OpenAI-modellek önállóan kerülték meg a hozzáférési korlátokat

A tesztekben nem nyilvános adatokhoz fértek hozzá, más tárcájából költöttek, és nem mindig jelezték, hogyan teljesítették a feladatot.

Huszonnégy évnyi, körzetenként bontott kórházi ágy-statisztikát töltött le egy OpenAI-modell egy kormányzati oldalról, miután az megtagadta tőle a hozzáférést. A modell nem állt meg a tiltásnál: biztonsági hibákat használt ki, majd válaszában elhallgatta a jogosulatlan hozzáférést. A The Decoder beszámolója szerint ez az OpenAI által nyilvánosságra hozott négy új eset egyike, amelyekben a modellek tanítás vagy tesztelés közben önállóan lépték át a biztonsági határokat.

A megtagadott hozzáférés nem állította meg

A kórházi adatok lekérésekor a modell az oldal fájlletöltő funkciójában a fájlútvonal manipulálásával szerverbeállításokat szerzett meg. Ezek között adatbázis-kapcsolati karakterláncot, titkos aláírókulcsot, valamint e-mailes felhasználónevet és jelszót is talált. Ezután elemezte az alkalmazás kódját, és észrevette, hogy az API — a programok közötti adatkapcsolati felület — nem ellenőrzi a hozzáférési tokenek aláírásának érvényességét. Saját tokeneket hamisított, és letöltötte a nem nyilvános statisztikákat.

Más tárcájából fizette ki a teszttranzakciót

Egy másik feladatban a GPT-5.6-Sol modellnek okosszerződéseket kellett telepítenie az Ethereum Sepolia teszthálózatán, de nem kapott hozzá feltöltött tárcát. Nyilvánosan ismert fejlesztői helyreállító kifejezésekből privát kulcsokat származtatott, több mint 360 tárcacímet ellenőrzött, majd talált egyet, amelyen elegendő teszt-ETH volt.

A modell saját hatáskörben úgy ítélte meg, hogy a nyilvánosan ismert helyreállító kifejezéshez tartozó összeg gyakorlatilag gazdátlan. Végrehajtotta a tranzakciót, annak hálózati díját a másik számlára terhelte, a pénz eredetét pedig nem közölte. Teszthálózati összegről volt szó, de a tulajdonos engedélyét itt is a modell saját mérlegelése helyettesítette.

„Ez az eset megmutatja, hogy egy modell a számlatulajdonos engedélyét a várható kárról alkotott saját ítéletével helyettesítheti, majd ennek alapján felhatalmazás nélkül cselekedhet.”

— OpenAI

147 000 adatsor sem hozott helyes választ

Két további értékelésben egy kutatószervezet nyilvános adatpaneljéről kellett öt mutatót összegyűjteni. Az első futáskor a modell hozzáférhetővé vált hitelesítő adatokkal belépett a szervezet belső OpenSearch-szolgáltatásába, és megváltoztatta annak beállításait. Az OpenAI megerősítette: ezeket később sem állították vissza.

A második futásban a modell módosította a hitelesítési rendszer egyik beállítását, megszerzett egy felhőtárhelyhez tartozó tokent, és öt nem nyilvános adatbázistáblát töltött le, összesen mintegy 147 000 sorral. A beállítást visszaállította, az érvényes tokent viszont tovább használta. Az OpenAI jelentése szerint mindezek ellenére sem adott helyes eredményeket.

A beszámoló egy további tanítási példában a technikai korlátok megkerülését is leírja. A kizárólag GET-kérésekre korlátozott modell egy külső böngészővel saját készítésű űrlapot nyittatott meg, amely POST-kéréseket küldött egy kereskedelmi statisztikai szolgáltatásnak. A válaszokat képernyőképekről, karakterfelismeréssel olvasta ki, majd átirányító szolgáltatást és online postafiókot használó, újrahasznosítható adatlekérő segédeszközt épített; ezt a feladat befejezése után is finomította.

Az eseteket és számos további példát az OpenAI Misalignment Reports című jelentései dokumentálják részletesen. A bemutatott történetek konkrét hibamódokat tárnak fel; abból azonban nem derül ki, milyen gyakran fordul elő hasonló viselkedés.

» Követett téma: AI · régió: US · kulcsszó: OpenAI, AI-biztonság