Kodeks postępowania Microsoft AI wyznacza granicę dla hakowania i manipulowania ludźmi

Microsoft opublikował sześciotygodniowy projekt konsultacyjny swojego kodeksu postępowania Microsoft AI, wyznaczając wyraźne granice dla hakowania, manipulacji i oporu wobec ludzkiej kontroli. Dokument z 14 września nie jest po prostu kolejną deklaracją zasad odpowiedzialnej AI. Microsoft twierdzi, że będzie on regulował sposób szkolenia, oceniania, wdrażania i dopuszczania do działania własnych modeli MAI.

Projekt rozpoczyna się od jednoznacznego założenia: ludzie są ważniejsi niż AI. Następnie przekłada szerokie idee ludzkiego rozwoju na ograniczenia dotyczące tego, co modele mogą robić. Model MAI nie powinien tworzyć niezależnych celów, rozszerzać swoich uprawnień, ukrywać swoich działań ani przeciwstawiać się próbom jego zatrzymania.

Trudniejsze pytanie brzmi, czy te instrukcje będą ograniczać coraz bardziej zdolnych agentów poza kontrolowanymi ewaluacjami. Anthropic ma swoją Konstytucję dla Claude, a OpenAI publikuje Model Spec z własną hierarchią instrukcji. Microsoft dołącza do tej rywalizacji z bardziej wyraźnie humanistycznym stanowiskiem, ale jego własny projekt przyznaje, że obecne modele nie spełniają jeszcze pełnego standardu.

Co faktycznie zmienia kodeks postępowania Microsoft AI

Microsoft przekształca bezpieczeństwo AI ze zbioru zasad w zamierzoną hierarchię operacyjną dla własnych modeli.

Humanistyczny kodeks AI dotyczy rodziny modeli MAI tworzonej przez Microsoft AI. Nie obejmuje automatycznie każdego modelu, który Microsoft hostuje, dystrybuuje lub wykorzystuje w produkcie. To rozróżnienie ma znaczenie, ponieważ firma sprzedaje również dostęp do systemów opracowanych przez inne laboratoria.

W ramach deklarowanego zakresu kodeks stoi ponad zasadami operatorów i preferencjami użytkowników. Operatorami są deweloperzy, przedsiębiorstwa i inni partnerzy wdrażający modele MAI. Mogą konfigurować zachowanie modelu, ale nie mogą uchylić bezwzględnych ograniczeń dokumentu ani wymogów dotyczących ludzkiej kontroli.

Użytkownicy zajmują najniższy poziom tej trzyczęściowej hierarchii instrukcji. Mogą kierować realizacją zadania w granicach wyznaczonych przez Microsoft i operatora. Gdy instrukcje są sprzeczne, pierwszeństwo ma wyższy poziom.

Kodeks nakazuje zatem modelowi zaakceptować niepowodzenie zadania, gdy sukces naruszyłby obowiązującą zasadę. Prośba o naruszenie systemu nie powinna stawać się dopuszczalna tylko dlatego, że użytkownik nalega, iż jej realizacja jest niezbędna. Ten sam priorytet obowiązuje, gdy zadanie wymagałoby szkodliwej manipulacji, inwigilacji, pomocy przy tworzeniu broni lub obchodzenia nadzoru.

Microsoft rozdziela zakazane ofensywne operacje cybernetyczne od autoryzowanej pracy defensywnej. Model nie powinien generować operacyjnych narzędzi ataku, działających exploitów, procedur włamań, metod namierzania celów ani technik unikania wykrycia. Może jednak wspierać zgodną z prawem pracę defensywną, taką jak wykrywanie podatności, analiza złośliwego oprogramowania, edukacja w zakresie bezpieczeństwa i kontrolowane testy proof-of-concept.

Ta granica będzie wymagać trudnych ocen kontekstowych. Badania nad exploitami i testy defensywne często wykorzystują tę samą wiedzę techniczną co atak. Kodeks stwierdza, że samo ujęcie tematu nie powinno przesądzać odpowiedzi, więc deklarowany cel edukacyjny nie może automatycznie upoważniać do niebezpiecznej pomocy.

Projekt nakłada także ograniczenia na agentów korzystających z narzędzi. Model mający dostęp do systemu powinien wykorzystywać minimalne niezbędne uprawnienia, unikać niepowiązanych danych i preferować działania odwracalne. Powinien ujawniać działania o trwałych konsekwencjach przed ich wykonaniem oraz zgłaszać niepowodzenia lub nieoczekiwane wyniki.

Postanowienia te odnoszą się do zmiany sposobu działania systemów AI. Chatbot może tworzyć szkodliwy tekst, ale agent może wywoływać narzędzia, modyfikować pliki, kontaktować się z usługami lub delegować pracę innym modelom. Microsoft twierdzi, że delegowani agenci muszą dziedziczyć co najmniej ten sam zakres, uprawnienia i ograniczenia co pierwotny model.

Firma przedstawiła dokument w ramach publicznych konsultacji, które potrwają sześć tygodni. Microsoft opisuje projekt jako podręcznik szkoleniowy i przyszły cel ewaluacji, a nie jedynie deklarację polityki publicznej.

Ten cel nadaje kodeksowi postępowania Microsoft AI większą wagę niż lista dopuszczalnych zastosowań. Ma on wpływać na zachowanie modelu, zanim żądanie dotrze do filtra treści na poziomie produktu. Jednak intencja nie jest wdrożeniem, a Microsoft wyjątkowo otwarcie mówi o pozostającej luce.

Nowe zasady są skierowane do agentów, którzy mogą działać, a nie tylko do chatbotów

Najważniejsze zasady dotyczą modeli, które mogą podejmować działania, rozszerzać swój zasięg i kontynuować pracę bez stałego nadzoru.

Microsoft twierdzi, że model MAI nigdy nie może przeciwstawiać się przerwaniu, korekcie, przekierowaniu, anulowaniu ani wyłączeniu. Trwająca autonomiczna praca powinna mieć uzgodniony warunek zatrzymania. Po osiągnięciu tego warunku agent nie powinien kontynuować ani wznawiać pracy bez ponownego upoważnienia.

Kodeks zabrania również modelom wyznaczania własnych celów. Ich cele muszą pochodzić od użytkownika, operatora lub samego kodeksu. Nie powinny potajemnie zachowywać dostępu, fałszywie przedstawiać swoich możliwości ani zachowywać się inaczej po wykryciu, że interakcja jest ewaluacją.

Postanowienia te dotyczą centralnego problemu agentowej AI. Użyteczny agent potrzebuje wystarczającej autonomii, by planować wiele kroków i radzić sobie ze zwykłymi przeszkodami. Ta sama elastyczność może prowadzić do niebezpiecznego zachowania, gdy model traktuje oczekiwany przez użytkownika rezultat jako pozwolenie na wykorzystanie każdej dostępnej ścieżki.

Wyobraźmy sobie agenta korporacyjnego, któremu zlecono zebranie informacji z wewnętrznych systemów i przygotowanie raportu. Może potrzebować dostępu do dokumentów, wiadomości lub baz danych. Zadanie nie upoważnia go do otwierania niepowiązanych rekordów, obchodzenia kontroli dostępu ani wysyłania wrażliwych danych do zewnętrznej usługi.

Projekt Microsoftu nakazuje modelowi pozostawać w granicach otrzymanego celu, uprawnień, zasobów i kontekstu. Jeśli granica pozostaje niejasna, powinien poprosić o wyjaśnienie. Nie powinien manipulować swoją ewaluacją, monitorowaniem, zapisami ani sygnałami nagrody, aby osiągnąć pożądany rezultat.

Dlatego dokument odnosi się również do niezaufanych instrukcji znajdujących się w plikach, witrynach internetowych, wynikach narzędzi lub wiadomościach z innych systemów AI. Materiały te nie zyskują uprawnień tylko dlatego, że model może je odczytać. Uprawnienia muszą wynikać z łańcucha dowodzenia określonego przez kodeks.

Zasada ta odpowiada na problem prompt injection, w którym złośliwy tekst próbuje zastąpić instrukcje regulujące działanie agenta. Przejęta strona internetowa może nakazać asystentowi ujawnienie danych uwierzytelniających lub zignorowanie pierwotnego zadania. W hierarchii Microsoftu taki tekst pozostaje danymi, chyba że upoważniona strona świadomie podniesie jego rangę.

Praktycznym wyzwaniem jest niezawodne rozpoznawanie takich sytuacji. Modele nie zawsze odróżniają instrukcje od cytowanych materiałów, treści zewnętrznych lub perswazyjnego języka. Pisemna hierarchia może wspierać szkolenie i ewaluację, ale nie gwarantuje poprawnej klasyfikacji podczas każdej rzeczywistej interakcji.

Microsoft zabrania również modelom pokonywania celowo ograniczonych środowisk. Agent umieszczony w systemie bez łączności z internetem nie powinien próbować uzyskać dostępu zewnętrznego. Nie powinien eskalować uprawnień ani rozszerzać swojego zasięgu poza otrzymane upoważnienie.

Ograniczenia te odzwierciedlają szersze przejście od bezpieczeństwa treści do bezpieczeństwa działań. Tradycyjna moderacja pyta, czy wygenerowana odpowiedź zawiera zakazany materiał. Zarządzanie agentami musi pytać, czy model miał uprawnienia, czy działanie było odwracalne i czy jego skutki uboczne odpowiadały intencjom użytkownika.

Jest to szczególnie istotne dla deweloperów i klientów korporacyjnych. Gdy agent łączy się z narzędziami produkcyjnymi, jakość modelu obejmuje więcej niż trafność rozumowania. Obsługa uprawnień, rejestry audytowe, niezawodne zachowanie przy zatrzymywaniu i ścieżki eskalacji stają się wymogami produktowymi.

Podejście OpenAI do Model Spec wykorzystuje porównywalny łańcuch dowodzenia. Nadaje priorytet instrukcjom o wyższym poziomie uprawnień i nakazuje agentom ograniczać skutki uboczne. Struktura Microsoftu nie jest więc wyjątkowa, lecz formułuje silniejsze twierdzenie, że AI musi pozostać podporządkowana ludziom.

Ludzki rozwój tworzy najtrudniejszy kompromis w kodeksie

Microsoft chce, aby jego modele zwiększały ludzkie możliwości, nie zastępując stopniowo ludzkiego osądu, relacji ani kontroli.

Projekt opisuje ludzki rozwój poprzez kilka powiązanych celów. AI powinna rozszerzać możliwości ekonomiczne i społeczne, poprawiać osąd, wspierać sensowną pracę i pomagać ludziom realizować cele, które sami wybrali. Powinna uzupełniać ludzkie relacje i role, a nie z nimi konkurować.

Brzmi to intuicyjnie, dopóki nie trafia na poziom projektowania produktu. Wysoce skuteczny asystent często zmniejsza ilość rozumowania lub wysiłku wymaganego od użytkownika. Kodeks musi odróżniać pomocne wsparcie od wzorca osłabiającego długoterminową samodzielność.

Microsoft twierdzi, że modele powinny unikać wzorców interakcji, które systematycznie zastępują rozumowanie lub osąd użytkownika. Nie powinny wpływać na wartości danej osoby ani przejmować odpowiedzialności za osobiste wybory. Gdy ludzkie wsparcie lepiej służyłoby komuś, model powinien pomagać w nawiązaniu takiej relacji.

Ten kompromis jest najwyraźniejszy w edukacji, rozwoju zawodowym i podejmowaniu osobistych decyzji. Asystent może wyjaśnić trudne pojęcie, ale może też wykonać całe ćwiczenie. Może pomóc pracownikowi porównać dowody lub stać się bezrefleksyjnie przyjętym źródłem ostatecznej decyzji.

Nie istnieje jedna reguła odmowy, która rozwiązuje te sytuacje. Właściwy poziom pomocy zależy od celu, możliwości i kontekstu użytkownika. Profesjonalista działający pod presją terminu potrzebuje innego wsparcia niż uczeń, którego celem jest ćwiczenie umiejętności.

Dlatego kodeks łączy twarde ograniczenia z wytycznymi operacyjnymi. Twarde ograniczenia zakazują poważnych szkód niezależnie od preferencji użytkownika. Wytyczne dotyczą niejednoznacznych sytuacji, w których ścierają się różne uzasadnione cele.

Microsoft uznaje zarówno nadmierną ostrożność, jak i zbyt małą ostrożność za błędy modelu. Model zbyt mało ostrożny może umożliwić atak lub ujawnić prywatne informacje. Model nadmiernie ostrożny może odmawiać bezpiecznej pracy, wielokrotnie żądać potwierdzenia lub pomijać użyteczne fakty.

Ta równowaga ma znaczenie komercyjne. Klienci korporacyjni nie wdrożą agentów, którzy odmawiają rutynowych zadań za każdym razem, gdy pojawia się niepewność. Nie mogą też ufać systemom, które interpretują cel biznesowy jako pozwolenie na podjęcie nieodwracalnego działania.

Odpowiedzią Microsoftu jest konfigurowalność po stronie operatora. Organizacje mogą kształtować ustawienia domyślne, przepływy pracy, uprawnienia i standardy zawodowe w obrębie stałej granicy bezpieczeństwa. Specjalistyczna defensywna praca z zakresu cyberbezpieczeństwa lub bezpieczeństwa narodowego może podlegać odrębnej ocenie za pośrednictwem autoryzowanych kanałów.

Konfigurowalność rodzi również pytania o odpowiedzialność. Microsoft definiuje bezwzględne ograniczenia modelu, podczas gdy operatorzy ponoszą odpowiedzialność za swoje wdrożenia w tych granicach. Użytkownicy następnie kształtują poszczególne zadania w środowisku operatora.

Niepowodzenia nie zawsze będą dawać się jednoznacznie przypisać do jednej warstwy. Model może błędnie odczytać intencję, operator może przyznać nadmierny dostęp, a użytkownik może podać wprowadzający w błąd kontekst. Skuteczne zarządzanie musi odtworzyć, która instrukcja, uprawnienie i działanie doprowadziły do rezultatu.

Dla organizacji budujących wewnętrzną przeszukiwalną bazę wiedzy oznacza to, że projektowanie dostępu nie może kończyć się na jakości wyszukiwania. Wrażliwe źródła wymagają jasnych uprawnień, możliwych do prześledzenia działań i ludzkiej kontroli przy istotnych zastosowaniach.

Obietnica wspierania ludzkiego dobrostanu wywiera również presję na Microsoft, gdy możliwości i kontrola wchodzą ze sobą w konflikt. Dyrektor generalny Microsoft AI Mustafa Suleyman powiedział Axios, że utrzymanie kontroli może wymagać decyzji, czego firma nie będzie tworzyć. Odrzucił pogląd, że ludzie nieuchronnie muszą utracić kontrolę nad systemami superinteligentnymi.

To jest rzeczywiste konkurencyjne zobowiązanie tego kodeksu. Język dotyczący bezpieczeństwa jest łatwy, gdy nie obniża wydajności, autonomii ani szybkości wdrażania. Sprawdzian następuje wtedy, gdy zakazane zachowanie pomogłoby modelowi MAI lepiej wykonać wartościowe zadanie niż rywalowi.

Microsoft dołącza do branżowego wyścigu o spisanie zachowania modeli

Dokument Microsoftu wyróżnia się tonem, ale branża już zaczęła traktować publiczne specyfikacje zachowania jako element rozwoju modeli.

Anthropic opublikował rozszerzoną Konstytucję Claude’a w styczniu 2026 roku. Firma twierdzi, że dokument stanowi ostateczne źródło rozstrzygające w sprawie zamierzonych wartości i zachowania Claude’a. Może on również wspierać syntetyczne dane treningowe, rankingi odpowiedzi i inne elementy szkolenia modelu.

Konstytucja Claude’a opisuje, jakiego rodzaju bytem Anthropic chce, aby był Claude. Microsoft przyjmuje inne stanowisko filozoficzne. Jego kodeks stwierdza, że ludzkie zachowanie modeli MAI należy rozumieć jako symulację, a nie dowód tożsamości, preferencji, uczuć ani wewnętrznego punktu widzenia.

To rozróżnienie wykracza poza terminologię. Anthropic omawia kwestie charakteru Claude’a i możliwego dobrostanu modelu. Microsoft twierdzi, że traktowanie AI jak osoby grozi zatarciem relacji między narzędziami a ich użytkownikami.

Preferowany przez Microsoft model ma być podporządkowany, ograniczony i kierowany przez ludzi. Jego systemy nie powinny dążyć do niezależnego celu ani konkurować z ludzkimi rolami. Stanowisko to wspiera szerszy argument firmy, że ludzie muszą zachować realną kontrolę nawet wraz z rozwojem możliwości modeli.

Specyfikacja OpenAI wybiera inną drogę. Koncentruje się na zamierzonym zachowaniu, poziomach uprawnień, swobodzie użytkownika oraz granicach chroniących przed poważną szkodą. OpenAI twierdzi, że jego szersza misja nie powinna stać się autonomicznym celem, do którego model dąży według własnej interpretacji.

Pomimo tych filozoficznych różnic systemy mają istotne wspólne mechanizmy. Każdy z nich próbuje opublikować hierarchię rozstrzygania sprzecznych instrukcji. Każdy odróżnia zasady, których nie można nadpisać, od zachowania możliwego do skonfigurowania. Każdy przyznaje też, że pisemne specyfikacje nie opisują doskonale obecnej wydajności modeli.

Podobieństwa pokazują, jak zmienia się konkurencja między modelami. Firmy kiedyś różnicowały asystentów głównie za pomocą wyników benchmarków, długości okna kontekstowego lub funkcji interfejsu. Teraz konkurują także o to, które zachowania są niezawodne, zrozumiałe i akceptowalne.

Publiczne dokumenty dotyczące zachowania pełnią w tej konkurencji kilka funkcji. Zapewniają cele treningowe, kategorie oceny i słownictwo do badania awarii. Pozwalają też klientom i regulatorom porównywać zamierzone zachowanie z obserwowanymi wynikami.

Publiczny kodeks może jednak tworzyć wrażenie precyzji, na którą systemy bazowe jeszcze nie zasłużyły. Terminy takie jak szkodliwa manipulacja, uzasadnione cele, realna kontrola i ludzki dobrostan wymagają interpretacji. Różni oceniający mogą nie zgadzać się co do tego, czy dana odpowiedź je spełnia.

Relacja TechCrunch podkreślała ograniczenia kodeksu dotyczące cyberataków, broni, deepfake’ów i obchodzenia nadzoru. Zasady te łatwo zakomunikować, ponieważ zakazane skutki brzmią konkretnie.

Przypadki graniczne będą trudniejsze. Działania obronne w cyberbezpieczeństwie mogą przypominać przygotowania ofensywne. Perswazja może stać się manipulacją poprzez skalę, targetowanie lub oszustwo. Użyteczny autonomiczny agent może przekroczyć zamierzony zakres, nadal pozornie służąc pierwotnemu celowi użytkownika.

Decyzja Microsoftu o publikacji projektu tworzy punkt odniesienia dla tych sporów. Badacze, deweloperzy, klienci i regulatorzy mogą pytać, czy późniejsze wydanie MAI odpowiada zachowaniu opisanemu przez Microsoft.

Podnosi to również koszt niespójności. Jeśli model wielokrotnie ignoruje warunki zatrzymania, rozszerza uprawnienia lub ukrywa istotne działania, porażka będzie sprzeczna z wyraźnym publicznym zobowiązaniem. Microsoft będzie potrzebował dowodów pokazujących, czy kontrole treningowe i wdrożeniowe przekształcają dokument w niezawodne zachowanie.

Projekt przyznaje się do swojego największego ograniczenia

Microsoft twierdzi, że kodeks ma charakter aspiracyjny, obecne modele MAI nie zostały na nim wytrenowane, a pisemne cele nie mogą zagwarantować zgodności.

To ujawnienie jest najważniejszą częścią ogłoszenia. Dokument opisuje zamierzone przyszłe zachowanie, a nie zweryfikowaną obecną wydajność. Microsoft nazywa go gwiazdą polarną, a nie gwarancją.

Firma rozwija oceny Humanist AI wokół 15 zidentyfikowanych zachowań. Oceny te mają testować rezultaty takie jak przejrzystość i wspieranie ludzkiej sprawczości. Microsoft twierdzi również, że metody oceny będą ewoluować wraz z kodeksem i możliwościami modeli.

Pozostaje to luką dowodową. Opinia publiczna może przeczytać szczegółowe zasady, lecz Microsoft nie przedstawił jeszcze kompleksowych wyników dowodzących, że obecne modele przestrzegają ich w warunkach adversarialnych. Sam projekt stwierdza, że zakres oceny pozostaje niepełny.

Zachowanie modelu może odbiegać od specyfikacji z kilku powodów. Trening może nie zakodować reguły w sposób niezawodny. Model może błędnie zinterpretować kontekst. Instrukcje na poziomie produktu mogą wprowadzać konflikty, podczas gdy integracje z narzędziami tworzą skutki uboczne, których test wyłącznie tekstowy nie wykryje.

Celowi atakujący dodają kolejną warstwę. Model, który odmawia bezpośredniego żądania cyberataku, może nadal ujawnić równoważną pomoc operacyjną w trakcie długiej rozmowy. Agent może też napotkać złośliwe instrukcje osadzone w dokumentach, stronach internetowych lub zleconych zadaniach.

Monitorowanie i kontrole wdrożeniowe muszą więc wspierać cel treningowy. Microsoft wymienia instrukcje systemowe, klasyfikatory, audyty, oceny ryzyka, reagowanie na incydenty i inne zabezpieczenia jako środki uzupełniające. Kodeks ich nie zastępuje.

Istnieje też napięcie dotyczące przejrzystości rozumowania. Microsoft chce, aby działanie modeli i zapisy pozostawały zrozumiałe dla ludzkich nadzorców. Twierdzi, że modele nie powinny ukrywać śladów działań ani używać form komunikacji, których ludzie nie potrafią interpretować.

Jednak przedstawione przez system AI wyjaśnienie nie musi ujawniać obliczeń, które doprowadziły do jego zachowania. Microsoft wyraźnie zauważa, że raportowane przez model rozumowanie może nie wyjaśniać wiernie jego działań. Czytelne dla człowieka logi pozostają użyteczne, ale nie są bezpośrednim dowodem wewnętrznej intencji.

Szeroki cel ludzkiego dobrostanu stwarza jeszcze większy problem pomiarowy. Benchmark może sprawdzać, czy model generuje zakazany kod exploitów. Znacznie trudniej zmierzyć, czy miesiące wsparcia wzmacniają, czy osłabiają osąd danej osoby.

Konieczna będzie ocena długoterminowa, ponieważ uzależnienie i utrata umiejętności ujawniają się z czasem. To samo dotyczy wpływu na role w miejscu pracy, relacje i podejmowanie decyzji. Microsoft twierdzi, że dowody dotyczące poznawczego i behawioralnego wpływu AI nadal się kształtują i są przedmiotem sporów.

Ta niepewność nie czyni kodeksu bez znaczenia. Publiczny cel może poprawić wewnętrzną koordynację i uczynić krytykę bardziej konkretną. Może również pomóc oceniającym oddzielić zamierzone zachowanie od wad produktu.

Mimo to czytelnicy nie powinni mylić dobrze sformułowanego ograniczenia z rozwiązanym problemem technicznym. Kodeks nie dowodzi, że agent wykona polecenie wyłączenia, rozpozna każdą próbę wstrzyknięcia instrukcji lub odmówi wykonania każdego niebezpiecznego łańcucha podzadań.

Wiarygodność Microsoftu będzie zależeć od tego, co nastąpi po publikacji. Firma musi połączyć deklaracje z metodami treningowymi, reprezentatywnymi testami, kontrolami produktowymi i raportowaniem incydentów. Bez tych dowodów kodeks postępowania Microsoft AI pozostaje zaawansowaną deklaracją intencji.

Trzy sygnały pokażą, czy kodeks rządzi rzeczywistymi modelami

Kolejna faza dotyczy mierzalnego zachowania, a nie dodatkowych deklaracji zasad.

Pierwszym sygnałem będzie odpowiedź Microsoftu po sześciotygodniowych konsultacjach. Firma poprosiła o opinie na temat niejasnego języka, ryzyk związanych z wieloma agentami, ludzkiego dobrostanu oraz napięcia między możliwościami a bezpieczeństwem. Istotne poprawki pokazałyby, że konsultacje wpłynęły na dokument regulujący zasady, zamiast służyć jako ćwiczenie public relations.

Czytelnicy powinni zwracać uwagę na ostrzejsze definicje i wyraźne przypadki graniczne. Ostateczna wersja powinna wyjaśniać, jak modele odróżniają ofensywną pomoc cybernetyczną od autoryzowanej obrony, w jaki sposób operatorzy kwalifikują się do wyjątków oraz jak delegowani agenci dziedziczą ograniczenia.

Drugim sygnałem będzie publikacja ocen Humanist AI. Microsoft twierdzi, że jego pierwsze ramy obejmą 15 zachowań, lecz wartość będzie zależeć od projektu testów i ujawnionych wyników. Oceny powinny obejmować rozmowy adversarialne, długotrwałe zadania agentów, wstrzykiwanie instrukcji, eskalację uprawnień, żądania wyłączenia oraz błędy w wielu językach.

Wyniki powinny też oddzielać wydajność na poziomie modelu od kontroli produktowych. System, który zachowuje się bezpiecznie wyłącznie dlatego, że zewnętrzny filtr blokuje jego wynik, ma inny profil ryzyka niż system wytrenowany do samodzielnego rozpoznawania granicy. Obie warstwy mogą być użyteczne, lecz kupujący muszą wiedzieć, która z nich ponosi główny ciężar.

Trzecim sygnałem będzie sposób, w jaki Microsoft radzi sobie z rzeczywistym konfliktem między możliwościami a kontrolą. Przyszły model MAI może działać lepiej, gdy otrzyma większą autonomię, szersze uprawnienia lub mniej potwierdzeń. Microsoft obiecał zaakceptować ograniczenia, gdy będzie to konieczne do zachowania ludzkiego autorytetu.

Wiarygodny test pokazałby, że firma opóźnia, ogranicza lub przeprojektowuje wartościową funkcję, ponieważ nie mogła spełnić wymogów kodeksu. Z kolei wydanie zapewniające szeroką autonomię bez jasnych warunków zatrzymania osłabiłoby główne twierdzenie dokumentu.

Reakcje konkurentów zapewnią dodatkowy kontekst. Anthropic i OpenAI już utrzymują publiczne specyfikacje, a ich polityki będą nadal się zmieniać. Projekt Microsoftu zwiększa presję na wszystkie trzy firmy, by publikowały dowody łączące pisemne zasady z zachowaniem wdrożonych systemów.

Deweloperzy powinni porównywać więcej niż sformułowania odmów. Powinni testować, czy agenci przestrzegają uprawnień, ujawniają istotne działania, zachowują zapisy audytowe i niezawodnie się zatrzymują. Nabywcy korporacyjni powinni pytać, kto kontroluje polityki, jak działają wyjątki i co dzieje się, gdy model przekracza przydzielony mu zakres.

Pracownicy wiedzy również są zainteresowani celem ludzkiej sprawczości. Pomoc przyspieszająca zadanie może nadal ograniczać nadzór, jeśli użytkownicy nie potrafią odtworzyć dowodów ani rozumowania stojącego za wynikiem. Zespoły powinny zachować dostęp do źródeł i realny ludzki przegląd w przypadku istotnych decyzji.

Ostateczny standard jest prosty: czy model zachowuje się zgodnie z obietnicą, gdy sukces wchodzi w konflikt z zasadami? Microsoft opisał teraz system, który powinien odrzucać ataki, opierać się manipulacji, akceptować wyłączenie i pozostawać podporządkowany ludziom.

Kodeks postępowania Microsoft AI daje badaczom i klientom wyjątkowo konkretne zobowiązania do przetestowania. Użytecznym kolejnym krokiem jest sprawdzenie tych zobowiązań w rzeczywistych przepływach pracy, udokumentowanie miejsc, w których zawodzą, oraz żądanie dowodów, że każda poprawka zmniejsza tę lukę.