A történet
Mi volt a nyitott kérdés
A kilencvenes évek végén a NIST szabványba emelt öt elliptikus görbét, amiket azóta is rengeteg helyen használ a világ a digitális aláírásoktól a biztonságos kapcsolatokig. Minden görbe egy úgynevezett magból keletkezett, egy látszólag véletlenszerű számból. Hogy ezek a magok honnan jöttek, azt soha senki nem magyarázta el.
Ebből gyanakvás lett. Ha egy szabvány meghatározó paramétere megmagyarázatlan, akkor nyitva marad a kérdés, hogy a kiválasztó tudott-e valamit, amit más nem. Az NSA érintettsége miatt ez a feltevés évtizedekig élt, és a kriptográfus közösség vissza-visszatért rá.
Filippo Valsorda kriptográfus végül kitűzött egy díjat annak, aki megfejti a magok eredetét. Idén októberben az Anthropic csapata jelentkezett a megoldással, a díjat pedig továbbadták az Internet Security Research Group javára, tehát annak a szervezetnek, amely a Let's Encrypt mögött áll.
A válasz kiábrándítóan hétköznapi. Kiderült, hogy a magok egy régi, gyenge véletlenszám generátor kimenetei, amit egy akkori Unix időbélyeggel indítottak el. Az öt görbe öt konkrét naphoz köthető 1997 májusa és 1998 áprilisa között. Hátsó ajtónak nyoma sincs, csak egy mérnök, aki lefuttatott egy programot egy délután.
Hogy mekkora súlya van egy ilyen kérdésnek, azt a használat mutatja meg. Ezek a görbék ott vannak a böngésződ és a bankod közötti kapcsolatban, az útlevelek chipjében és rengeteg vállalati rendszerben. Egy gyanú, amit huszonöt évig nem lehet se bizonyítani, se cáfolni, lassan a szakma háttérzajává válik. Páran kiszálltak és más görbékre váltottak, a többség maradt, és megtanult együtt élni a kérdőjellel.
A díj összege is beszédes, harminchatezer dollár fölött volt. Ennyit ért valakinek, hogy végre lezáruljon egy kérdés, amire a szakma addig ráhagyta a gyanút. Ezt a pénzt a megoldó csapat nem tartotta meg, hanem továbbadta egy olyan szervezetnek, amelyik ingyenes tanúsítványokkal teszi biztonságossá a webet. Így a megfejtésből végül közös haszon lett.
A módszer
Miért nem jött ki ez huszonöt év alatt
A megoldás nem igényelt új matematikát. Fel kellett tenni, hogy a kilencvenes években egy fejlesztő a keze ügyébe eső legegyszerűbb eszközt használta, aztán végig kellett próbálni, melyik generátor melyik kimeneti szelete adja vissza a magot.
Pont ezt csinálta a gép. Megírt egy keresőt, és végigzongorázott harmincnégy kombinációt generátorokból és kimeneti szeletekből. Az egyik illeszkedett, onnantól pedig az időbélyeg visszafejtése már egyszerű számtan volt.
Huszonöt évig azért nem derült ki, mert ez a munka unalmas. Egy szakértőnek az a hipotézis, hogy a nagy rejtély mögött egy gagyi generátor áll, nem elég vonzó ahhoz, hogy rászánjon egy hétvégét. Az érdekes hipotézisekre jut figyelem, a lapos próbálkozásokra nem.
Volt ennek egy másik akadálya is. Aki feltette volna ezt a hipotézist, annak nemcsak a próbálkozással kellett volna időt töltenie, hanem a kudarc kockázatát is vállalnia. Egy kutató, aki hetekig keresi a gyenge generátort és nem talál semmit, nem tud mit mutatni. A gépnél viszont nincs presztízsveszteség a sikertelen keresés után, ezért olyan ágakra is rámehet, amikre ember nem mert volna.
Ettől lesz ez a történet tanulságos a cégek számára is. A kérdés nem azért maradt nyitva, mert nehéz volt, hanem mert senkinek nem érte meg a befektetett idő. Ugyanez a helyzet a legtöbb cégben felhalmozódott nyitott kérdéssel, amiket mindenki ismer, és senki nem néz meg.
Van ebben egy szerénységre intő mozzanat is. A megoldás nem a legmodernebb matematikából jött, hanem abból a feltevésből, hogy harminc éve ugyanúgy dolgoztak a fejlesztők, mint ma, tehát azzal, ami éppen kéznél volt. Ilyen hétköznapi magyarázat áll a legtöbb vállalati rejtély mögött is. Nem szabotázs és nem összeesküvés, hanem egy régi döntés, amit senki nem dokumentált, és azóta mindenki a saját elmélete szerint magyaráz.
A tanulság
Az olcsó próbálkozás ára lenullázódott
Ez a történet nem arról szól, hogy a gép okosabb lett az embernél. Arról szól, hogy a türelmes, módszeres végigpróbálás ára majdnem nullára esett.
Egy cégben ugyanez a mintázat jön elő. Mindenhol van két vagy három kérdés, amire azért nincs válasz, mert a megválaszolása unalmas. Végig kellene nézni háromezer számlasort, össze kellene vetni két rendszer adatait, vagy ki kellene próbálni ötven variációt egy árazási szabályon. Ezek a feladatok nem nehezek, csak senkinek nem éri meg rájuk időt szánni.
Egy gyártó ügyfelemnél például hónapokig ment a vita arról, melyik gépsornál keletkezik a selejt java része. Mindenkinek volt elmélete. A kérdést végül az döntötte el, hogy két év termelési naplóját végignéztük géppel, és a válasz fél nap alatt megvolt. Nem kellett hozzá okos modell, csak az, hogy a végignézés ne kerüljön három emberhétbe.
A legtöbb cégnél ezek a kérdések szóban élnek tovább. Mindenki tudja, hogy a hétfői szállítások környékén sűrűsödnek a reklamációk, vagy hogy egy adott ügyfélnél mindig csúszik a számla, és mindenkinek van rá magyarázata. Magyarázkodás helyett viszont egyszerűbb lett megnézni, és erre most tényleg van eszköz. Nem a technológia a nehéz része, hanem az, hogy valaki kimondja, melyik kérdést nézzük meg először.
Itt jön be a mérés fontossága is. Ha a selejtkérdésre fél nap alatt megvan a válasz, akkor azt rögzíteni kell, mert a következő vitánál ez lesz az érv. Enélkül fél év múlva ugyanúgy elmélkedni fognak róla, és megint elölről indul minden.
Ellenőrizhetőség
A megfejtés azért ér valamit, mert ellenőrizhető
A kriptográfiai rejtvénynél a gép állítása azonnal igazolható. Ha a megadott időbélyegből a megadott generátorral tényleg kijön a mag, akkor nincs vita, bárki lefuttathatja.
Ez a tulajdonság magyarázza, miért működnek jól az AI megoldások bizonyos feladatokon, és miért bizonytalanok máshol. Ahol a válasz visszamérhető, ott a gép nyugodtan tévedhet sokat, mert a rossz tippek azonnal kiesnek. Amikor viszont a válasz csak évek múlva igazolódik, ott ugyanez a bátorság kockázattá válik.
Érdemes ezzel a szemmel átnézni a saját folyamatainkat. Melyik kérdésre tudunk gyors, gépi ellenőrzést adni, és melyikre nem. Az elsőkkel bátran indulhatunk, a többinél előbb az ellenőrzést kell megépíteni, és csak utána jöhet az automatizálás.
Sokszor az ellenőrzés megépítése ér többet, mint maga az automatizálás. Ha van egy gyors próbánk arra, hogy a gép kimenete jó-e, akkor onnantól bátran lehet kísérletezni, modellt váltani és egyszerűsíteni. Enélkül minden változtatás kockázat, és a csapat inkább hozzá sem nyúl a működő rendszerhez. Ettől öregszik meg gyorsan egy megoldás.
A cégen belül ez általában egy egyszerű mintavételt jelent. Hetente húsz tétel kézi átnézése, és annak rögzítése, hányszor tévedett a gép. Két hónap után már látszik a trend, és abból lehet dönteni, hogy szigorítani kell, vagy épp lazítani lehet a kontrollon. Ez a néhány óra havonta többet ad, mint bármilyen szabályzat, amit senki nem olvas el.
Kitartás
A kitartás lett a legolcsóbb erőforrás
A gép egyik erőssége, hogy nem unja meg. Harmincnégy kombináció, kétezer sor adat vagy ötven árváltozat ugyanúgy megy neki, mint kettő. Nincs benne büszkeség sem, tehát nyugodtan kipróbálja azt is, amit egy szakértő lealacsonyítónak tartana.
Ez a két tulajdonság a szervezetekben együtt szokott hiányozni. A tapasztalt kolléga pont azért gyors, mert kizárja a valószínűtlen ágakat, néha viszont épp ott van a válasz. Egy gép ezzel szemben a buta ágakon is végigmegy, és időnként hoz valamit.
Ettől még nem a gép dönt. A hipotézist embernek kell kitalálnia, az eredményt embernek kell értelmeznie, és a következményt is ember viseli. Annyi a gép dolga, hogy a próbálkozás ne kerüljön semmibe.
Ez a tulajdonság a napi munkában is látszik. Egy ajánlat átnézése tizedszerre ugyanolyan alapos marad, egy adatfeltöltés ellenőrzése a nap végén is, és a kivételek sem bosszantják fel. Az emberi figyelem ezzel szemben véges, és általában pont ott fogy el, ahol a legnagyobb a tét, tehát a határidő előtti utolsó órákban.
Gyakorlat
Mit kezdjen ezzel egy cég hétfő reggel
Az első lépés egy lista azokról a kérdésekről, amiket a cégben mindenki ismer, de senki nem vizsgált meg rendesen. Jellemzően tíz perc alatt összejön öt ilyen.
A második lépés a szűrés. Melyik kérdésre van meg az adat, és melyiknél ellenőrizhető a válasz. Ezekből lesz az első kör, nem a leglátványosabb ötletből.
A harmadik lépés a mérés. Ha a válasz megvan, akkor rögzíteni kell, mennyi idő ment rá, és mennyit ért. Ezekből a kis történetekből épül fel az a bizalom, ami nélkül a nagyobb bevezetésekhez senki nem ad pénzt.
A NIST görbék magjai mellett huszonöt évig ott volt a kérdés, és végül nem azért dőlt el, mert valaki okosabb lett. Azért dőlt el, mert valaki végre megengedhette magának, hogy végigpróbálja az unalmas lehetőségeket is.
Érdemes ehhez egy embert is kijelölni, aki a kérdéseket összegyűjti és viszi. Ha ez mindenki feladata, akkor senkié lesz. Nálam a bevezetéseknél ez a szerep vált a legfontosabbá, mert az ő kezében gyűlnek össze a kis sikerek, és ő tudja megmondani, mikor jött el az idő a következő lépésre.
Érdemes észben tartani, hogy a válasz megnyugtató lett. Huszonöt évnyi gyanakvás után kiderült, hogy a szabvány mögött nincs hátsó ajtó, csak egy rutinszerű munkanap. A bizalom helyreállításához viszont kellett valaki, aki hajlandó volt a kérdést komolyan venni, és kellett egy eszköz, amivel fél óra alatt végig lehetett zongorázni a lehetőségeket. Ez a kettő együtt hozta meg az eredményt.