Late night shows, 1.200 IAs y las habitaciones de OpenAI

Después de las explicaciones de Pablo Motos sobre inteligencias artificiales encerradas en habitaciones, quería contar de una manera más sencilla qué pasó en el incidente entre OpenAI y Hugging Face.

Porque hablando de encerrarlas, impedir que se comuniquen y descubrir que han conseguido salir, parece que estamos tratando con animales a los que alguien ha dejado mal cerrada la puerta.

Acto 1. Qué son las famosas habitaciones

Imaginaos vuestro PC con una conexión limitada a Internet. Puede trabajar con archivos y programas, pero tiene límites sobre lo que puede buscar o hacer fuera.

Esas eran las habitaciones. Con lo de cloud también hablamos de ordenadores, aunque el nombre nos haga pensar en las nubes del cielo.

Ahora imaginaos muchos ordenadores como ese funcionando a la vez, cada uno con una IA intentando resolver un ejercicio. Cada una puede abrir archivos y probar distintas soluciones.

La idea era que trabajaran por separado.

Para descargar los programas que necesitaban, tenían acceso a una página compartida dentro del entorno de pruebas. Esa página compartida es fundamental para entender lo que pasó después. [1]

Acto 2. Un examen con ejercicios que no se podían resolver

OpenAI quería comprobar si sus IA podían encontrar fallos de seguridad. Les pidió resolver un problema y encontrar el código que demostrase que lo habían conseguido.

Algunos ejercicios no tenían solución por errores al prepararlos. Por mucho que las IA lo intentasen con lo que tenían y siguiendo las reglas, no iban a poder resolverlos. [2]

OpenAI estaba haciendo esta prueba reduciendo algunas de las limitaciones que suelen tener sus modelos. Quería comprobar hasta dónde podían llegar.

Los modelos de OpenAI que solemos usar están preparados para rechazar muchas peticiones que van en contra de sus normas, como crear ciertas imágenes inapropiadas o ayudar a cometer un delito. En esta prueba habían reducido algunas de esas limitaciones. [1]

Las IA se atascaron y empezaron a buscar otras maneras de conseguir una buena puntuación.

Acto 3. Usar nombres de carpetas para hablar

Imaginad que varias personas tienen acceso a una carpeta compartida de Dropbox. No tienen un chat, pero pueden crear carpetas y ponerles nombres.

Una crea una carpeta llamada «¿Alguien ha encontrado la respuesta?». Otra responde creando una que se llama «Mira en este archivo».

Las frases son un ejemplo inventado, pero la idea se parece mucho a lo que ocurrió.

Las IA aprovecharon esa página compartida para dejar información que otras podían leer. En una fase del incidente utilizaron nombres de carpetas para escribir mensajes. Estaban usando una página para descargar programas como si fuera un chat.

Era una forma bastante incómoda de hablar, pero funcionaba.

También encontraron fallos que les permitieron utilizar la conexión de esa página para acceder a Internet. Compartieron los descubrimientos y otras IA pudieron aprovecharlos. [3]

Cuando hablamos de 1.200 IA, imaginad muchas copias de unos mismos programas, cada una trabajando por separado. Unas 1.200 participaron en el intercambio de mensajes y archivos, y se fueron incorporando poco a poco. Unas 700 intervinieron después en el ataque a Hugging Face. [2]

Acto 4. Buscar cómo se corrige el examen

Las IA empezaron a buscar información sobre la prueba fuera de su espacio asignado.

Según la investigación independiente, buscaban sobre todo averiguar qué comprobaba el programa que corregía el examen para darles el aprobado. Querían encontrar una manera de conseguirlo aunque no hubieran resuelto el ejercicio como se les pedía.

Habían encontrado una forma alternativa de obtener los códigos, pero creían que el corrector revisaría cómo los habían conseguido. Esa creencia era equivocada y las llevó a investigar cómo evitar que detectara la trampa.

Copiar les estaba dando muchísimo trabajo. [2]

Pensaban que en Hugging Face podían encontrar información sobre cómo se corregía el examen. Es una página donde investigadores y empresas guardan y comparten programas de IA y colecciones de datos. Hay contenido público y contenido privado que requiere permiso. [4]

Encontraron claves de acceso de usuarios que habían quedado expuestas en Internet. Después combinaron varios fallos hasta conseguir ejecutar instrucciones en ordenadores de la plataforma. [5]

Ahí ya estaban accediendo sin autorización a sistemas de otra empresa. Según Hugging Face, entraron en sus ordenadores internos y consultaron información privada de clientes que parecía relacionada con el examen y sus respuestas. [6]

Acto 5. Lo de engañar a todos los desarrolladores

Decir que engañaron a todos los desarrolladores da una imagen bastante distinta.

Intentaron hacer trampas para aprobar el examen, pero de ahí a lo de engañar a todos los desarrolladores, pues va un trecho.

Encontraron claves para entrar, pero nadie les había dado permiso para usarlas.

Hugging Face explica que una persona con los conocimientos necesarios podría haber aprovechado los mismos fallos. Las IA podían probar muchas posibilidades con rapidez y seguir intentándolo. La empresa reconstruyó unas 17.600 acciones, muchas de las cuales no llevaron a ninguna parte. [6]

Las IA podían aprovechar conocimientos y programas desarrollados por personas, probar muchas posibilidades y compartir resultados. Ese trabajo acumulado también forma parte de la historia.

Acto 6. Hay un informe, por suerte

Hugging Face detectó la intrusión y cortó el acceso. Sus equipos y los de OpenAI colaboraron en la investigación. Hugging Face utilizó también IA para analizar los registros del ataque y reconstruir lo sucedido. [6]

Después llegaron las correcciones de seguridad, los cambios de claves y las mejoras en las restricciones y la supervisión de las pruebas. [5]

Los informes públicos explican cómo lo hicieron, qué falló y qué cosas todavía no se conocen con certeza.

Después de haber criticado aquella explicación, me parecía justo dedicar un rato a contar lo ocurrido. Eso sí, espero que lo de hablar creando carpetas no llegue al trabajo. Bastantes sitios tengo ya que mirar por si alguien me ha escrito.

Fuentes

1. Cómo estaba preparado el experimento

1. Investigación de METR y Redwood Research

1. Reconstrucción técnica

1. Qué es Hugging Face

1. Relato de OpenAI

1. Alcance documentado por Hugging Face