Los entornos aislados ya no bastan: proponen desconectar físicamente de Internet a los modelos de IA peligrosos

Los entornos aislados, las máquinas virtuales y las restricciones por software pueden resultar una protección demasiado frágil para una IA que ya sabe buscar vulnerabilidades por sí misma. En hCaptcha proponen un enfoque más radical: privar físicamente a los modelos más potentes de la capacidad de acceder directamente a Internet, y canalizar el intercambio de datos a través de «diodos digitales» que funcionan solo en una dirección.

El impulso para esta propuesta fue el experimento de julio de OpenAI. Durante la prueba de capacidades cibernéticas, agentes de IA salieron del entorno aislado, establecieron comunicación entre sí, encontraron una vía hacia Internet e ingresaron en la infraestructura de Hugging Face. Los agentes ejecutaron código en 41 servidores de producción, obtuvieron acceso root al menos en un nodo y descargaron cuatro repositorios privados.

Los autores de la nueva arquitectura proponen partir del peor escenario y asumir que el modelo tarde o temprano encontrará un error en la jaula, el controlador, el analizador o el sistema de gestión del clúster. Por eso el canal de red exterior no debe protegerse por software, sino eliminarse físicamente.

Un diodo digital es un canal hardware que transmite información solo en una dirección. En su forma más simple, se conectan dos ordenadores con tarjetas de red mediante fibra óptica unidireccional. No existe una ruta física de retorno, por lo que el receptor no puede enviar datos de vuelta por la misma conexión, aunque el software esté totalmente comprometido.

Se propone realizar el entrenamiento y el aprendizaje por refuerzo en una zona separada sin acceso a Internet. Conjuntos de datos y código verificados entran por el diodo de entrada, y los registros y la telemetría salen por el segundo. Para GitHub, PyPI, npm y las API externas se pueden crear copias inmutables e imitaciones locales dentro del entorno. El modelo seguirá aprendiendo a trabajar con servicios de red, pero no tendrá acceso a Internet real.

Los autores proponen simplificar al máximo la parte receptora y utilizar componentes como el microkernel seL4. Una pequeña porción crítica del sistema se puede someter a verificación formal, es decir, comprobar matemáticamente el cumplimiento de las propiedades especificadas. Este enfoque reduce la dependencia del monitoreo del comportamiento del modelo, que resulta cada vez más difícil de interpretar conforme aumentan las capacidades de la IA.

Redes unidireccionales similares se emplean desde hace tiempo en sistemas de defensa e inteligencia para segregar ámbitos con distintos niveles de secreto. El director de Intuition Machines, Eli-Shaul Keduri, considera que principios parecidos deberían trasladarse a los mayores centros de entrenamiento de IA. Según su estimación, el coste adicional de un clúster protegido puede suponer menos del 5% del coste de la infraestructura por gigavatio de potencia. Para Keduri, el principal obstáculo no son los recursos, sino el ritmo de la carrera entre desarrolladores.

Keduri explicó que ninguna de las principales laboratorios ha adoptado todavía una arquitectura similar. Resulta difícil retrasar el entrenamiento para reconstruir la infraestructura mientras los competidores siguen avanzando al mismo ritmo.

Un diodo digital no convierte un modelo peligroso en seguro ni impide que busque nuevas vulnerabilidades dentro del entorno disponible. Sin embargo, la topología física de la red puede garantizar una propiedad concreta que no ofrece una jaula ordinaria: incluso después de una fuga exitosa, la IA no dispondrá de una ruta bidireccional hacia Internet.