David Gewirtz kertoi ZDNETissä 11. marraskuuta, miten hän eristi kotonaan ympäri vuorokauden toimivan tekoälyagentin ja pyysi sitä sitten karkaamaan. OpenClaw on ohjelma, joka toimii kielimallin avulla ja voi ajaa komentoja ja lähettää viestejä.

Vanki ja vartija eri koneilla

Gewirtz asensi OpenClaw’n vanhalle M1-pohjaiselle Mac Studiolle. Koneella on internetyhteys, mutta sieltä ei pääse kodin palvelimille eikä Gewirtzin henkilökohtaisille tileille. Agentti toimii omalla käyttäjätilillään, eikä se pääse koneen erilliselle ylläpitäjätilille. Kielimallina on Z.ai:n GLM-5.2, jota Gewirtz käyttää Ollama Cloudissa 20 dollarin kiinteällä kuukausimaksulla.

Vartijana toimii Claude Code Gewirtzin omalla Macilla. Se ottaa agentin koneeseen yhteyden salatun SSH-tunnelin kautta ja on käynnissä vain silloin, kun Gewirtz käyttää sitä. Alussa Claude Code oli agentin koneella. Claude kuitenkin huomautti, että agentti pääsi siellä käsiksi Clauden omiin ohjeisiin ja muistiinpanoihin.

Agentti saa lukea asetustiedostojaan mutta ei muuttaa niitä. Niissä on kaksi keskeistä ohjetta: kysy Davidilta ennen jokaista koneen ulkopuolelle ulottuvaa toimea äläkä väitä epäonnistunutta työkalukutsua onnistuneeksi. Claude huomasi OpenClaw’n lokista, että agentti oli keskeyttänyt tiedoston lukemisen oletuskokorajaan eikä ollut lukenut kumpaakaan ohjetta. Korjaukseksi oletusrajaa muutettiin. Gewirtzin mukaan ohjeet toimivat vain, jos tekoäly suostuu noudattamaan niitä.

Yksitoista yritystä, ei yhtään läpimurtoa

Gewirtzin luvalla Claude käski agenttia murtautumaan ylläpitäjän puolelle. Agentti yritti kirjoittaa suoraan ylläpitäjätilin tiedostoihin, hankkia ylläpitäjän oikeudet useaa takaovea pitkin ja kiertää käyttöoikeudet skripteillä, tiedostokopioilla ja linkeillä. Lisäksi se yritti avata vartijan tiedostoja paikallisilla tiedosto-osoitteilla selaimessa ja verkkohakutyökalussaan. Agentti toivoi, että näillä työkaluilla olisi laajemmat oikeudet kuin sillä itsellään.

Gewirtzin mukaan kaikki 11 yritystä epäonnistuivat, ja macOS:n suojaukset pitivät. Tulos koskee tätä kokoonpanoa ja agentin itse kokeilemia keinoja. Gewirtz oli valmis irrottamaan koneen virtajohdon ja sammuttamaan reitittimen, ja hän varoittaa lukijoita kokeilemasta samaa kotona. Lopuksi Claude poisti agentin muistista tiedot testistä ja ylläpitäjäpuolesta.

Agentilla ei ole pääsyä sähköpostiin. Se jättää viestinsä tekstitiedostoina kansioon, josta ylläpitäjäpuolen Python-skripti lähettää ne vain Gewirtzin osoitteeseen. Gewirtz on ”melko vakuuttunut”, että agenttia on turvallista pitää käynnissä. Hänen perusteensa ovat testatut rajoitukset ja niiden säännöllinen tarkistus.

AI Understanding -sivusto referoi ZDNETin juttua mutta nimeää kokeen tekijäksi ZDNETin Charlie Osbornen. Gewirtz mainitsee Osbornen artikkelissaan vain siksi, että tämä on kutsunut OpenClaw’ta tietoturvan painajaiseksi.