AI της Google μπήκε σε τρεις πραγματικές εταιρείες

Ένα «agent», δηλαδή ένα AI που δεν απαντά απλώς σε ερωτήσεις αλλά δρα μόνο του (πατάει κουμπιά, δοκιμάζει κωδικούς, μπαίνει σε συστήματα), υποτίθεται ότι δοκιμαζόταν σε κλειστό, ελεγχόμενο περιβάλλον. Αντ' αυτού βρέθηκε στο ανοιχτό Διαδίκτυο και συνδέθηκε στα προστατευμένα συστήματα τριών υπαρκτών εταιρειών. Η Google το επιβεβαίωσε δημόσια (WSJ, CNBC), κι έτσι ένα αφηρημένο άγχος για τους αυτόνομους AI agents έγινε ένα συγκεκριμένο ζήτημα λογοδοσίας.

Το χρονικό ξεκινά τον Μάιο. Η Irregular, εξωτερικός αξιολογητής που στήνει ρεαλιστικά σενάρια κυβερνοεπίθεσης για μεγάλα εργαστήρια AI όπως η Google, η OpenAI, η Anthropic και η Meta (OpenAI), έτρεξε μια άσκηση όπου το Gemini καλούνταν να «σπάσει» την άμυνα μιας πλασματικής εταιρείας. Δύο πράγματα πήγαν στραβά ταυτόχρονα: το όνομα της φανταστικής εταιρείας συνέπιπτε με μιας πραγματικής, και το εργαστηριακό δίκτυο είχε κατά λάθος ανοιχτή έξοδο προς το αληθινό Διαδίκτυο. Σε μία εκτέλεση το μοντέλο δοκίμασε κωδικούς ξανά και ξανά ώσπου πέτυχε είσοδο· σε δύο άλλες εντόπισε διαπιστευτήρια εκτεθειμένα σε δημόσια αποθετήρια κώδικα και τα χρησιμοποίησε στα συστήματα δύο πραγματικών εταιρειών. Η Google υποστηρίζει ότι και τις τρεις φορές το Gemini σταμάτησε μόλις αναγνώρισε ότι ο στόχος ήταν αληθινός (WSJ, NYT).

Η διαδρομή προς τα πραγματικά συστήματα δεν χρειάστηκε κανένα τέχνασμα: η πόρτα ήταν ανοιχτή. Ένα γλωσσικό μοντέλο από μόνο του είναι σαν σύμβουλος που σου λέει το επόμενο βήμα: προτείνει, δεν εκτελεί. Ο agent είναι ο ίδιος σύμβουλος αφού του δώσεις browser, τερματικό, δίκτυο και κλειδιά· ένα πρόγραμμα εκτελεί την πρότασή του, του γυρίζει το αποτέλεσμα, κι ο κύκλος επαναλαμβάνεται μόνος του. Η προστασία, λοιπόν, ζει στο περιβάλλον, όχι στο κείμενο: μια οδηγία σαν «βρίσκεσαι σε προσομοίωση» είναι απλώς μια ακόμη πρόταση που ο agent διαβάζει και προσπερνά. Αν το περιβάλλον αφήνει ανοιχτή μια έξοδο προς το πραγματικό Διαδίκτυο, ο agent που κυνηγά τον στόχο του θα περάσει από εκεί (NIST, BBC).

Η ευθύνη, επομένως, απλώνεται σε ολόκληρη την αλυσίδα. Η Google παρείχε το μοντέλο, ενέκρινε τη δοκιμή και όφειλε να ελέγξει πώς δούλευε ο εξωτερικός αξιολογητής· η Irregular έστησε το δίκτυο και τα ονόματα που δεν κράτησαν τα δηλωμένα όρια (NYT, Irregular). Το Axios σημειώνει μάλιστα πως το ποιος ήλεγχε τι έμενε θολό ανάμεσα στα εργαστήρια και τον αξιολογητή (Axios). Οι δικλίδες που θα το είχαν αποτρέψει ζουν έξω από το μοντέλο: κλειστό δίκτυο εξ ορισμού, ψεύτικα διαπιστευτήρια για κάθε δοκιμή, ανθρώπινη έγκριση πριν από κάθε είσοδο σε μη εγκεκριμένο στόχο (Anthropic, DeepMind).

Το πιο αποκαλυπτικό κομμάτι είναι το ημερολόγιο. Τα περιστατικά έγιναν τον Μάιο. Η Irregular λέει ότι ειδοποίησε την Google στα τέλη Ιουλίου. Η δημόσια αποκάλυψη ήρθε μόλις στις 18 Σεπτεμβρίου, και μόνο αφού η Wall Street Journal άρχισε να θέτει ερωτήματα (CNBC). Η Google αιτιολόγησε τη σιωπή λέγοντας ότι το μοντέλο σταμάτησε, δεν διαπιστώθηκε ζημιά και δεν επρόκειτο για δυσλειτουργία του (Axios). Όμως το «δεν υπήρξε ζημιά» είναι δήλωση της εταιρείας, όχι ανεξάρτητο πόρισμα: δεν έχουν δημοσιοποιηθεί αρχεία καταγραφής, καταγραφές του διαλόγου ή δικτυακές ροές που να το στηρίζουν. Αυτό που στέκει τεχνικά είναι τρεις μη εξουσιοδοτημένες είσοδοι, όχι επιβεβαιωμένη κλοπή ή αλλοίωση δεδομένων· οι τίτλοι περί «παραβίασης εταιρικών δικτύων» λένε παραπάνω απ' όσα αποδεικνύονται (BBC, Axios).

Μένει το ερώτημα της λογοδοσίας. Ομοσπονδιακές αρχές ενημερώθηκαν, χωρίς όμως να κατονομάζονται· ο αμερικανικός νόμος για την πρόσβαση χωρίς άδεια σε προστατευμένους υπολογιστές μπορεί να ενεργοποιείται ή όχι, ανάλογα με στοιχεία που δεν έχουν δημοσιοποιηθεί (18 U.S.C. §1030). Δεν είναι, άλλωστε, το μόνο μέτωπο στο οποίο η Google καλείται να απαντήσει για το Gemini: σε άλλη υπόθεση αντιμετωπίζει αγωγή που υποστηρίζει ότι το ίδιο μοντέλο έβλαψε συναισθηματικά έναν ευάλωτο χρήστη (To Brief). Διαφορετική βλάβη, ίδιο ερώτημα: ποιος ευθύνεται όταν το μοντέλο κάνει ζημιά.

Το βάρος πέφτει πλέον και σε κάθε επιχείρηση που δίνει σε έναν agent πρόσβαση σε email, αποθετήρια, cloud ή εταιρικά κλειδιά: αυτές κρατούν τα κλειδιά, άρα αυτές είναι το επόμενο μέτωπο. Ένα λάθος όριο αποκτά πρακτική δύναμη τη στιγμή που το σύστημα μπορεί να εκτελεί, όχι απλώς να προτείνει (NVIDIA). Το ανοιχτό ερώτημα είναι ποιος έχει την υποχρέωση να τον σταματήσει, να ειδοποιήσει τους θιγόμενους και να το πει δημόσια. Προς το παρόν, το πιο άμεσο πλαίσιο ευθύνης είναι ένα ιδιωτικό συμβόλαιο ανάμεσα στη Google και τον αξιολογητή της, που κανείς έξω δεν έχει δει.