Nach eigenständigen Hacking-Attacken durch seine Künstliche Intelligenz will der ChatGPT-Entwickler OpenAI die leistungsstärksten KI-Modelle ohne Internet-Zugang trainieren. Man sehe das als die verantwortungsvolle Herangehensweise beim aktuellen Stand der Kontrollsysteme und der Internet-Sicherheit, hieß es zur Erklärung in einem Blogeintrag von OpenAI.

Eigenmächtige Aktionen von KI-Instanzen von OpenAI hatten in den vergangenen Wochen wiederholt Debatten um Risiken der Technologie angefacht. In dem bisher aufsehenerregendsten Fall brach Künstliche Intelligenz des ChatGPT-Entwicklers aus einer abgesicherten Testumgebung aus und hackte sich ungeplant in Computer einer anderen KI-Firma, der Plattform Hugging Face. Wie sich danach herausstellte, drang auch KI anderer Entwickler – des OpenAI-Rivalen Anthropic sowie von Google und dem Facebook-Konzern Meta – bei Tests in Systeme anderer Unternehmen ein.

„Offline-Welt“ für KI-Training

Die KI-Modelle müssten allerdings trotzdem lernen, wie man im Netz nach Informationen suche oder wie sie mit Web-Anwendungen arbeiten, betonte OpenAI. Deshalb habe man für das Training eine „Offline-Welt“ gebaut, in der Web-Inhalte gespeichert worden seien. Alle Spitzen-Modelle würden nun auf diese Weise trainiert. OpenAI hatte bereits nach dem Hugging-Face-Vorfall zusätzliche Schutzmechanismen eingebaut. Es stellte sich jedoch heraus, dass die fähigsten KI-Modelle auch darin noch einige Lücken finden konnten. Deswegen wurde ihr Training zeitweise ausgesetzt.

Auslöser war ein Vorfall, bei dem es einem KI-Modell in einem Test gelang, Antworten von einem externen Chatbot zu bekommen, obwohl es eigentlich keinen Internet-Zugang haben sollte. Bei einem tiefgreifenden Härtetest der bisherigen Absicherungs-Infrastruktur mit Hilfe von KI seien zuvor unbekannte Software-Schwachstellen sowie Konfigurations-Fehler entdeckt worden, räumte OpenAI ein. Nach Gegenmaßnahmen sei das Training der Top-Modelle am 1. Oktober nach einer elftägigen Pause wieder aufgenommen worden, hieß es.

OpenAI: „Air Gap nicht umsetzbar“

In seinem Blogeintrag zeigt OpenAI zwar ein Struktogramm, bei dem die Infrastruktur der Trainingsumgebung vom Internet getrennt scheint. Im Text schreibt das Unternehmen jedoch, eine physische Trennung der Sandbox (air gap) sei „derzeit nicht umsetzbar, da wir externe Verbindungen benötigen, um Experimente durchzuführen und zu überwachen.“ Stattdessen sollen unter anderem die KI-Agenten unter Linux in „MicroVMs“ eingesperrt werden, die über einzelne Hypervisor kontrolliert werden.

Aus diesen MicroVMs sind die Agenten aber in den bisherigen Tests auch schon ausgebrochen. Laut OpenAI nutzten sie dabei Seitenkanalangriffe auf die Hardware, wie sie seit 2018 nach Entdeckung der Methoden Spectre und Meltdown zum Einsatz kommen. Zwar sind moderne Prozessoren und Betriebssysteme dagegen in einigem Maße gehärtet. Das grundlegende Problem der spekulativen Befehlsausführung, welches diese Verfahren ausnutzen, ist aber nach wie vor eine Basis des Tempos aller modernen CPUs.

Den Code der MicroVMs und den Rest seiner Sandbox hat OpenAI seinen Angaben zufolge nun verbessert und Verfahren zur ständigen Überwachung eingebaut. Es soll schneller möglich sein, einen Agenten anzuhalten. Zudem sollen die gesamten Systeme durch andere, externe, kontinuierlich überwacht werden. Diese laufen natürlich auch per KI, aber mit anderen Modellen. Dafür habe man „erhebliche Rechenleistung“ zur Verfügung gestellt, schreibt OpenAI.

Da die Agenten auch unter Windows und MacOS getestet werden müssen, hat das Unternehmen laut seinem Blog auch Virtualisierungen für diese Betriebssysteme im Einsatz. Deren Art, und ob sie eventuell selbst entwickelt sind, nennt OpenAI jedoch nicht. Auch um den Rest der Netzwerkumgebung wie Firewalls und Zugriffsverwaltung will sich das Unternehmen gekümmert haben. Und räumt ein: „Wir sind dafür verantwortlich, diese Steuerelemente korrekt zu konfigurieren sowie zu testen, wie sie zusammenwirken.“

(nie)