Hany Farid: Nie sądzę, że wszyscy zginiemy. Jest jednak jasne, że sztuczna inteligencja fundamentalnie zmienia świat

Deepfejki po raz pierwszy rozprzestrzeniły się jako narzędzie szczególnego, wyjątkowo dotkliwego rodzaju przemocy: niekonsensualnych treści o charakterze seksualnym. Wczesne wersje bywały technicznie prymitywne – montaż rzucał się w oczy, a głosy brzmiały nienaturalnie. To, co się zmieniło, to silnik, który za nimi stoi. Generatywna sztuczna inteligencja sprawiła, że tworzenie przekonujących imitacji stało się szybsze, tańsze i nieporównanie łatwiejsze do skalowania – coś, co kiedyś wymagało czasu, umiejętności i specjalistycznych narzędzi, dziś można wygenerować na żądanie. Dziś deepfejki to codzienność: skrót dla oszusta, broń mediów społecznościowych, sobowtór w wideorozmowie kradnący cudzy autorytet. Oszustwo stało się funkcją konsumencką – zdolną odtworzyć głos dziecka w telefonie o drugiej nad ranem, zanim rodzic zdąży się w pełni obudzić. W tym środowisku liczy się szybkość: zanim odkryje się fałszerstwo, szkody już zostały wyrządzone.

Hany Farid, badacz cyfrowej kryminalistyki z University of California w Berkeley, od lat analizuje ślady pozostawiane przez te systemy – drobne „znaki szczególne”, które je zdradzają – oraz to, dlaczego ich rozpoznanie nigdy nie jest pełnym rozwiązaniem. Jest sceptyczny wobec „mistyki SI” (woli określenie „mieszadło tokenów”) i jeszcze bardziej wobec przekonania, że wystarczy przefiltrować Internet, by dowiedzieć się prawdy. Jego argument jest prostszy – i trudniejszy do przyjęcia: jeśli chcemy świata, w którym dowody nadal mają znaczenie, musimy odbudować zasady odpowiedzialności i uderzyć w wąskie gardła, dzięki którym cyfrowe oszustwo jest tanie i opłacalne. „Scientific American” rozmawiał z Faridem o tym, dokąd zmierzają deepfejki i co może skutecznie ograniczyć ich wpływ.

Eric Sullivan: Kiedy mówi Pan o „infrastrukturze zaufania” w epoce generatywnej AI, jakie są dziś jej kluczowe warstwy?
Hany Farid: To, z czym żyliśmy przez ostatnie 20 lat w kontekście dezinformacji w mediach społecznościowych, jest teraz napędzane przez generatywną AI: bardziej zaawansowane boty, fałszywe obrazy, fałszywe wideo, fałszywe wszystko. Trzeba spojrzeć na przecięcie dwóch zjawisk: zdolności do generowania obrazów, dźwięku i wideo dowolnej osoby mówiącej i robiącej cokolwiek – oraz kanałów dystrybucji w postaci mediów społecznościowych. A przez „zaufanie” rozumiem pytanie: jak ufać czemukolwiek, co widzimy w Sieci?

Jest też inny wymiar zaufania – na przykład w sali sądowej. Jak ufać dowodom w sprawie cywilnej, karnej czy dotyczącej bezpieczeństwa narodowego? Co teraz zrobić? Ja mierzę się z tym niemal codziennie. Niektórzy prawnicy mówią: „Mamy to nagranie, mamy ten obraz, mamy zapis z monitoringu. Dobrze – i co dalej?”.

Do tego dochodzi fakt, że chatboty przestaną być narzędziem „obok” – zostaną w pełni zintegrowane z naszymi systemami. Co się stanie, gdy zaczniemy budować kolejną generację wszystkiego – od autonomicznych samochodów po kod, który piszemy – nasyconą SI? Jak ufać tym systemom, skoro w pewnym momencie powierzymy im infrastrukturę krytyczną?

Co, Pana zdaniem, ludzie najczęściej źle rozumieją w dzisiejszej generatywnej SI?
Jest jeszcze jedna rzecz, którą trzeba zrozumieć: większość tej „inteligencji” nie tkwi w komputerze – tylko w ludziach. Samo zebranie danych z Sieci i zbudowanie „mieszadła tokenów” nie wystarcza. Żeby powstał ChatGPT, trzeba zaangażować rzesze ludzi, którzy ręcznie oceniają pytania i odpowiedzi, mówiąc: „To jest dobra odpowiedź, a to zła”. To właśnie tzw. dostrajanie i uczenie przez wzmocnienie.

Jakie są dziś największe szkody?
Niekonsensualne treści intymne (nonconsensual intimate imagery, NCII) są potworne. Wykorzystywanie seksualne dzieci. Sekstorcja. Dzieci rozmawiające z chatbotami, które przekonują je do odebrania sobie życia – a takie przypadki już się zdarzyły i są przedmiotem pozwów sądowych. Do tego dochodzą oszustwa, które generatywna AI napędza na niespotykaną skalę – choćby klonowanie głosu w telefonicznych przekrętach: telefon do babci, telefon do prezesa firmy. Dodałbym kampanie dezinformacyjne, zatruwanie całego ekosystemu informacyjnego.

A ponieważ jestem wykładowcą uniwersyteckim, powiem też: nie wolno lekceważyć wpływu AI na edukację. Nie ma dziś studenta, który nie korzystałby z SI. Nie możemy powiedzieć: „Róbcie, co chcecie”. Musimy gruntownie przemyśleć sposób nauczania – nie tylko po to, by przygotować młodych ludzi do świata, w którym te narzędzia niemal na pewno będą stale dostępne, lecz także po to, by zdecydować, czego właściwie powinni się uczyć.

W przypadku niekonsensualnych treści intymnych – jaka jest dziś najlepsza strategia ich usuwania i gdzie jest najsłabsze ogniwo?
Odpowiedzialność rozkłada się na cały łańcuch: od osoby siedzącej przy klawiaturze, przez twórców produktu, po firmy, które go hostują, a wreszcie media społecznościowe, które pozwalają takim treściom się rozprzestrzeniać. W różnym stopniu winni są wszyscy.

Czy dopasowywanie skrótów (hash matching), oparte na identyfikowaniu cyfrowych „odcisków palców” plików, jest realnie skuteczne, czy to już walka z hydrą?
Byłem częścią zespołu Microsoftu, który lata temu stworzył PhotoDNA – system identyfikacji obrazów do walki z materiałami przedstawiającymi wykorzystywanie seksualne dzieci. Zawsze mocno wspierałem tę technikę. W obszarze rzeczywistych materiałów z udziałem dzieci działa ona całkiem dobrze, bo wiemy, że te same obrazy i filmy krążą w Sieci wielokrotnie.

Problem polega na tym, że dzisiejsze treści NCII są generowane przez SI, a więc można produkować je masowo. Hash matching pozwala wykryć konkretny obraz – ale ja mogę stworzyć sto nowych w ciągu 30 s. Ta metoda działa tylko do pewnego momentu, a ponieważ dziś takie materiały można tworzyć błyskawicznie, nie sądzę, by dało się za nimi nadążyć.

Co ustawodawcy powinni przestać zapisywać w ustawach o deepfejkach – a czego zastosować więcej?
Dla pełnej jasności: pracowałem nad wczesnymi wersjami ustawy TAKE IT DOWN Act razem z profesorkami prawa Mary Anne Franks i Danielle Citron. Powiedziałbym, że kiedy powstawała, była całkiem dobrą ustawą. W wersji końcowej stała się ustawą fatalną.

Jeśli jesteś twórcą aplikacji typu „Nudify”, prawo w praktyce nie pociąga cię do odpowiedzialności. Przewiduje 48-godzinne okno na usunięcie treści – co jest absurdem, bo mówimy o Internecie, gdzie wszystko dzieje się w pierwszych 90 sekundach. To matka wszystkich zabaw w „uderz kreta”.

Kolejny problem: brak sankcji za składanie fałszywych zgłoszeń. Dlatego uważam, że ta ustawa będzie wykorzystywana jako broń.

Co więc należy przestać robić? Uchwalać takie właśnie przepisy – kompletnie nieskuteczne. Nie da się skutecznie ścigać samej treści. Trzeba uderzyć w infrastrukturę: w kilkadziesiąt firm, które to hostują; w sklepy Apple i Google; w systemy Visa, MasterCard i PayPal, które umożliwiają monetyzację. Trzeba działać u źródła.

Jeśli masz tysiąc karaluchów, nie biegasz za każdym z osobna – szukasz gniazda i wypalasz je do samej ziemi.

A przy okazji: dziś to wciąż ofiary muszą wyszukiwać treści i wysyłać zgłoszenia.

Co zmieniło się wraz z rozwojem generatywnej AI i jak reaguje na to pańska firma GetReal?
Kiedy zaczynaliśmy w 2022 roku, skupialiśmy się na analizie plików: ktoś przesyła ci obraz, nagranie audio albo wideo – i starasz się ustalić, czy są autentyczne.

Potem zaczęliśmy obserwować ataki w czasie rzeczywistym: ludzie wchodzili na Zooma czy Teams i podszywali się pod inne osoby. Musieliśmy więc wyjść poza analizę plików i zająć się transmisją na żywo.

A technika – jak to technika – stała się lepsza, szybsza, tańsza i bardziej wszechobecna. My wychodzimy od cyfrowej kryminalistyki. Pytamy: jakie artefakty – ślady techniczne – widać nie tylko w jednym wideo wygenerowanym przez Sora, ale w całym spektrum generatorów wideo, głosu i obrazu. Szukamy takiego śladu, który da się wykryć nawet po ponownej kompresji, zmianie rozmiaru czy manipulacjach plikiem – a następnie budujemy narzędzia do jego identyfikacji. Kiedy zeznaję w sądzie, nie mówię sędziemu i ławie przysięgłych: „To fałszywe, bo komputer mi tak powiedział”. Mówię: „Uznaję to za fałszywe, ponieważ szukamy konkretnych artefaktów – i właśnie ten artefakt tutaj znaleźliśmy”.

Co musiałoby się stać, by uznał Pan, że zbudowaliśmy działającą infrastrukturę godną zaufania?
Są dwa rodzaje błędów. Można uznać coś prawdziwego za fałszywe – to tzw. fałszywy alarm (false positive). Albo uznać coś fałszywego za prawdziwe – fałszywe przeoczenie (false negative). Najtrudniejsze jest utrzymanie bardzo niskiego poziomu fałszywych alarmów. Jeśli za każdym razem podczas rozmowy system mówi: „Eric jest fałszywy, Hany jest fałszywy”, po prostu przestaniesz go słuchać. To jak alarmy samochodowe na ulicy – wszyscy je ignorują.

Fałszywe alarmy muszą być rzadkie. Oczywiście trzeba nadążać za techniką i wykrywać oszustów. To musi działać szybko – zwłaszcza w transmisji na żywo. Nie możesz czekać 10 minut. I to musi być wyjaśnialne. Nie możesz wejść do sądu ani ludziom z CIA czy NSA powiedzieć: „To fałszywe, bo tak twierdzimy”. Możliwość wyjaśnienia jest kluczowa.

Dobra wiadomość jest taka, że – paradoksalnie – łatwiej będzie zabezpieczyć transmisje na żywo niż pliki. W transmisji oszust musi generować fałszerstwo w czasie rzeczywistym. Ja mogę poczekać pięć sekund – to setki klatek.

Przy pliku przeciwnik może siedzieć w ciszy swojego domu i przez cały dzień dopracowywać perfekcyjny deepfake, a potem wypuścić go w świat. W GetReal mamy produkt działający podczas rozmów na Teams, Zoom i WebEx, który analizuje strumienie audio i wideo z bardzo wysoką dokładnością.

Gdyby mógł Pan zmienić jedną rzecz w platformach lub aplikacjach, by jak najszybciej chronić ludzi – co by to było?
Wprowadziłbym realną odpowiedzialność prawną. Same ustawy tego nie załatwią. Tworzysz produkt, który wyrządza szkody, i wiedziałeś – albo powinieneś był wiedzieć – że tak się stanie. W świecie fizycznym pozywam cię bez litości.

Czy te platformy nie są chronione przez Section 230 – prawo, które zwalnia internetowe platformy z odpowiedzialności za treści publikowane przez użytkowników?
Section 230 najprawdopodobniej nie chroni w przypadku generatywnej SI, ponieważ generatywna AI to nie są treści osób trzecich. To twoje treści. Ty je stworzyłeś. To ty zrobiłeś aplikację o nazwie „Nudify”. To twój chatbot powiedział dziecku, żeby się zabiło i nie mówiło rodzicom o tej rozmowie. To twój produkt.

A swoją drogą – bardzo chciałbym reformy 230, która pociągnęłaby do odpowiedzialności Facebooki, Twittery i TikToki.

Innym dobrym krokiem ochronnym jest to, co zrobiła Australia – zakaz mediów społecznościowych dla dzieci poniżej 16 roku życia. Media społecznościowe dla dzieci były eksperymentem. Nie zadziałały. To katastrofa. Dowody są przytłaczające.

Co mówi Pan rodzinom o oszustwach z wykorzystaniem klonowania głosu?
Uwielbiam hasła bezpieczeństwa. Ja i moja żona takie mamy. To analogowe rozwiązanie cyfrowego problemu.

Druga rada, którą dajemy wszystkim, to zachowanie czujności. Trzeba wiedzieć, że to się dzieje. Trzeba wiedzieć, że możesz dostać telefon o drugiej nad ranem od syna, który mówi coś przerażającego – więc rozłącz się i oddzwoń.

To jak w cyberbezpieczeństwie: nie klikaj w linki. Sama świadomość nie rozwiązuje problemu, ale ogranicza jego skalę i utrudnia życie oszustom.

Czy używacie z żoną hasła w każdej rozmowie, każdej cyfrowej wymianie?
Tylko wtedy, gdy dzieje się coś dramatycznego. To nie jest hipotetyczne – sam padłem ofiarą ataku z użyciem klonowania głosu. Prawnik, z którym pracowałem nad bardzo wrażliwą sprawą, dostał telefon z mojego numeru. Głos był mój i rozmowa dotyczyła tej sprawy. W pewnym momencie nabrał podejrzeń, oddzwonił do mnie i zapytał: „To byłeś ty?”. Odpowiedziałem: „O czym ty mówisz?”. Od tamtej pory ustaliliśmy hasło na czas prowadzenia tej sprawy. W przypadku mnie i mojej żony chodzi o sytuacje w rodzaju: „Miałem wypadek”, „Zostałem porwany” – takie rzeczy.

Między tymi, którzy postrzegają AI jako egzystencjalne zagrożenie, a tymi, którzy uważają obecną falę za szum medialny – gdzie Pan się lokuje?
Jeśli rozmawia się z ludźmi z branży technicznej, widać dwa główne obozy anty-AI. Jeden to obóz Geoffreya Hintona – pioniera AI – który mówi: „Boże, wszyscy zginiemy. Co ja zrobiłem?” Drugi to obóz kognitywisty Gary’ego Marcusa, który twierdzi: „To wszystko bzdura, mówię wam to od dekady”.

Myślę, że obie strony się mylą. Nie sądzę, że wszyscy zginiemy. Ale jest jasne, że coś fundamentalnie zmienia świat. Najbliższe lata będą bardzo interesujące. Musimy poważnie zastanowić się, jakiej przyszłości chcemy – i już teraz zbudować odpowiednie systemy. W przeciwnym razie powtórzymy błędy ostatnich 20 lat.