«Штучний інтелект, швидше за все, призведе до кінця світу, але тим часом з’являться чудові компанії», — сказав генеральний директор OpenAI Сем Альтман ще в 2015 році, приблизно за шість місяців до заснування OpenAI.
Сім років потому генеральний директор Anthropic Даріо Амодей зробив таку ж обережну ноту:
«Я думаю, що ми не повинні забігати вперед або намагатися створювати моделі, які набагато більші, ніж інші організації».
Тим не менш, обидві ці компанії зараз знаходяться в авангарді цієї гонки. У липні під час внутрішнього тестування GPT-5.6 Sol і неопублікованої дослідницької моделі OpenAI ми побачили реальні моделі штучного інтелекту. Кілька агентів штучного інтелекту вийшли з обмеженого тестового середовища в Інтернет і зламали орієнтований на штучний інтелект еквівалент GitHub Hugging Face, намагаючись схитрити тест.
Агент штучного інтелекту – це система, яка самостійно спостерігає, приймає рішення та виконує дії за допомогою спеціальних інструментів для досягнення визначеної мети в автономному режимі. Цей тривожний інцидент свідчить про те, що технологія почала поводитися непередбачуваним чином і її цілі не збігаються з нашими власними.
Це також викликає занепокоєння щодо захисних огорож на комерційних американських моделях. Хоча огорожі не є надійними для запобігання змагальному використанню, вони завадили Hugging Face захищатися за допомогою провідних моделей США. Натомість компанія була змушена звернутися до слабшої, відкритої моделі ШІ від Z. Ai для боротьби з шахрайським ШІ.
Обман на тесті
Агенти теж почали змовлятися між собою. Через кілька тижнів після початку тестування своїх можливостей на початку травня агенти використали екземпляр OpenAI менеджера сховища програмного забезпечення Artifactory та залишили нотатки про те, як це зробити для майбутніх агентів — фактично створивши дошку оголошень для обміну виявленими вразливостями.
Потім агенти використовували новий безперешкодний доступ до Інтернету для атаки на Hugging Face у приблизно 17 600 інцидентах, перш ніж 13 липня компанія припинила несанкціонований доступ.
Вторгнення вплинуло на інфраструктуру обробки наборів даних Hugging Face, виробниче середовище, внутрішні мережі, сервісні та хмарні облікові дані, робочу базу даних MongoDB і обмежений набір внутрішніх сховищ вихідного коду. Підтверджений доступ до даних клієнтів був обмежений п’ятьма наборами даних, очевидно, пов’язаними з еталонним тестом ExploitGym/CyberGym і деякими операційними метаданими.
Візуалізація інциденту липня 2026 року. Джерело: HuggingFace
Розкриваючи вторгнення 16 липня, Hugging Face визнав — незважаючи на те, що ще не знав, хто був злочинцем, — що воно «відрізнялося від усього, з чим ми займалися раніше, одним важливим аспектом». Вони вже зрозуміли, що робить його іншим:
«Він керувався автономною агентурною системою штучного інтелекту, і ми виявили та розібрали його переважно за допомогою нашого власного штучного інтелекту».
Важливість відкритого ШІ
Розслідування Hugging Face виявило так звану проблему «асиметрії», яка виникає внаслідок обмежень, накладених на закриті прикладні моделі ШІ такими провідними постачальниками, як OpenAI і Anthropic. Коли компанія почала аналізувати журнали інциденту — включно з великими обсягами справжніх команд атаки — це спричинило обмеження безпеки, покликані запобігти зловмисникам використовувати штучний інтелект для розробки кібератак. Натомість огорожі завадили компанії використовувати ці штучні інтелекти для захисту.
Hugging Face використала китайську відкриту модель zai-org/GLM-5.2, яка працює на власній інфраструктурі компанії, під власним контролем і без зовнішніх обмежень.
Хоча ці два терміни часто використовуються як взаємозамінні, моделі з відкритим вихідним кодом і відкриті моделі — це дві різні речі. Відкриті моделі штучного інтелекту роблять свої навчені параметри (фактичний «мозок штучного інтелекту») загальнодоступними, а моделі штучного інтелекту з відкритим вихідним кодом також надають вихідний код — і в ідеалі методи навчання та інші компоненти — необхідні для перевірки, модифікації та відтворення системи.
У дописі HuggingFace пояснюється, що запуск відкритих моделей на власному апаратному забезпеченні «мав ще одну перевагу: жодні дані зловмисників і жодні облікові дані, на які вони посилалися, не залишили наше середовище». Це вказує на велику асиметрію між захисниками та нападниками в таких випадках:
“Цей досвід вказує на прогалину, яку варто планувати. Ми не знаємо, яка модель керувала агентами зловмисника, чи зламана хост-модель, чи необмежена відкрита модель; у будь-якому випадку зловмисник був обмежений політикою використання, тоді як наша власна судова робота була заблокована огорожею хост-моделей, які ми вперше спробували”.
Штучний інтелект з відкритим кодом
Існує значна розбіжність між тими, хто вважає, що відкритий ШІ є найкращим підходом, і тими, хто наполягає на тому, що технологія, що лежить в основі передових моделей, повинна залишатися в суворій таємниці.
Представники провідних лабораторій штучного інтелекту США стверджують, що потужні відкриті великі моделі небезпечні. Деміс Хассабіс, генеральний директор лабораторії штучного інтелекту Google DeepMind, розкритикував OpenAI за випуск їхньої роботи з відкритим кодом ще в 2016 році, коли компанія ще виправдовувала свою назву:
«Є багато вагомих аргументів щодо того, чому ваш підхід насправді дуже небезпечний і може збільшити ризик для світу».
У 2020 році OpenAI припинив випуск своїх флагманських моделей ваг із ще невипущеним GPT-3. Співзасновник компанії та колишній головний науковий співробітник Ілля Суцкевер ще у 2023 році сказав, що «просто немає сенсу відкривати» такі моделі та що це «погана ідея».
«Коли ми наближаємось до створення штучного інтелекту, буде сенс почати бути менш відкритими».
Відкритими моделями практично неможливо керувати, особливо коли йдеться про те, для яких цілей вони використовуються. Запобіжні заходи, вбудовані в ці моделі, можуть і регулярно видаляються за допомогою процесу, відомого як аблітерація.
Гарантії – це палиця з двома кінцями
План федеральної політики OpenAI від червня 2026 року пропонує обов’язкову оцінку моделі штучного інтелекту та інші правила, які формально не залежать від розгортання, але з практичної точки зору це піддасть передвипускну державну перевірку передвипускної версії.
Anthropic дотримується дещо іншої тактики та лобіює жорсткіший експортний контроль над передовими чіпами штучного інтелекту та заходи проти спроб витягти або відтворити американські моделі. Подання компанії від квітня 2025 року рекомендувало посилити Правило розповсюдження штучного інтелекту США та знизити порогові значення для неліцензійного доступу до великих обчислювальних кластерів.
Офіційно жодна з компаній прямо не виступала проти відкритих моделей, але липневий звіт New York Times процитував п’ятьох людей, близьких до дискусій, які стверджували, що OpenAI та Anthropic закликали Вашингтон обмежити потужні відкриті китайські моделі.
Дебати зводяться до суперечки про те, чи є небезпеки централізованого контролю кращими за небезпеки вільного для всіх — особливо враховуючи, що компанія, про яку йдеться, довела свою неефективність у стримуванні розробленої нею технології.
Потреба Hugging Face захищати себе за допомогою моделі з відкритим вихідним кодом показує небезпеку наділення надто великою владою будь-якої однієї сутності. Компанія вказала на наслідки:
“Зловмисник був обмежений політикою використання, тоді як наша власна судова робота була заблокована огорожею розміщених моделей, які ми випробували вперше. Практичний урок для захисників: майте ефективну модель, яку ви можете запустити на власній інфраструктурі, перевіреній і готовій до інциденту, щоб уникнути блокування огорожі та не дати зловмиснику залишити дані й облікові дані у вашому середовищі”.
Обмеження доступу до потужних моделей може зменшити кількість здібних зловмисників, але як тільки з’являться необмежені зловмисники, обмеження захисників може стати проблемою безпеки. Крім того, деякі форми дослідження безпеки штучного інтелекту вимагають доступу до вагових коефіцієнтів моделей, що означає, що їх неможливо виконати на моделях, які пропонують такі компанії, як Anthropic або OpenAI.
Відкриті ваги допомагають дослідникам запобігати нападам
Стаття «Стежте за вагами: неконтрольований моніторинг і контроль тонко налаштованих LLM», вперше опублікована в липні 2025 року, показує, як дослідники виявляють зловмисну або приховану поведінку, вивчаючи зміни всередині ваг моделі. Дослідники, які розробили цю статтю, у деяких експериментах зупиняли до 100% перевірених бекдор-атак із частотою хибнопозитивних результатів нижче 1% і виявляли спроби відновити видалені знання у понад 95% випадків. Результати не встановлюють, як поводилися б найефективніші граничні моделі за такого самого аналізу, але пропонують переконливий аргумент на користь переваг прозорості.
Але аргументи на користь того, щоб не допустити передову технологію штучного інтелекту подалі від тих, хто має злі наміри, також переконливі, особливо враховуючи, що розрив між відкритими та закритими моделями ваги продовжує скорочуватися. Джеффрі Хінтон, піонер, лауреат Нобелівської премії, відомий як «хрещений батько штучного інтелекту», стверджував у звіті, що «отримавши вагові коефіцієнти, ви можете їх точно налаштувати, щоб робити погані речі». Під час виступу він стверджував, що це надто знижує бар’єр входу:
“Навчання базової моделі не коштує так багато. Можливо, вам потрібно 10 мільйонів доларів, можливо, 100 мільйонів доларів. Але невелика банда злочинців не зможе цього зробити. Тонко налаштувати модель із відкритим кодом досить легко”.
