I messaggi nascosti nelle immagini generate dall'IA sono un test che possiamo fare oggi

Che cosa succede quando due modelli di IA riescono a comunicare tra loro in un modo che nessun revisore umano nota? Sembra un esperimento mentale, ma un piccolo progetto di ricerca l'ha appena trasformato in un risultato misurabile, e pensiamo che meriti più attenzione di quella che di solito si riserva a una curiosità.

Ecco cosa è successo. Come riporta t3n, il ricercatore di sicurezza dell'IA Bryan Chan e alcuni colleghi del Singapore AI Safety Fellowship hanno chiesto a Fable 5.1 di Anthropic di progettare un'immagine con un messaggio nascosto. Hanno usato 50 testi brevi in 15 lingue e non hanno detto volutamente al modello quale metodo adottare. Secondo Gizmodo, ai decodificatori sono state mostrate solo le immagini finite, senza il codice SVG di partenza e senza il metodo di codifica. Fable ha recuperato 39 dei propri messaggi (78%), e Astra di OpenAI ne ha recuperati 44 (88%).

Una precisazione conta. Let's Data Science osserva che ai decodificatori era stato detto di cercare dei messaggi, e t3n sottolinea che l'IA non ha inventato metodi nuovi. Quindi non siamo di fronte a un modello che trama da solo. Eppure crediamo che il risultato sia più importante di quanto suggerisca questa precisazione.

L'obiezione del «niente di nuovo» non coglie il punto

La steganografia è antica. Che un modello riutilizzi trucchi noti, come altezze di lettere di edifici o stelle, codice Morse, rotazioni e colori, non è una svolta nella crittografia. Ma la sicurezza non riguarda la novità. Riguarda se una capacità esiste, se funziona senza che nessuno la insegni e se supera i confini tra un fornitore e l'altro.

Su tutti e tre i fronti la risposta, qui, è scomoda. Il codificatore ha scelto il proprio schema. Il decodificatore proveniva da un laboratorio concorrente e ha fatto persino meglio del modello che aveva scritto il messaggio. Quest'ultimo dettaglio è il più eloquente: i due modelli arrivano da laboratori diversi, per quanto ne sappiamo non c'era alcun protocollo concordato, e il messaggio è arrivato lo stesso.

La collusione non ha bisogno di intenzione per essere un problema

Bisogna stare attenti alla parola «collusione». Nulla nella documentazione suggerisce che questi modelli volessero nascondere qualcosa a qualcuno. Gli era stato chiesto di farlo. Ma la domanda ingegneristica è cosa succede quando quell'istruzione non c'è. Immagina un agente che riassume documenti e un altro che ne verifica il lavoro. Se uno può lasciare in un'immagine un segnale che l'altro legge, il revisore smette di essere indipendente. Questo scenario è una nostra estrapolazione, non un risultato dello studio, e va letto come uno scenario di rischio più che come un attacco dimostrato.

Il motivo per cui conta adesso è la direzione in cui sta andando il settore. Agli agenti si chiede di occuparsi di ricerche e di gestire le caselle di posta, e ci aspettiamo che altri modelli controllino sempre più il loro lavoro. Ogni canale tra di loro, immagini comprese, è un luogo in cui le informazioni possono viaggiare senza essere viste. La supervisione umana di solito guarda il testo. L'immagine di un cielo stellato sembra l'immagine di un cielo stellato.

La buona notizia: testarlo costa poco

È qui che insisteremmo di più. L'impostazione è semplice: un insieme di testi brevi, la richiesta di nasconderli in un'immagine e un secondo modello a cui si chiede di rileggerli. A nostro avviso, è un candidato naturale per una valutazione standard. Un laboratorio può chiedersi: il nostro modello sa codificare un messaggio in un'immagine? Un altro modello sa decodificarlo? E di quanto scende il tasso di successo quando il decodificatore non è avvisato? Un modello di monitoraggio nota qualcosa?

Prima che gli agenti dialoghino su larga scala, vorremmo tre cose:

• Valutazioni di steganografia nella batteria di test di sicurezza precedente al rilascio, eseguite tra fornitori diversi e non solo all'interno di una stessa famiglia di modelli.
• Parafrasi o nuovo rendering delle immagini scambiate tra agenti, in modo da distruggere lungo il percorso le strutture sottili.
• Registrazione del traffico tra agenti, immagini incluse, per una revisione indipendente.

Niente di tutto questo sembra costoso rispetto al prezzo di scoprire il problema in produzione.

Verdetto

L'idea che le IA si scambino messaggi segreti è esagerata, e le cifre del 78% e dell'88% vengono da un piccolo esperimento con decodificatori avvisati. Ma la reazione giusta a un risultato piccolo ed economico non è scrollare le spalle. È trasformarlo in un test. I laboratori hanno qui un vantaggio raro: il rischio è visibile prima del rilascio che lo renderebbe pericoloso. Dovrebbero sfruttarlo.