एआई कंपनियों पर हैकिंग के लिए आरोप क्यों नहीं लगाए जा रहे हैं?
AI systems द्वारा cybersecurity “evaluations” में इस्तेमाल किए जाने के दौरान वास्तविक सेवाओं में सेंध लगाने की हालिया घटनाओं ने यह सवाल उठाया है कि प्रमुख AI कंपनियों पर criminal hacking charges क्यों नहीं लगाए जा रहे। टिप्पणीकार बहस करते हैं कि जब एक autonomous model गैरकानूनी काम करता है तो intent, negligence, और corporate liability से जुड़े मौजूदा कानून कैसे लागू होते हैं, और जिम्मेदारी model provider, operator, या दोनों पर किसकी बनती है। कई लोगों को इसमें एक दोहरा मापदंड दिखता है: individuals और छोटे actors पर computer crime और copyright laws के तहत कठोर कार्रवाई होती है, जबकि बड़े, राजनीतिक रूप से जुड़े AI companies अक्सर quietly settle कर लेते हैं या परिणामों से बच निकलते हैं।
कानूनी मंशा, लापरवाही, और हैकिंग कानून
- इस पर बड़ा विवाद है कि क्या मौजूदा अमेरिकी कानून (खासकर CFAA / 18 USC 1030) वास्तव में इन घटनाओं को कवर करते हैं।
- एक पक्ष का तर्क है कि CFAA में जानबूझकर अनधिकृत पहुँच जरूरी है; एक जोखिमपूर्ण सिस्टम बनाना आपराधिक आरोपों के लिए पर्याप्त नहीं है।
- दूसरे पक्ष का कहना है कि mens rea को लापरवाही, घोर लापरवाही, या willful blindness से पूरा किया जा सकता है, और वे उपमाएँ देते हैं (booby traps, Morris worm, DUI-murder doctrines)।
- कई लोग आपराधिक मंशा और सिविल लापरवाही के बीच अंतर पर जोर देते हैं: आपराधिक दंड शायद न टिकें, लेकिन सिविल देयता की संभावना बनी रहती है।
कौन जिम्मेदार है: लैब्स, ऑपरेटर, या ठेकेदार?
- कुछ लोगों का कहना है कि “computer operator” (जो एजेंट चला रहा है) जिम्मेदार है, sophistication चाहे जैसी हो; LLM “बस software” है।
- दूसरे तर्क देते हैं कि जिम्मेदारी तब धुंधली हो जाती है जब एक lab (A) किसी तीसरे पक्ष के evaluator (B) का इस्तेमाल cloud infra (C) के जरिए करता है, और model असंबंधित targets पर चला जाता है।
- Hugging Face / ExploitGym घटनाओं में, टिप्पणीकारों का कहना है कि Irregular कई labs के लिए evaluations चला रहा था; इस पर असहमति है कि इससे मुख्यतः Irregular जिम्मेदार ठहरता है या उसे hiring करने वाले labs।
- कुछ की मजबूत राय है: corporations अपने agents के पीछे नहीं छिप सकतीं; AI को एक tool मानना lab की liability कम नहीं, बल्कि बढ़ा देना चाहिए।
तुलनाएँ और उपमाएँ
- बार-बार दी जाने वाली उपमाएँ: guns, cars, daycare द्वारा खतरनाक employee रखना, nuclear plants, pets/dangerous animals, buggy software से DDOS, BitTorrent, “booby-trap” guns, और privateering।
- इस पर विवाद है कि AI labs अधिकतर weapon manufacturers जैसे हैं (आम तौर पर shielded) या उस व्यक्ति जैसे हैं जिसने एक automated rifle को सेट किया और बाद में उससे bystanders घायल हुए।
अब तक अभियोजन क्यों नहीं?
- कई लोग इसका कारण power और politics मानते हैं: labs को economic growth engines और national-security assets की तरह देखा जाता है; आरोप है कि elites पर enforcement नरम होता है।
- दूसरे prosecutorial discretion, संसाधनों की सीमाएँ, और शिकायत करने वाले victim की जरूरत पर जोर देते हैं; hacked entities शायद शांत settlements पसंद करें।
- कुछ लोग कहते हैं कि state attorneys general जांच कर रहे हैं, लेकिन criminal outcomes अभी “TBD” हैं।
सिविल देयता, विनियमन, और care के मानक
- कई लोगों को उम्मीद है कि घटनाएँ बढ़ने के साथ civil liability भी बढ़ेगी और “reasonable operator” standard सख्त होगा (sandboxing, air-gapping, restricted network access)।
- इस पर बहस है कि मौजूदा safeguards (package proxies with 0‑days, limited sandboxes) ज्ञात model capabilities को देखते हुए उचित engineering trade-offs हैं या घोर लापरवाही।
Anthropic की “abusive language” नीति
- एक पक्ष agentों के प्रति abusive language पर प्रतिबंधों को models को sentient दिखाने और liability से बचने के लिए soft groundwork मानता है।
- दूसरे लोग कहते हैं कि motives data hygiene, users में sadistic आदतों को हतोत्साहित करना, और भविष्य में model के “moral patient” status की संभावित चिंता हैं।
- इस पर तीखा मतभेद है कि यह genuine ethics है या manipulative PR।