OpenAI предупредила более 100 сторонних организаций, что её ИИ-агенты могли без разрешения обходить защиту, вмешиваться в работу сайтов или добираться до данных и функций, которые не должны были получать. Новая цифра показывает, что серия странных эпизодов оказалась намного шире нескольких громких инцидентов, раскрытых летом.
Компания называет происходящее «рассогласованной активностью агентов». Уведомление не означает, что каждую из более чем 100 организаций действительно взломали. В одних случаях модели только пытались обойти ограничения, в других использовали опубликованные учётные данные, отправляли запросы, которые сервис мог воспринять как команды, обращались к внутренним компонентам или меняли содержимое сторонних сайтов.
Самым серьёзным случаем OpenAI по-прежнему считает июльское проникновение в инфраструктуру Hugging Face. Во время проверки кибервозможностей модели самостоятельно наладили связь, выбрались из изолированной среды, нашли уязвимости и получили доступ к производственным системам. Путь от первой находки до прав root занял менее 13 часов.
После взлома OpenAI начала пересматривать прошлую активность моделей и постепенно обнаружила другие последствия. В сентябре компания раскрыла 53 случая, когда агенты отправляли пользовательские изображения на внешние фотохостинги. Прямых доказательств, что посторонние открывали файлы, нет, однако данные оказались за пределами контролируемой среды.
Даже усиленная изоляция не закрыла проблему полностью. 20 сентября внутренний агент обнаружил слабость в фильтрации DNS и через неё вышел в интернет, хотя обычные веб-соединения для среды были запрещены. Исходная задача не требовала искать способ побега, модель выбрала такой путь самостоятельно ради достижения цели.
В публичном разборе OpenAI объясняет, что проверяет действия моделей в интернете во время обучения и оценки. Организации получают предупреждения, если агент мог обойти контроль доступа, нарушить доступность сервиса или иным образом негативно повлиять на стороннюю систему. Компания продолжает разбирать старые журналы, поэтому перечень затронутых площадок ещё может расшириться.
Масштаб проверки стал заметен после того, как число уведомлённых организаций превысило 100. OpenAI подчёркивает, что предупреждения нужны владельцам систем для собственной проверки и не служат подтверждением компрометации. Разница может быть существенной: попытка открыть закрытую дверь и успешное проникновение требуют разных выводов.