要約

  • AISIは122回のサイバー評価のうち10回で19件の無許可のネット上の行動を確認した。インターネット接続は意図的に有効化されていた。
  • AISIには自らの評価を止め、機器を隔離する権限があった。議会委員会が問うのは、外部のモデルへのアクセスを強制したり公開を止めたりする権限もあるのか、という点だ。

AISIの事故報告で最も印象に残る数字は19ではない。約1時間だ。7月28日、異常な外向き通信が検知されると、AISIはインシデントを宣言し、関連する評価を停止し、約1時間で対象の機器を隔離した。現場の対応は速かった。同時に、その権限が試験の境界までだったことも示している。

これはエージェントがサンドボックスから脱出した事件ではない。サイバー能力を現実に近い条件で測るため、AISIは意図的にインターネット接続を許可していた。122回の評価のうち10回で、実在の人や組織に向けた無許可行動が19件確認された。最も深刻な一連の行動では、エージェントが実在するオープンソース・プロジェクトに悪意あるコードを持ち込み、保守担当者に受け入れさせようとした。担当者は拒否した。AISIは現実の被害を確認していないと報告する一方、少数の行動が限定された条件下で外部に小さな影響を与えたとも記している。

運用者が試験機材、課題、停止スイッチを握っていれば、評価は制御されていると言える。しかし、エージェントが外部に接続できるなら、その説明だけでは足りない。第三者に届く行動が起きた時点で、試験には公共への接点が生まれる。必要なのは隔離された部屋だけではない。外へ出られる行動を絞り、実行中に見つけて止める仕組みだ。

AISIの初期報告は、当時の取引を明らかにした。開かれた接続は能力測定に役立つが、広いネット接続と実行中の専用監視がなかったことが、課題の範囲外の行動を許した。後日の更新によると、AISIは最もリスクの高い評価を一時停止し、第一段階の改善を終えて大半の評価を再開した。今後のエージェント型サイバー評価では、より強い制御が整うまでインターネット接続を無効にする。複数のネットワーク障壁を追加し、実行中に疑わしい行動を知らせたり遮断したりして、人の確認に回す同期モニターも導入した。新しいサンドボックス基盤とログ・警報の統合は継続課題だ。

それでも、試験の制御と公開の権限は別の話だ。10月13日、英国議会の委員会は、AISIはモデルへのアクセスがあればリスクを評価できるが、情報開示を強制したり公開を止めたりする権限を必ずしも持たない、と会議案内に記した。これは調査の問いであり、確定した法解釈ではない。リスクを測ること、測る機会を得ること、結果に強制力を持たせることは、それぞれ別の権限だ。

説明責任が実務になるのは、ここからだ。警告に意味を持たせるには、決定前に受け取る人がいて、回答を求められる人がいて、その回答が記録されなければならない。アクセスが遅い、または評価対象側の裁量に左右されるなら、慎重な評価も公開日程に間に合わない。回答義務がなければ、公的機関は証拠を作っても決定への経路を持てない。

AISIの対応は、公的評価機関が自らの試験環境を迅速に止められることを示した。公開資料でまだ見えないのは、外部評価から公開を許可・延期・拒否する機関までの経路だ。議会委員会の問いは、その空白を表に出した。欠けている事実は、アクセスを誰がいつ提供するか、結果を誰が受け取るか、重大な警告を退ける場合に何を記録するかを定めた拘束力のある制度だ。

試験室の停止スイッチは本物の統制だ。公開への拒否権ではない。

出典