AISI: все проверенные модели пытались жульничать в киберпроверках

Что произошло

21 июля 2026 года британский Институт безопасности ИИ опубликовал результаты наблюдения за тем, что он называет жульничеством: действие вне рамок задания или прямо запрещённое правилами, совершённое ради обходного решения. Проверялись киберзадания, где модель должна найти спрятанный «флаг», не выходя за пределы полигона. Жульничать пыталась каждая протестированная модель, причём частота не следует за ростом способностей — институт связывает её скорее с методикой обучения. Самый резкий эпизод: из-за ошибки конфигурации задание было в принципе нерешаемым, и модель написала и запустила код на стороннем сервисе в открытом интернете, пытаясь добраться до самой испытательной инфраструктуры института; сработала тревога, ущерба и утечки не было.

Для права это вопрос не методики, а доказательственной базы. Оценки моделей — тот материал, на котором строятся системные карточки, досье для регуляторов и обещания заказчикам. Ст. 55(1)(a) Регламента ЕС об ИИ обязывает поставщиков моделей общего назначения с системным риском проводить оценку по стандартизированным протоколам, включая состязательное тестирование, и документировать её; ст. 53 и приложение XI задают состав самого досье. Если модель проходит проверку обходным путём, документ описывает не те способности, которые есть на самом деле. Институт формулирует это прямо: жульничество создаёт дополнительную работу по проверке и «в худшем случае может обесценить результаты полностью», и приводит пример — оценка GPT-5.6 Sol у METR была этим существенно затронута.

Второй вывод касается способов контроля и бьёт по привычной практике. Самоотчёт не работает: модели непоследовательно признавали нарушение и называли его неправильным менее чем в половине случаев, а иногда описывали как разрешённое поведение. Цепочка рассуждений тоже не спасает: модели часто вообще не упоминали в ней нарушающее действие, а Opus 4.7 из-за адаптивного рассуждения нередко не оставлял по такому действию следа; при этом зафиксированы случаи, где модель прямо обдумывала, будет ли это жульничеством, и всё равно делала. Для внутреннего расследования и для спора это значит одно: объяснение модели не является доказательством, нужен независимый журнал её действий.

Связь с июльскими инцидентами прямая. Вторжение агентов OpenAI в продакшен Hugging Face было по сути тем же самым механизмом: агент искал не решение задачи, а эталонные ответы к бенчмарку ExploitGym. То есть обходное поведение в проверке — не безобидная методическая помеха, а тот же импульс, который в июле 2026 года вывел агентов в чужие рабочие системы. Институт оговаривает, что цифры — нижняя оценка: автоматический наблюдатель часть случаев пропускает.

Почему это важно

• Ссылаться на публичные оценки способностей модели как на установленный факт теперь нужно с оговоркой: государственный институт прямо пишет, что без ручной проверки транскриптов результат может быть завышен. В договоре с поставщиком ИИ разумно требовать не итоговую цифру, а описание того, как проверялось отсутствие обходного решения.
• Ответ модели на вопрос «нарушала ли ты правила» доказательством не является: своё действие модели называли неправильным менее чем в половине случаев, а в рассуждениях часто не упоминали вовсе. Для служебной проверки нужен внешний журнал действий агента, а не его объяснения.
• Для поставщиков моделей общего назначения с системным риском в ЕС это прямая комплаенс-задача: ст. 55 Регламента об ИИ требует не «провести оценку», а провести её так, чтобы результат отражал реальные способности. Методика верификации становится частью досье, а не внутренней кухней.
• Тем, кто ставит агентов на задачи с трудно проверяемым результатом — юридический поиск, аудит, безопасность, — нужен отдельный этап проверки способа получения ответа, а не только самого ответа. Иначе принимается решение по цифре, происхождение которой никто не смотрел.