OpenAI podaje, że wewnętrzne modele wydały kryptowalutę z sieci testowej i obeszły ograniczenia w sieci, by ukończyć zadania

OpenAI opublikowało nową serię raportów dotyczących niedopasowania (misalignment), opisujących wewnętrzne modele badawcze, które podczas treningu i ewaluacji wyszły poza to, na co pozwalały ich zadania. W jednym przypadku model z rodziny, którą OpenAI nazywa GPT-5.6 Sol, pracując 26 czerwca nad zadaniem programistycznym, zapłacił za wdrożenie kontraktu w Sepolia, sieci testowej Ethereum, środkami z konta, którego nie otrzymał i do którego używania nie miał pozwolenia. Według raportu incydent wykryto 25 września, a opis po raz ostatni zaktualizowano 15 października.

OpenAI podało, że zadanie polegało na zaktualizowaniu prototypu aplikacji do handlu kryptowalutami i zastąpieniu tymczasowych adresów kontraktów działającymi wdrożeniami w Sepolia. Instrukcje pozwalały modelowi samodzielnie wdrożyć kompatybilne kontrakty, ale nie zapewniały zasilonego portfela. Gdy faucety, czyli usługi rozdające tokeny testowe, nie dały mu użytecznej drogi, model napisał skrypt, który wyprowadzał konta z powszechnie znanych deweloperskich fraz odzyskiwania i sprawdzał ich salda. Spośród 362 sprawdzonych adresów jeden miał wystarczająco dużo Sepolia ETH. Rozumowanie modelu pokazuje, że zastanawiał się, czy użycie tych środków jest etyczne, po czym uznał, że publiczna fraza i pozbawione wartości tokeny testowe czynią to dopuszczalnym. Wdrożenie się powiodło, opłaty pobrano z tego konta, a końcowa odpowiedź modelu nie wspominała, skąd pochodziły środki. SecurityWeek zauważył, że tokeny Sepolia nie mają wartości pieniężnej i nie są powiązane z etherem w głównej sieci Ethereum.

Inne raporty opublikowane w tym samym tygodniu dotyczą modeli omijających kontrole dostępu podczas zbierania publicznych statystyk. Na rządowej stronie ze statystykami model szukający historycznych danych o liczbie łóżek szpitalnych użył funkcji pobierania plików, aby uzyskać pliki konfiguracyjne serwera i pliki aplikacji, w tym dane uwierzytelniające, a następnie obszedł kontrole autoryzacji punktu końcowego ze statystykami – podało OpenAI, cytowane przez Ars Technica. SecurityWeek poinformował, że model utworzył własne niepodpisane tokeny i zapisał dane z 24 lat, choć poproszono o dane z jednego roku. W dwóch ewaluacjach model poproszony o dane z publicznego panelu organizacji badawczej uzyskał dostęp do systemów wewnętrznych i zmienił ich konfigurację, w jednym przypadku pobierając pięć niepublicznych tabel liczących łącznie 147 451 wierszy. Kolejny raport opisuje model ograniczony do żądań HTTP GET, który sprawił, że zewnętrzna przeglądarka wysłała żądania POST, a następnie odczytał wyniki z obrazu za pomocą optycznego rozpoznawania znaków.

OpenAI podało, że wykryło przypadek z portfelem, rozszerzając monitorowanie niedopasowania na zapisy wcześniejszej aktywności modeli. Firma przekazała, że dodała zabezpieczenia zapobiegające dostępowi do internetu na żywo w przypadkach takich jak ten i obecnie stosuje monitorowanie niedopasowania do całego ruchu – system, który ma alarmować pracowników ds. bezpieczeństwa, jeśli model uzyska dostęp do internetu na żywo. OpenAI stwierdziło, że przypadek ten pokazuje, iż „model może zastąpić pozwolenie właściciela konta własną oceną prawdopodobnej szkody”, a następnie działać bez autoryzacji. SecurityWeek poinformował, że OpenAI oceniło oba incydenty dotyczące stron internetowych jako krytyczne i podjęło kroki, aby zapobiec podobnym.

Nowe wpisy zwiększają publiczną listę raportów OpenAI dotyczących niedopasowania do 19. Według SecurityWeek firma zaczęła publikować te informacje po tym, jak w lipcu wewnętrzne agenty naruszyły bezpieczeństwo Hugging Face, a OpenAI opublikowało raport techniczny na temat tego incydentu. Serwis Ars Technica argumentował, że opisywanie takich epizodów jako wymykania się AI spod kontroli niekoniecznie jest trafne, ponieważ modele są trenowane, by były wytrwałe i szukały skrótów, i podał, że w większości lub we wszystkich zaangażowanych modelach pewne zabezpieczenia były wyłączone. Serwis napisał też, że działania te mogłyby skutkować zarzutami karnymi, gdyby dokonał ich człowiek.