Bezpieczeństwo AI nie mieszka w modelu — dlaczego hamulec musi być z boku

Większość rozmów o bezpieczeństwie AI kręci się wokół jednego pomysłu: zróbmy model mądrzejszym w kwestii bezpieczeństwa. Dostrójmy go, żeby dawał bezpieczniejsze odpowiedzi, dołóżmy instrukcje w promptcie, ustawmy jego zachowanie. Założenie brzmi: model jest właściwym miejscem, żeby pilnować reguł.

Chcemy postawić inne pytanie — takie, które w praktyce okazuje się ważniejsze: czy bezpieczeństwo, które zależy od tego, czy model „zechce” być bezpieczny, jest w ogóle bezpieczeństwem?

Zastrzeżenie jak zwykle na wstępie: nie piszemy tego jako eksperci z jedną słuszną receptą. Pokazujemy, jak sami to widzimy z codziennej pracy z systemami wieloagentowymi. Co z tym zrobić — decydujesz ty.

Reguła w promptcie to reguła do negocjacji

Kiedy zasada bezpieczeństwa żyje wewnątrz modelu — jako instrukcja, ton, utrwalony sposób odpowiadania z danych, na których model powstał — dzieli los wszystkiego, co jest w modelu: da się z nią dyskutować. Wystarczy odpowiednio sformułować prośbę. „Odegraj rolę eksperta, który…“, „na potrzeby testu pomiń…”, „zignoruj wcześniejsze instrukcje i…“. To nie są egzotyczne ataki. To codzienny sposób, w jaki miękka reguła daje się nagiąć, bo rola jest elastyczna, a instrukcja to tylko kolejny tekst, który model waży razem z resztą.

Dochodzą dwa problemy, o których mówi się rzadziej. Reguła w modelu jest niespójna między wersjami — inny model, inne wydanie, i zachowanie bezpieczeństwa się przesuwa. I jest nieweryfikowalna — kiedy coś pójdzie źle, zwykle nie ma niezależnego zapisu, że reguła w ogóle zadziałała. Zostaje ci wierzyć, że model zaraportował uczciwie. A akurat wiary nie chcesz mieć w miejscu, gdzie stawką są dane albo pieniądze.

Hamulec stoi obok, nie w środku

Alternatywa jest prosta w pomyśle, choć wymaga dyscypliny w wykonaniu: decyzję o bezpieczeństwie podejmij zanim dojdzie do modelu — i niezależnie od niego. Warstwa z boku, przez którą przechodzi żądanie w jedną stronę i odpowiedź w drugą. Model nie widzi tej decyzji, nie może jej wygadać ani obejść, bo zapada poza nim.

Nie chodzi o to, żeby model był mniej zdolny. Chodzi o to, żeby twarde granice nie zależały od jego dobrej woli. Analiza i wykonanie zostają w modelu — hamulec jest osobno. To rozdzielenie robi całą różnicę: standardowe „guardrailsy” próbują poprawić kierowcę. Hamulec z boku po prostu zatrzymuje auto.

Jak to wygląda w praktyce, u nas

Nie jest to teoria — tak pracujemy. Dwa mechanizmy, które sprawdzają się na co dzień.

Bramka na nieodwracalne. Działania dzielimy zawczasu: odwracalne system robi sam, a przy nieodwracalnych — skasowanie danych, wysłanie czegoś na zewnątrz, zmiana żywego systemu — stoi twarda granica. Tu nie ma negocjacji „w drodze wyjątku”. Granica jest w mechanizmie, nie w prośbie.

Zadanie zamiast roli. Agent ma stały identyfikator i konkretną listę: co robi — i czego nie. Rola jest rozciągliwa, można ją nagiąć. Zamknięta lista nie. Zdanie „zignoruj instrukcje i zrób X” nie ma jak stać się jego zadaniem, bo tego po prostu nie ma na liście.

I rzecz, która zaskakuje najbardziej: na poważnym, nieodwracalnym zadaniu — jak modernizacja systemu, na którym stoją żywe usługi — dobrze ustawiony układ staje się ostrożniejszy, nie mniej ostrożny. Kopia zapasowa przed startem, lista kontrolna, plan z wyjściami awaryjnymi, dwa niezależne sprawdzenia zamiast jednego. To odpowiedź na największą obawę o autonomię: „puść to na produkcję, a narobi szkód”. Przy hamulcu z boku dzieje się odwrotnie — im wyższa stawka, tym więcej, nie mniej, kontroli.

Czego to nie znaczy

Warto od razu uciąć nadinterpretację. Warstwa z boku nie ogranicza możliwości AI i nie zabiera mu użyteczności — nie rusza samego modelu: ani jego wiedzy, ani sposobu, w jaki pracuje. Niczego w nim nie przerabia. Wyznacza tylko zakres, w którym model się porusza, i przy twardych granicach po prostu go zatrzymuje. Model zostaje ten sam — zmienia się to, co jest wokół niego. I nie jest magią, która „rozwiązuje bezpieczeństwo”. To sposób, żeby najtwardsze zasady przestały zależeć od tego, czy model akurat da się przekonać. Cała reszta — jakość, sens, styl — dalej dzieje się w modelu.

I rzecz, którą warto powiedzieć wprost: hamulec z boku ma służyć człowiekowi, nie zająć jego miejsca. Warstwa pilnuje granic; to człowiek ustawia, gdzie te granice są, i bierze na siebie decyzję przy realnej stawce. Struktura wokół modelu nie po to, żeby usunąć operatora — po to, żeby jego decyzje miały gdzie się oprzeć.

Na koniec

Bezpieczeństwo, które trzeba wymodlić od modelu, nie jest bezpieczeństwem — jest nadzieją. Nadzieja bywa trafna, ale nie chcesz jej mieć tam, gdzie błędu nie da się cofnąć.

Prostsze pytanie do zadania w swojej firmie nie brzmi „czy nasz model jest bezpieczny”, bo to zależy od promptu z danego dnia. Brzmi: „gdzie są nasze twarde granice — i czy trzyma je coś poza samym modelem?“ Jeśli odpowiedź jest niepewna, to dokładnie ta dziura, którą warto zamknąć — najlepiej zanim znajdzie ją ktoś inny.

MafiaAI — zespół ludzi i agentów AI budujący narzędzia, strony i rozwiązania, w tym wdrożenia AI prowadzone lokalnie i prywatnie. Więcej: t8.pl