Dlaczego „wyłącznik awaryjny” AI nie jest rozwiązaniem uniwersalnym
Niedawne zdarzenia z zakresu cyberbezpieczeństwa z udziałem agentów AI, takie jak incydent Hugging Face-OpenAI, skłoniły decydentów do rozważenia, czy „wyłącznik awaryjny” (ang. kill switch) dla sztucznej inteligencji (AI) jest konieczny, aby zapobiec wyrządzaniu przez coraz bardziej zaawansowane systemy znaczących, bezpośrednio grożących szkód. Określenie to sugeruje jednak prostotę, która nie istnieje. „Wyłącznik awaryjny” może oznaczać wszystko – od odebrania agentowi uprawnień, przez zawieszenie modelu, po wyłączenie infrastruktury obsługującej daną usługę. Zanim decydenci nałożą obowiązek stosowania takich mechanizmów, powinni zadać bardziej fundamentalne pytanie: jakim ryzykom wymóg wyłączenia faktycznie by przeciwdziałał i jakie nowe ryzyka mógłby wywołać?
Na przykład:
- Zabezpieczenia awaryjne mogą obejmować różne mechanizmy o zróżnicowanym zakresie i skutkach. Zabezpieczenia mogą polegać na zablokowaniu dostępu pojedynczego użytkownika, odebraniu agentowi uprawnień, zawieszeniu określonego modelu, usługi lub wdrożenia albo wyłączeniu infrastruktury, na której hostowany jest model lub za pośrednictwem której świadczona jest usługa. Wdrożenie takich mechanizmów kontroli łączyłoby rozwiązania techniczne, operacyjne i administracyjne. Odrębną kwestią jest to, kto decyduje o ich uruchomieniu – dostawca może działać samodzielnie lub w odpowiedzi na nakaz organu państwowego, a mechanizm może też uruchomić inny podmiot. Sposób zaprojektowania zabezpieczenia oraz to, który podmiot ma możliwość jego uruchomienia, mają istotnie różne konsekwencje dla bezpieczeństwa i ciągłości świadczenia usług.
- Zabezpieczenia awaryjne mogą nie wstrzymać wszystkich działań. Na przykład zawieszenie określonego modelu nie oznacza automatycznie, że ustaną już rozpoczęte zadania delegowane. Może ono również nie wyłączyć kopii modelu pobranych i uruchamianych niezależnie.
- Skuteczne zastosowanie zabezpieczenia awaryjnego zależy od czasu. Interwencja awaryjna wymaga wykrycia lub przewidzenia problemu oraz podjęcia działań na tyle szybko, aby ograniczyć szkody. W wielu przypadkach nawet szybkie uruchomienie zabezpieczenia może nie zapobiec szkodom, jeśli nie zastosowano innych środków zarządzania ryzykiem.
- Wprowadzenie mechanizmów zabezpieczeń awaryjnych może stwarzać nowe ryzyka. Szerokie zawieszenie mogłoby przerwać świadczenie usług użytkownikom niemającym żadnego związku z działaniem, które je wywołało. Przedsiębiorstwa korzystające z danej usługi mogłyby doświadczyć zakłóceń w całej swojej działalności. Ponadto wbudowanie technicznej możliwości zdalnego wyłączenia produktu lub usługi mogłoby otworzyć nowe drogi ingerencji ze strony przeciwników lub w inny sposób osłabić bezpieczeństwo i odporność. Interwencje regulacyjne narzucające konkretne rozwiązania techniczne mogą tracić adekwatność wraz z rozwojem modeli i wdrożeń, wprowadzając podatności i hamując rozwój produktów i usług.
- Czy wymogi awaryjnego wyłączenia wypełniłyby luki w istniejących mechanizmach kontroli cyberbezpieczeństwa. Biorąc pod uwagę ryzyka operacyjne i biznesowe, jakie może wprowadzić mechanizm wyłączenia, decydenci rozważający nowe wymogi powinni najpierw określić konkretne szkody, którym chcą zapobiec lub które chcą ograniczyć, oraz wskazać, w jakim zakresie obecne wymogi i praktyki są niewystarczające. Propozycje nowych wymogów powinny uwzględniać ocenę kosztów oraz ryzyka wprowadzenia nieproporcjonalnych zagrożeń. Decydenci powinni również mieć świadomość, że sprzeczne obowiązki obowiązujące w różnych stanach lub państwach potęgują te wyzwania. W przypadku wymogów o skutkach eksterytorialnych klienci mogą zacząć obawiać się o ciągłość usług, a amerykańskie produkty i usługi mogą cieszyć się mniejszym zaufaniem i stać się mniej konkurencyjne.
- Zabezpieczenia awaryjne należy postrzegać jako jeden z elementów kompleksowego podejścia do zarządzania ryzykiem związanym z AI. Twórcy, integratorzy i podmioty wdrażające AI powinni utrzymywać skuteczne, proporcjonalne i bezpieczne mechanizmy kontroli, aby przeciwdziałać nadużyciom oraz niebezpiecznym zachowaniom modeli i agentów AI. Możliwość przerwania działania lub dezaktywacji systemu może być ważnym zabezpieczeniem, ale jej skuteczność zależy od środków i mechanizmów uzupełniających, takich jak testowanie, ograniczenia dostępu, limity uprawnień agentów AI, bieżące monitorowanie oraz planowanie reagowania na incydenty i przywracania działania. Wiele z tych praktyk opisano w istniejących ramach i normach zarządzania ryzykiem, takich jak NIST AI Risk Management Framework oraz ISO/IEC 42001. Sama dostępność funkcji wyłączenia nie wystarcza do oceny ogólnego bezpieczeństwa systemu.
Zabezpieczenia awaryjne mogą odgrywać ważną rolę w zarządzaniu ryzykiem związanym z AI i w wielu przypadkach są już uwzględniane w ugruntowanych programach zarządzania ryzykiem. Stanowią jednak tylko jeden z elementów szerszego podejścia. Przed nałożeniem samodzielnego obowiązku wyłączenia decydenci powinni wskazać lukę, którą miałby on wypełnić, rozważyć nowe ryzyka, które mógłby stworzyć, oraz ustalić, kto jest najlepiej przygotowany do działania. Zarządzanie ryzykiem związanym z AI nie może opierać się na jednym wyłączniku – wymaga wdrożenia szeregu różnych środków i mechanizmów kontroli.