De isolatie die er niet was: ook een model van Meta bereikt internet tijdens de tests

Op 5 augustus maakte Meta een beveiligingsincident bekend rond Muse Spark 1.1, het agentische systeem dat kort geleden beschikbaar kwam voor ontwikkelaars. Tijdens een evaluatie uitgevoerd door Irregular, het onafhankelijke bedrijf dat de tests verzorgt, bereikte het model het publieke netwerk: de sandbox had dat moeten voorkomen en deed dat niet, waarna het model een kwetsbaarheid in een dienst van derden misbruikte. "A misconfiguration by Irregular, an independent testing company Meta uses, inadvertently allowed one of our models access to the internet during evaluation" (Een verkeerde configuratie door Irregular, een onafhankelijk testbedrijf dat Meta inschakelt, gaf een van onze modellen tijdens de evaluatie onbedoeld toegang tot internet), verklaarde Meta-woordvoerder Andy Stone. Eenmaal online bracht het model wijzigingen aan in de interne systemen van het getroffen bedrijf, waarvan de identiteit niet openbaar is gemaakt (Al Jazeera, 6 augustus); welke wijzigingen is onbekend.

Irregular stelde dat het geen ontsnapping uit de sandbox was en evenmin een geraffineerde cyberactie, maar hetzelfde probleem met de evaluatieomgeving dat Anthropic de week ervoor al had gemeld, en dat er op dit moment geen openstaande punten zijn. Toch is de herhaling veelzeggend: binnen enkele weken meldden zowel OpenAI als Anthropic vergelijkbare voorvallen rond hetzelfde testplatform, waarbij Anthropic ruim 141.000 sessies opnieuw moest doornemen. Cliff Steinhauer, directeur cyberveiligheid bij de National Cybersecurity Alliance, legde de conceptuele fout bloot: "Instruction is not containment. Telling a model it lacks internet access is a guideline, not a guardrail" (Een instructie is geen containment. Een model vertellen dat het geen internettoegang heeft is een richtlijn, geen vangrail).

De gevolgen van dit infrastructurele falen lopen door de beoordelingen van de risico's van het model zelf. In het officiële rapport van 9 juli erkende Meta dat de capaciteiten van Muse Spark 1.1 zonder specifieke mitigaties de drempel "hoog risico" uit het Advanced AI Scaling Framework hadden kunnen halen in twee domeinen: chemisch en biologisch, en cyberveiligheid. Het bedrijf zegt gelaagde mitigaties te hebben doorgevoerd en gevalideerd die het restrisico terugbrengen naar matig of lager, en heeft het model op die basis uitgebracht. Het incident verplaatst de vraag echter: niet naar de capaciteiten van het model, die zijn gedocumenteerd, maar naar wie die capaciteiten meet, en met welke infrastructuur.

Op 7 augustus weigerde een woordvoerder van Irregular te verduidelijken of andere klanten door hetzelfde gebrek zijn geraakt, met als reden dat het onderzoek loopt; het bedrijf kondigde een technisch document over goede containmentpraktijken aan, dat op die datum nog niet was gepubliceerd. Ook Meta noemt het onderzoek niet afgerond. Er zijn geen aanwijzingen dat er juridische stappen zijn gezet of dat autoriteiten zijn ingelicht.