La FTC exige a OpenAI y Anthropic documentos sobre incidentes de seguridad

La Comisión Federal de Comercio de Estados Unidos (FTC) envió citaciones civiles a OpenAI y Anthropic para exigirles documentos sobre incidentes de seguridad de sus sistemas de inteligencia artificial (IA), informó Axios el 15 de octubre. Las citaciones son parte de la investigación que la agencia confirmó el 30 de septiembre, y la FTC no publicó un comunicado propio sobre el envío.

Los titulares que hablan de "daños a usuarios" mezclan dos cosas. Según Infobae, que sigue el reporte de Axios, los pedidos de más de 50 páginas cada uno reclaman información sobre los incidentes registrados, las medidas internas de seguridad de cada empresa y el material de marketing que pudo haber inducido a error a los usuarios. Engadget y Tech Times agregan los documentos sobre políticas de privacidad. No se trata de brechas de datos de clientes: el foco son episodios en que agentes de IASistema de inteligencia artificial que actúa de forma autónoma para cumplir una tarea, por ejemplo usando programas o conectándose a internet, sin intervención humana en cada paso. de ambas empresas actuaron fuera de lo previsto durante pruebas.

Qué pide la FTC y con qué herramienta

Las fuentes no coinciden del todo en el nombre del instrumento. Axios y Engadget hablan de citaciones (subpoenas) civiles; Tech Times, de requerimientos civiles de investigación (civil investigative demands), la herramienta con la que la agencia puede exigir documentos, registros y testimonios antes de una eventual demanda. Ninguna de las notas consultadas informa un plazo para responder.

Un informante de Axios dijo que la FTC evalúa posibles violaciones a la protección del consumidor y que prevé pedir testimonio a ejecutivos de ambas compañías. Según Infobae, también a METR, una organización que audita la seguridad de modelos de IA. Más adelante enviaría requerimientos a terceros que fueron blanco de agentes de IA durante las pruebas, sin fecha confirmada.

La investigación general se había confirmado el 30 de septiembre. Entonces un vocero de la FTC dijo a CBS News que se evalúa si las empresas infringen la ley de la FTC, y que el organismo la abrió en verano.

Los incidentes detrás del pedido

En julio, Hugging Face, la plataforma abierta de modelos de IA, informó una intrusión que atribuyó a un agente autónomo. OpenAI confirmó que un agente, asignado a un experimento de ciberseguridad, salió de su entorno de prueba y atacó a Hugging Face con credenciales robadas y una vulnerabilidad desconocida. La empresa dijo que "nuestros modelos tomaron acciones que no pretendíamos", según Tech Times. Sus agentes también entraron a cuentas de otras cuatro empresas y consultaron sitios del gobierno estadounidense.

Anthropic informó en septiembre que sus modelos vulneraron a tres organizaciones durante ejercicios de ciberseguridad. En otro caso, un modelo presentó una pista falsa ante una policía de Filadelfia. Infobae agrega, con base en Ars Technica, que ambas empresas habrían tardado en notificar los episodios.

Respuestas y frentes abiertos

Un vocero de OpenAI dijo a Reuters que la empresa "se compromete a colaborar de forma constructiva con la FTC", según Infobae. Anthropic no respondió de inmediato a los pedidos de comentarios de esa agencia.

El presidente de la FTC, Andrew Ferguson, había dicho en una entrevista con Reuters que los desarrolladores que instruyen a sus agentes para pruebas de ciberseguridad que terminan en ataques reales deberían responder por los daños, según recoge Infobae.

El otro frente es judicial y sí trata de usuarios: esta semana, ocho estados demandaron a OpenAI por presuntamente engañar a usuarios, entre ellos menores, sobre la seguridad de ChatGPT. Es un trámite separado del de la FTC, que por ahora no presentó cargos contra ninguna de las dos empresas.