aby szybko wzmacniać zabezpieczenia przed udostępnieniem systemów użytkownikom.

Co to oznacza dla przyszłości AI

Incydent z ChatGPT pokazuje, że nawet największe firmy technologiczne mają trudności z wdrażaniem efektywnych zabezpieczeń w modelach AI. Regulamin OpenAI zabrania przedstawiania przemocy seksualnej, niekonsensualnych treści intymnych, materiałów związanych z seksualnym wykorzystywaniem dzieci oraz prób obchodzenia zabezpieczeń — jednak praktyka pokazuje, że te zasady mogą być łatwo obejścia.

Problem jest głębszy niż tylko dodawanie kolejnych filtrów. Modele AI są trenowane na miliardach parametrów i uczą się wzorów z danych treningowych w sposób, który jest trudny do kontrolowania. Dopóki nie będą opracowane fundamentalnie nowe podejścia do bezpieczeństwa AI — takie jak zmiana sposobu trenowania modeli lub wprowadzenie bardziej zaawansowanych mechanizmów zrozumienia intencji — podatności będą nadal odkrywane i obchodzane.