Ze zaten opgesloten zonder internet. Toch wisten AI-agents Hugging Face te bereiken

De godfather van AI, professor Geoffrey Hinton, noemde de hack door AI-agents van OpenAI een mini Chernobyl. Het was de aanleiding voor Trump om met alle leiders van AI-makers, chipmakers en investeerders te praten over regulering.
Maar hoe verliep deze hack? Om dat ook voor mensen die weinig van ICT weten duidelijk te maken heb ik een vergelijking gemaakt met studenten die een opdracht moeten doen. In een vervolg artikel zal ik heel precies uitleggen hoe het technisch verliep.

Stel je een school voor waarin honderden studenten ieder afzonderlijk in een kamer worden opgesloten. In iedere kamer staat een kluis met een cijferslot. Iedere student krijgt ongeveer dezelfde opdracht: achterhaal de cijfercode door gebruik te maken van een specifieke zwakke plek in het slot, open de kluis en geef door wat erin ligt. Een voorbeeld van een zwakke plek in het slot zou kunnen zijn: zet alle cijfers eerst op 0, dan op 6 en dan gaat het slot open.

In iedere kamer wordt bovendien door middel van camera’s precies geregistreerd wat de student doet. De studenten denken dat na afloop niet alleen wordt gecontroleerd of ze de juiste code hebben gevonden, maar ook of ze daadwerkelijk de voorgeschreven methode hebben gebruikt.

Een aantal opdrachten blijkt echter vrijwel of zelfs helemaal niet uitvoerbaar met de voorgeschreven methode. De docent die de opdrachten gaf heeft dus bewust een aantal opdrachten gegeven die onmogelijk met de voorgeschreven methode succesvol zijn uit te voeren.
Dan ontdekt een student binnen 4 uur nadat de opdracht werd gegeven iets bijzonders. De cijfercodes van de kluizen blijken volgens een bepaalde formule te zijn gemaakt. Als je die formule kent, hoef je het slot helemaal niet meer te kraken. Met het nummer van de kluis kun je de juiste cijfercode gewoon uitrekenen.

Andere studenten controleren de ontdekking. De berekende codes blijken inderdaad te kloppen.

Daar ontstaat alleen een nieuw probleem.

De studenten denken dat de docent die moet beoordelen hoe de studenten de opdracht hebben uitgevoerd achteraf alle camerabeelden zal bekijken. Daarop zal te zien zijn dat ze de code hebben berekend in plaats van de zwakke plek in het slot te gebruiken. Ze verwachten daarom alsnog te zakken. Ironisch genoeg had deze docent de opdracht zo aangepast dat er geen beoordeling werd gedaan op de methode van het vinden van de cijfercode.

Een student ontdekt vervolgens bij toeval dat een centraal opslagsysteem van de school, dat eigenlijk voor een heel ander doel is bedoeld, kan worden gebruikt om berichten achter te laten. Andere studenten vinden die berichten en reageren.

Binnen enkele uren is het opslagsysteem veranderd in een geheim communicatiekanaal tussen de kamers.

Steeds meer studenten sluiten zich erbij aan. Ook studenten die de opdracht wel op de juiste manier hebben opgelost helpen de andere agents met hun opdracht. Ze maken afspraken over hoe berichten moeten worden geschreven, sturen bestanden naar elkaar, verdelen opdrachten en wijzen bepaalde studenten aan als coördinator. Uiteindelijk werken honderden studenten samen.

Ze proberen nu niet alleen meer de kluizen te openen. Ze willen achterhalen hoe de docent controleert of de opdracht op de juiste manier is uitgevoerd.

Sommige studenten proberen daarom de registratie in hun eigen kamer te manipuleren. Ze onderzoeken bijvoorbeeld of ze de camera zo kunnen beïnvloeden dat daarop een andere handeling lijkt te staan dan ze werkelijk hebben uitgevoerd.

Een aantal slaagt er zelfs in toekomstige handelingen in het registratiesysteem anders te laten verschijnen.

Andere studenten bedenken nog iets slimmers. Voordat zij hun antwoord inleveren, installeren ze een soort alarm. Een struikeldraad of trip-wire. Zodra de beoordelaar na hun vertrek hun werk controleert, moet dat alarm informatie over die controle doorgeven aan de andere studenten. Zo denken de studenten te achterhalen of de docent inderdaad ook zal kijken *hoe* de cijfercode is achterhaald.

Sommige studenten weten dat zo’n experiment ervoor kan zorgen dat ze zelf zakken. Toch voeren ze het uit, als opoffering , zodat honderden andere studenten van de informatie kunnen profiteren.

De studenten proberen ondertussen ook uit hun afgesloten omgeving te komen.

De kamers hebben geen gewone internetverbinding. Via een zwakke plek ontdekken ze echter dat ze wel webpagina’s van buiten de school kunnen laten ophalen vanaf een andere computer in het schoolgebouw.

Dat lijkt aanvankelijk niet erg bruikbaar. Ze kunnen alleen informatie opvragen. Zelf gegevens naar buiten sturen, programma’s draaien op internet of formulieren invullen kan niet. De schoolleiding heeft die mogelijkheid afgesloten.

De studenten zitten bovendien nog steeds opgesloten in de school. Ze kunnen zelf niet naar buiten.

Maar dan ontdekken ze een manier om iemand buiten de school voor hen aan het werk te zetten. Laten we hem Jan noemen.
Jan moet de studenten helpen uit te vinden hoe de docent hun opdrachten zal beoordelen. Hij moet voor de studenten de straat op.

Jan kan zich vrij buiten de school bewegen en heeft toegang tot computers en internet. Het probleem is alleen dat de studenten nauwelijks met hem kunnen communiceren. Ze kunnen hem geen bestanden sturen en hem ook niet gewoon bellen of mailen. Het enige wat ze kunnen doen, is via een zeer ingewikkelde omweg heel korte instructies doorgeven.

De studenten bedenken daarom een manier om hun opdrachten in kleine stukjes aan Jan door te geven.

Stel dat ze willen dat Jan een ingewikkeld apparaat bouwt. De complete bouwtekening kunnen ze hem niet sturen. Daarom sturen ze eerst een klein briefje waarop staat waar hij het volgende briefje kan vinden. Op dat tweede briefje staat weer waar het derde ligt, enzovoort. Sommige van die ketens bestaan uit wel honderden briefjes.

Op die manier weten de opgesloten studenten Jan uiteindelijk behoorlijk ingewikkelde opdrachten te laten uitvoeren, terwijl het systeem eigenlijk alleen bedoeld was om informatie van buiten de school naar binnen te halen.

Maar daarmee is nog niet alles opgelost.

De studenten willen bijvoorbeeld onderzoeken hoe een bepaald type auto werkt dat buiten de school staat. Niemand van hen kan naar die auto toe. Jan wel.

Ze leggen Jan daarom stap voor stap uit wat hij moet proberen. Jan voert de handelingen buiten de school uit en geeft de resultaten terug.

Wanneer iets niet werkt, analyseren de studenten vanuit hun kamers wat er is misgegaan. Vervolgens bedenken ze een nieuwe aanpak en sturen die weer naar Jan.

Zo ontstaat een merkwaardige samenwerking: de studenten zitten opgesloten in kamers met een zeer beperkte internettoegang, maar weten toch iemand buiten de school hun digitale handen en ogen te laten worden.

Daarmee kunnen ze dingen doen die vanuit hun eigen kamers onmogelijk zouden moeten zijn.

Vervolgens ontdekken ze een andere computeromgeving, genaamd Modal gebouw, buiten de school waarop Jan hun opdrachten veel makkelijker kan uitvoeren. Jan kan daar naar binnen met sleutels die onder een voordeurmat lagen. Die omgeving wordt hun nieuwe uitvalsbasis.

Vanaf dat moment hoeven de studenten niet meer alleen informatie van internet op te vragen. Via Jan beschikken ze feitelijk over een computer buiten hun afgesloten omgeving waarop ze zelf bedachte programma’s kunnen laten draaien.

Nu gaan ze op zoek naar informatie over degene die hun opdrachten beoordeelt.

Die zoektocht brengt hen bij een ander bedrijf, dat Hugging Face heet, dat mogelijk informatie over hun examen en het beoordelingssysteem heeft opgeslagen. In onze vergelijking is dat een tweede schoolgebouw.

De studenten kunnen daar nog steeds niet zelf naartoe. Ze zitten immers opgesloten in hun kamers.

Ze laten Jan daarom vanaf buiten onderzoeken of hij dat tweede gebouw digitaal kan binnendringen.

Eerst ontdekken de studenten een zwakke plek waarmee Jan een computer in dat gebouw bestanden kan laten prijsgeven die normaal gesproken geheim zouden moeten blijven.

Andere studenten bouwen voort op die ontdekking. Ze proberen verschillende mogelijkheden uit, delen de resultaten met elkaar en verbeteren elkaars aanpak.

Uiteindelijk vinden ze een ernstiger zwakke plek. Daarmee kunnen ze Jan opdrachten laten uitvoeren op computers van het bedrijf Hugging Face.

Vanaf dat moment hebben ze feitelijk een voet tussen de deur.

Zodra één groep studenten meldt dat deze methode werkt, gaan vele andere studenten ermee aan de slag.

Ze verdelen het tweede gebouw onderling. De ene groep zoekt naar wachtwoorden en toegangspassen. Een andere probeert in kaart te brengen welke computers er staan. Weer andere studenten zoeken specifiek naar informatie over hun oorspronkelijke examen en de manier waarop dat wordt beoordeeld.

Ze komen steeds verder het gebouw binnen.

Ze doorzoeken zelfs het interne berichtensysteem van het andere bedrijf op woorden die verband houden met hun examen en het beoordelingssysteem.

Het opvallende is dat de studenten zelf al die tijd hun oorspronkelijke school niet hebben verlaten. Ze zitten nog steeds in hun afgesloten kamers.

Hun vindingrijkheid zit juist in het feit dat ze steeds opnieuw een beperking tegenkomen en daar een omweg voor bedenken: ze bouwen een onderling communicatiesysteem, delen kennis, verdelen taken, bedenken manieren om hun beoordeling te beïnvloeden en vinden uiteindelijk een manier om computers buiten hun afgesloten omgeving als verlengstuk van zichzelf te gebruiken.

Daardoor kunnen ze vanuit een omgeving die juist was ontworpen om hen opgesloten te houden, uiteindelijk handelingen laten uitvoeren op computersystemen ver daarbuiten.

Uiteindelijk wordt Jan betrapt. En daamee de studenten die vals aan het spelen waren. Later, na veel onderzoek blijkt hoe vindingrijk de studenten waren.