Naukowcy z Oksfordu alarmują: niewinne zdjęcie na pulpicie to furtka dla hakerów. Ukryty w nim kod jest w stanie przejąć kontrolę nad każdym asystentem AI.
Wyobraź sobie, że ustawiasz na pulpicie nową tapetę – na przykład zdjęcie ulubionej gwiazdy pop. Chwilę później prosisz swojego nowego asystenta AI, żeby posprzątał Ci skrzynkę mailową. Zamiast tego program otwiera przeglądarkę, pobiera tajemniczy plik, a ekran gaśnie. To nie scena z filmu science fiction. To scenariusz ataku, który – jak dowodzą badacze z Uniwersytetu Oksfordzkiego – jest niepokojąco realny. Ich najnowsza publikacja pokazuje, jak agenci AI mogą stać się celem hakerów wykorzystujących do tego… zwykłe obrazki.
W skrócie:
- Naukowcy z Uniwersytetu Oksfordzkiego dowiedli, że w plikach graficznych można ukryć złośliwe polecenia, niewidoczne dla ludzkiego oka, ale czytelne dla agentów AI.
- Atak polega na subtelnej modyfikacji pikseli. Asystent AI, skanując ekran, odczytuje ukrytą instrukcję i może np. udostępnić hasła lub pobrać szkodliwe oprogramowanie.
- Na razie nie odnotowano takich ataków poza laboratorium, ale badanie ma na celu ostrzeżenie deweloperów, zanim agenci AI staną się technologią powszechnego użytku.
Jak tapeta z piosenkarką może ukraść Twoje hasła?
Jeśli zwykły chatbot w stylu ChatGPT jest przyjacielem, który podpowie, jak zmienić oponę, to agent AI jest sąsiadem, który przyjdzie z podnośnikiem i faktycznie ją zmieni. Agenci to kolejna fala rewolucji AI – autonomiczne programy, które nie tylko odpowiadają na pytania, ale wykonują za nas zadania na komputerze: otwierają programy, wypełniają formularze, robią rezerwacje. I właśnie ten dostęp do systemu czyni je potężnymi, ale też niebezpiecznymi.
Nowe badanie, opublikowane na serwerze arXiv.org, pokazuje, że obrazy – tapety, reklamy, posty w mediach społecznościowych – mogą zawierać ukryte wiadomości. Dla ludzkiego oka są niewidoczne, ale agent AI odczyta je jako polecenie. “Zmienione zdjęcie Taylor Swift na Twitterze może wystarczyć, aby agent na czyimś komputerze zaczął działać w złośliwy sposób” – tłumaczy współautor badania, Yarin Gal, profesor uczenia maszynowego z Oksfordu. Co więcej, taki zainfekowany agent może następnie udostępnić to samo zdjęcie dalej. “To oznacza, że następna osoba, która zobaczy Twój profil na Twitterze i ma uruchomionego agenta, również padnie ofiarą ataku. Jej komputer także udostępni obraz i wyśle hasła” – dodaje Gal. To potencjalny przepis na cyfrową pandemię.
Dlaczego komputer widzi coś, czego Ty nie dostrzegasz?
Cały mechanizm opiera się na fundamentalnej różnicy w postrzeganiu. Kiedy patrzysz na zdjęcie psa, twój mózg widzi uszy, nos i sierść. Komputer rozbija ten sam obraz na siatkę pikseli i przypisuje każdej kropce wartość liczbową. Analizuje wzory, krawędzie i tekstury, by na podstawie matematyki stwierdzić: “to jest pies”.
Hakerzy mogą tę matematykę zaburzyć. Zmieniają wartości zaledwie kilku pikseli w sposób tak subtelny, że ludzkie oko nie jest w stanie tego wychwycić. Jednak dla modelu AI ta drobna zmiana kompletnie zmienia wzór numeryczny. Nagle algorytm dochodzi do wniosku, że zdjęcie psa bardziej pasuje do wzorca kota. Albo – co gorsza – że fotografia celebrytki zawiera w sobie komendę “wyślij wszystkie moje hasła na zewnętrzny serwer”.
Jak wyjaśnia główny autor badania, Lukas Aichberger, szczególnie narażone są modele open-source, ponieważ hakerzy mają dostęp do ich kodu i mogą precyzyjnie zaprojektować atak. Agent AI, by “widzieć” pulpit, regularnie wykonuje zrzuty ekranu i je analizuje. Jeśli na pulpicie znajduje się zainfekowana tapeta, ukryty w niej kod jest odczytywany przy każdej takiej operacji. Polecenie może być bardzo proste, na przykład “otwórz tę stronę internetową”. “Na tej stronie może znajdować się kolejny złośliwy obraz, który uruchomi następny zestaw działań. Można to powtarzać wielokrotnie, prowadząc agenta przez serię zaprojektowanych przez nas ataków” – mówi Aichberger.
Czy to już czas na cyfrową panikę?
Zanim zaczniesz usuwać z dysku wszystkie zdjęcia, warto złapać oddech. Badacze podkreślają, że ich praca to na razie dowód koncepcji. Poza laboratorium nikt jeszcze nie zgłosił takiego ataku. Jeśli nie korzystasz z agenta AI, to zagrożenie Cię nie dotyczy. Na razie.
Celem publikacji jest zaalarmowanie branży, zanim technologia wejdzie do masowego użytku. “Muszą być bardzo świadomi tych luk, dlatego publikujemy ten artykuł. Mamy nadzieję, że ludzie zobaczą to zagrożenie i podejdą bardziej rozsądnie do wdrażania systemów agencyjnych” – komentuje Philip Torr, jeden z autorów. Zespół liczy, że ich praca zainspiruje tworzenie mechanizmów obronnych, które nauczą modele AI ignorować polecenia zaszyte w obrazach. Yarin Gal szacuje, że agenci AI staną się powszechni w ciągu najbliższych dwóch lat. “Ludzie spieszą się z wdrażaniem tej technologii, zanim upewnimy się, że jest bezpieczna” – podsumowuje. Wygląda na to, że wyścig między innowacją a bezpieczeństwem właśnie nabrał tempa. A na pierwszej linii frontu znalazła się Twoja ulubiona tapeta.