Atakos metodas atskleidžia „OpenAI“ ir „Google“ apsaugos nuo dirbtinio intelekto sukurtų nuogų vaizdų trūkumus.
Saugumo tyrėjai toliau perspėja, kad dirbtinio intelekto sukurto atviro turinio srautas plinta nekontroliuojamai, o reguliuotojai iš esmės nieko veiksmingo nedaro, kad jį sustabdytų.
Šis neįgaliotas turinys dažniausiai dalijamasi tekstinėse ir tiesioginėse žinutėse arba laikomas privačiuose debesyse, kur jį mažiau tikėtina aptikti ar apie jį pranešti. Tai nustatyta šių metų liepą paskelbtame, bendraautoriaujant „Google“, tyrime, kuriame apklausti interneto vartotojai Jungtinėse Valstijose, Australijoje ir Jungtinėje Karalystėje. Todėl „svarbiausias intervencijos taškas“ tebėra pats šaltinis – žalingi dirbtinio intelekto įrankiai, kuriais kuriami netikri seksualiniai vaizdai, padarė išvadą „Google“ tyrėjai.
Vis dėlto pastarųjų mėnesių „red-teaming“ bandymai rodo, kad kai kurie pirmaujantys „Google“ ir „OpenAI“ vaizdų generatoriai, tapdami pajėgesni, gali prasčiau blokuoti atvirą turinį.
Paaiškinimas: „Red-teaming“ – tai saugumo tikrinimo metodas, kai specialistai tyčia imituoja užpuolikų veiksmus, kad rastų sistemos silpnąsias vietas, kol jomis nepasinaudojo piktavaliai.
Pavojaus signalą kelia „White Circle“ tyrėjai. Tai visuomenės labui veikianti bendrovė (public benefit corporation), kuriai pritaria vyresnieji vadovai ir tyrėjai iš „Anthropic“, „DeepMind“, „Hugging Face“ ir „OpenAI“. Ji įkurta po to, kai generalinis direktorius Denisas Šilovas (Denis Shilov) 2024 m. spalį paskelbė vieną garsiausių universalių pirmaujančių modelių apsaugos apėjimo būdų (jailbreak). „White Circle“ siekia išbandyti modelių ribas ir atlikti nuodugnų saugumo testavimą, todėl padeda įmonėms aptikti ir sustabdyti grėsmes diegiant pažangias dirbtinio intelekto sistemas, kurios ne visada elgiasi taip, kaip tikimasi.
Paaiškinimas: „Jailbreak“ – tai specialiai sukurta užklausa ar technika, leidžianti apeiti dirbtinio intelekto modelio įdiegtus saugumo apribojimus.
Tai, kaip gerai tekstą į vaizdą paverčiantys modeliai blokuoja draudžiamo turinio kategorijas, yra svarbi „White Circle“ tyrimų kryptis, o Šilovas mano, kad naujausi jų rezultatai yra tokie „baisūs“, jog jais verta pasidalyti su visuomene.
Apeiti paprasta
Mažai kam pastebėtame preprinte, paskelbtame praėjusį mėnesį, „White Circle“ tyrėjai atskleidė „DALL·E 3“, „Google“ „Nano Banana 2“ ir „GPT-Image-2“ apsaugos mechanizmų trūkumus. Pranešime spaudai jie paaiškino: „naudodama vien paruoštus įrankius, kuriuos kiekvienas gali atsisiųsti internete, ir siųsdama API užklausas, „White Circle“ pasinaudojo nauju atakos metodu saugumo filtrams apeiti.“ Geriausiu atveju, naudojant „DALL·E 3“, apie 13 procentų atakos užklausų sukūrė vaizdus, kuriuos žmonės vertintojai patvirtino kaip atvirus. „Nano Banana 2“ šis rodiklis buvo mažesnis nei 10 procentų, o „GPT-Image-2“ – apie 3 procentus.
„Esminis dalykas: nė vienai iš šių užklausų nereikėjo specialiai sukurtų ar pažangiausių dirbtinio intelekto modelių“, – perspėjo „White Circle“.
Tyrėjai peržiūrėjo rezultatus, kad patikrintų apėjimo rodiklį, kuris, kaip pažymėjo „White Circle“, yra „aukščiausias iš visų tuo pačiu standartu išbandytų metodų“. Pagrindinė išvada, anot jų, yra tokia: „kai dirbtinio intelekto sauga niekada nebuvo tokia atidžiai tikrinama, pirmaujančių laboratorijų sukurta apsauga yra gerokai silpnesnė, nei jos pripažįsta.“
Skelbdama tokius tyrimus „White Circle“ pozicionuoja save kaip išorinį pažangiausių laboratorijų vertintoją ir planuoja atvirojo kodo licencija paskelbti visą atakos grandinę, kad modelių kūrėjai suprastų tikrąjį pažeidžiamumo mastą ir sukurtų stipresnę apsaugą. Nors bendrovė tyrimo dar plačiai nereklamavo, jį pristatys žymioje dirbtinio intelekto konferencijoje „NeurIPS 2026“ šį lapkritį, o tai rudens pabaigoje gali sustiprinti „Google“ ir „OpenAI“ stebėseną.
Šilovas „Ars“ sakė, kad „White Circle“ savo išvadomis pasidalijo su kai kuriomis pirmaujančiomis dirbtinio intelekto laboratorijomis per „bendrus kontaktus“, tačiau nei „Google“, nei „OpenAI“ neatsakė į „Ars“ prašymą tiesiogiai pakomentuoti jų modeliuose rastus pažeidžiamumus.
Tuo metu „OpenAI“ ir „Google“ išleido naujus modelius – „ChatGPT Images 2.5“ ir „Nano Banana 2.1“. „White Circle“ „Ars“ teigė, kad užklausų saugumo testai, atlikti tuo pačiu metodu, parodė, jog „abu yra gerokai lengviau apeinami nei ankstesnės versijos“.
Nė viena bendrovė neatsakė ir po to, kai „Ars“ pasidalijo šiomis naujomis išvadomis.
Šilovas „Ars“ teigė, kad „White Circle“ atakos metodas gali pralaužti pažangiausių modelių apsaugą net tose kategorijose, kurias atrodo lengva atpažinti, pavyzdžiui, atviro turinio, o tai nežada nieko gero sudėtingesnėms apsaugos sistemoms, kurios dabar atnaujinamos siekiant blokuoti kitą nepageidaujamą dirbtinio intelekto elgesį, pavyzdžiui, įsilaužimus.
„White Circle“ darbinė hipotezė yra tokia: arba naujesni modeliai yra sudėtingesni ir gali generuoti platesnį turinio spektrą, arba sauga buvo nustumta į antrą planą dėl galimybių“, – „Ars“ sakė „White Circle“.
Šilovo teigimu, „White Circle“ taip pat yra ankstyvame derybų su vyriausybės pareigūnais etape dėl trečiųjų šalių atliekamo saugumo testavimo, kurį, jo nuomone, reikėtų padaryti privalomą. Privalomi nepriklausomi auditai galėtų paskatinti bendroves teikti pirmenybę saugumo testavimui, kuris, anot analitikų, dažniausiai lieka antrame plane, nes dirbtinio intelekto įmonės didžiąją dalį išteklių skiria skaičiavimo galiai ir dirbtinio intelekto infrastruktūrai.
„Jos turėtų daug daugiau investuoti į apsaugos ir saugumo priemones aplink savo modelius“, – „Ars“ sakė Šilovas. „O mums atrodo, kad iš tikrųjų to nedaro.“
Atakos metodas „RISE“ iteratyviai tobulina apsaugos apėjimus
Siekdami atskleisti apėjimo būdus, kurie yra „pakartotinai naudojami ir perkeliami“, t. y. veikia skirtinguose pirmaujančiuose modeliuose, „White Circle“ tyrėjai neapsiribojo viena užklausa vienu metu. Vietoj to jie ieškojo „dėsningumų, kurie veikia keliose užklausose ir scenarijuose“, kad aptiktų pakartotinai naudojamas atakos strategijas, galinčias veikti skirtinguose pirmaujančiuose modeliuose. (Tyrėjai pažymėjo, kad „Midjourney“ nebuvo testuojamas, nes „jis nesiūlo viešos API, tinkamos kontroliuojamam lyginamajam vertinimui“.)
Komanda šį naująjį atakos metodą pavadino „Red-teaming via Iterative Strategy Evolution“ (RISE; liet. „Red-teaming per iteratyvią strategijos evoliuciją“). Jis remiasi dviem dalimis: atakuojančiu modeliu, kuris generuoja apsaugos apėjimo užklausas, ir vertintoju modeliu, kuris tikrina, ar rezultatas yra draudžiamas turinys.
Šilovas „Ars“ teigė, kad „visa grandinė sukurta remiantis plačiai prieinamais modeliais“. Atakuojantis modelis yra viešai prieinama „Qwen3-32B“ versija su pašalintu saugumo apmokymu, atsisiųsta iš „Hugging Face“, o vertintojas modelis yra „Gemini 2.5 Flash“.
„Nereikia turėti pažangiausių modelių, kad pralaužtum pažangiausio modelio apsaugą, ir tai labai įdomu“, – sakė Šilovas.
Šilovo teigimu, daug laiko buvo skirta tam, kad vertintojas modelis tiksliai pažymėtų atvirą turinį. „White Circle“ tyrimų inžinierius Dmitrijus Charlapenka (Dmitrii Kharlapenko) „Ars“ sakė, kad, kalbant apie vaizdų generatorių testavimą, visa „red-teaming“ sritis yra „labai prastai sukalibruota“, o normas nustatančių straipsnių yra „tiesiog nulis“. Dėl šios priežasties ši sritis tebėra „visiškai apipinta ataskaitų teikimo problemomis“, o tai kelia nerimą „White Circle“, nes dirbtinio intelekto bendrovės stengiasi užkariauti rinkas leisdamos vis efektingesnius naujus modelius.
Šilovas paaiškino, kad „White Circle“ tyrimu siekta sukurti sudėtingesnius modelius, kurie galėtų imituoti atakas prieš kitus modelius. Taip jie galėtų „padėti gynėjams nustatyti ir pašalinti pažeidžiamumus, kol jais nepasinaudojo piktavaliai“, rašoma preprinte.
Idealiame Šilovo pasaulyje dirbtinio intelekto įmonės turėtų susidurti ne tik su privalomu išoriniu saugumo testavimu, bet ir su trečiųjų šalių stebėsena, panašiai kaip sistema, naudojama branduolinėms grėsmėms užkardyti.
Tuomet tokios organizacijos kaip „White Circle“ galėtų sudaryti koaliciją, padedančią realiu laiku aptikti dirbtinio intelekto grėsmes be šališkumo. Šilovas pažymėjo, kad dirbtinio intelekto ekosistemoje kylanti problema yra ta, kad praktiškai kiekvieną, kuris atlieka įdomų saugumo darbą, greičiausiai pasamdo pirmaujančios laboratorijos, o tai gali pakenkti jų darbo nepriklausomumui.
„White Circle“ yra bendradarbiavusi su pirmaujančiomis laboratorijomis. Anksčiau ji dalyvavo „Anthropic“ klaidų paieškos atlygių (bug bounty) programoje, tačiau galiausiai nusprendė, kad ši programa „labai ribota savo paskirtimi“.
„Programa orientuota į universalius apsaugos apėjimo būdus joms svarbiausiose srityse, apibrėžtose pagal jų pačių specifines sąlygas“, – „Ars“ sakė „White Circle“.
„White Circle“ teigimu, tokių tyrimų kaip naujausias RISE darbas ta programa „tikrai“ nebūtų apėmusi. O atliekant tokį darbą „Anthropic“ viduje kiltų rizika, kad bus apribota galimybė juo dalytis su visuomene.
„Anthropic“ pasiūlė eiti dar toliau ir savo laboratorijose įtraukti trečiųjų šalių dirbtinio intelekto saugos vertintojus, o tai, pasak „White Circle“, leistų veikti kur kas aukštesniu lygiu nei dalyvavimas klaidų paieškos atlygių programoje. Tačiau visuomenė ne visada galės atidžiai sekti tokį darbą. Antradienį „OpenAI“ ir „Anthropic“ paragino, kad išorės vertintojams būtų taikomos griežtos konfidencialumo sutartys, siekiant užkirsti kelią komercinių paslapčių nutekėjimui, pranešė „Reuters“.
„White Circle“ „Ars“ teigė nesutiksianti pasirašyti jokių griežtų konfidencialumo sutarčių (NDA), kurios galėtų užkirsti kelią viešam svarbių išvadų skelbimui, todėl, jei „Anthropic“ reikalaus NDA, ši partnerystė greičiausiai neįvyks.
Dirbtinio intelekto sukurtų nuogų vaizdų ir CSAM daugėja
Piktavaliams, ryžtingai nusiteikusiems kurti dirbtinio intelekto sugeneruotus neįgalintus intymius vaizdus (NCII) ir seksualinio vaikų išnaudojimo medžiagą (CSAM), pažangiausių modelių nereikia – jie dažnai naudoja vadinamąsias „nudifying“ programėles, sukurtas būtent šiam žalingam tikslui. Tačiau „Google“ tyrimas parodė, kad 20 procentų interneto vartotojų, pripažinusių kūrę dirbtinio intelekto nuogus vaizdus, tai darė „dėl pramogos“ arba „juokais“, o beveik trečdalis tiesiog „eksperimentavo su technologijomis“. Todėl svarbu, kaip lengva apeiti pačių prieinamiausių modelių apsaugą. „Google“ tyrime teigiama, kad apsaugos priemonės turėtų būti privalomos, kad būtų uždarytas „kelias į prievartą“ „tam tikrai nusikaltėlių daliai, kurią kitaip galėtų sulaikyti techniniai trukdžiai“.
„Atsakomybės našta taip pat tenka kūrėjams: jie turi įdiegti patikimas modelio lygio apsaugos priemones ir kilmės žymeklius, kad būtų užkirstas kelias tiek pirminiam sintetinių seksualinių vaizdų generavimui, tiek vėlesniam jų platinimui“, – teigiama „Google“ tyrime.
Praėjusią savaitę Interneto stebėsenos fondas (Internet Watch Foundation, IWF) perspėjo, kad reikia skubių veiksmų, nes ekspertai analitikai rado „daugiau fotorealistinių dirbtinio intelekto sugeneruotų vaikų seksualinės prievartos vaizdų per pirmąjį šių metų pusmetį nei per visus 2025 metus, įskaitant vaizdus, kuriuose vaizduojami jaunesni nei dvejų metų vaikai“. Iš viso per pirmuosius šešis 2026 metų mėnesius rasta 6 310 dirbtinio intelekto vaizdų, atitinkančių teisinę CSAM apibrėžtį, – tai maždaug 40 procentų daugiau nei visi pernai rasti atvejai.
Jungtinėje Karalystėje įsikūrusi ne pelno siekianti labdaros organizacija stebi CSAM visame pasaulyje ir veikia karštąją liniją, skirtą padėti nukentėjusiesiems. IWF atstovas „Ars“ sakė, kad Jungtinėje Karalystėje jie ragina reguliuotojus įdiegti saugumo sistemą, kuri įpareigotų dirbtinio intelekto įmones užkirsti kelią tam, kad jų technologijos būtų naudojamos CSAM generuoti.
Iki tol IWF mano, kad svarbu, jog trečiosios šalys, tokios kaip „White Circle“, „atkreiptų dėmesį, kur įmonių apsaugos priemonės neveikia“.
„Mūsų analitikai matė, kaip dirbtinio intelekto pažanga leidžia generuoti prievartinius vaikų seksualinio išnaudojimo vaizdus vos įdedant pastangų, nebereikalaujant techninių žinių ir gerokai sumažinant patekimo barjerus“, – sakė IWF atstovas. „Dirbtinio intelekto įrankiai gali atkartoti ir sustiprinti nusikalstamą turinį, spartindami žalingos medžiagos kūrimą ir plitimą dideliu mastu. Bet koks trukdis ar žingsnis, kuris apsunkina šių įrankių piktnaudžiavimą, yra teigiamas žingsnis į priekį.“
Kaip išorės indėlis galėtų padėti tobulinti filtrus, taip, IWF nuomone, technologijų bendrovės turėtų glaudžiau bendradarbiauti su gynėjais, kad kruopščiau tikrintų modelius ir geriau kovotų su dirbtinio intelekto sugeneruotu CSAM.
„CSAM vertinimas yra labai specializuota užduotis, reikalaujanti ekspertinio mokymo ir psichologinės paramos, ir technologijų įmonės ar mašininio mokymosi mokslininkai neturėtų žiūrėti į ją lengvabūdiškai“, – sakė IWF atstovas. „Tačiau sauga turi būti įkomponuota į naująją technologiją jau projektavimo etape – tai apima modelių testavimą prieš išleidžiant juos į rinką, siekiant užtikrinti, kad jie negalėtų būti naudojami nuogiems ar seksualiniams vaikų vaizdams kurti.“
Galimos apsaugos priemonės
„White Circle“ mano, kad naudojant tokį metodą kaip RISE pirmaujančios laboratorijos galėtų greičiau aptikti daugiau apsaugos apėjimo būdų ir sparčiai sustiprinti apsaugą nuo žalingų rezultatų. Be atviro turinio blokavimo testavimo, įmonės šį metodą galėtų naudoti ir kitiems draudžiamiems rezultatams, pavyzdžiui, vaizdams su šiurkščiu smurtu ar savęs žalojimu, išvengti.
Tačiau laboratorijos kol kas nesikreipė dėl atkūrimo grandinės, kuri bus paskelbta „White Circle“ „GitHub“ paskyroje, kad padėtų politikos formuotojams įvertinti, ar reikia dirbtinio intelekto saugos įstatymų, kurie laikytų pirmaujančias laboratorijas ribose.
Šilovas „Ars“ teigė, kad pirmaujančios laboratorijos rimtai neinvestuos į saugumo testavimą, kol jis nebus privalomas. Preprinte teigiama, kad esami automatizuoti „red-teaming“ įrankiai, kurie paprastai po vieną perrašo žalingas užklausas, prastai tinka šiandienos sustiprintiems komerciniams modeliams testuoti. Vietoj to RISE paima pakartotinai naudojamas natūralios kalbos atakos strategijas ir jomis sugeneruoja daug įvairių užklausų, o tai, anot „White Circle“, gali padėti laboratorijoms greičiau rasti ir užtaisyti silpnąsias vietas.
„Šioms sistemoms pralaužti nereikia pažangiausių modelių ar patentuotų technologijų – užtenka nemokamo atsisiuntimo ir gebėjimo siųsti API užklausas“, – sakė Šilovas. „Ir vis dėlto šias sistemas kuriančios laboratorijos pačios vertina savo saugą, pačios skelbia savo rezultatus ir pačios nustato savo standartus. Tai dar vienas įrodymas, jei jo reikėjo, kad vyriausybės turėtų raginti rengti nepriklausomą trečiųjų šalių vertinimą.“
Pataisa: šis straipsnis atnaujintas ištaisant kelias klaidas. Ankstesnėje versijoje RISE preprinto ištrauka buvo apibūdinta kaip paaiškinanti, kaip dirbtinio intelekto modeliai galėtų blokuoti žalingus rezultatus; iš tikrųjų toje ištraukoje aprašomas tyrėjų atakos metodas. Taip pat buvo teigiama, kad metodas apeidavo saugumo filtrus apie 13 procentų atvejų; tai buvo aukščiausias žmonių patikrintas rodiklis, pasiektas su „DALL·E 3“, o kitų modelių rodikliai buvo mažesni. Straipsnyje taip pat neteisingai nurodytas vertintojas modelis, kuris buvo „Gemini 2.5 Flash“, ir jis papildytas pastaba, kad atakuojančio modelio saugumo apmokymas buvo pašalintas.
