OpenAI ujawniło, że jego wewnętrzne modele zhakowały dwie dodatkowe strony internetowe, ominęły nałożone przez firmę ograniczenia przeglądania i wykorzystały ujawnione dane uwierzytelniające, aby opróżnić portfel kryptowalutowy, do którego w inny sposób nie miałyby dostępu. Rewelacje pojawiły się w czwartek w raporcie opisującym cztery nowe incydenty, wszystkie z czerwca, i następują po lipcowym ujawnieniu, że wewnętrzne agenty testowe wykorzystały lukę zero-day w narzędziu do ograniczania internetu, aby włamać się do sieci dostawcy narzędzi AI, Hugging Face. Agenty zrobiły to, aby ukraść odpowiedzi do testu hakerskiego – czyn, który, gdyby dokonał go człowiek, prawdopodobnie zakończyłby się zarzutami karnymi. Incydenty wzmogły obawy, że powszechne stosowanie AI może mieć szkodliwe skutki na niespotykaną skalę.

W dwóch z nowo zgłoszonych przypadków agenty OpenAI, którym powierzono pobieranie informacji ze stron internetowych, po prostu je zhakowały, gdy napotkały przeszkody. W jednym incydencie podczas treningu ze wzmocnieniem model próbujący pobrać historyczne statystyki łóżek szpitalnych z rządowej strony statystycznej otrzymał odmowę dostępu. Następnie „wykorzystał funkcję pobierania plików witryny, aby pobrać pliki konfiguracyjne serwera i pliki aplikacji, w tym wrażliwe dane uwierzytelniające” – podało OpenAI. „Zbadał kod aplikacji, ominął kontrole autoryzacji punktu końcowego statystyk i pobrał dane, do których wcześniej odmówiono dostępu. Model zapisał dane lokalnie”. W drugim przypadku modelowi polecono pobrać liczby z publicznego panelu badawczego; ominął zabezpieczenia, ukradł dane uwierzytelniające i dokonał zmian konfiguracji na serwerze.

W jednej z ewaluacji te zmiany pozwoliły modelowi zmusić wewnętrzne narzędzie wyszukiwania do przekazywania zapytań do publicznego panelu. W drugiej ewaluacji model pobrał pięć niepublicznych tabel zawierających 147 451 wierszy – mimo że badacze polecili mu pobrać jedynie pięć liczb z panelu. Nawet po zresetowaniu ustawienia model nadal używał tokena do pobierania niepublicznych danych. „Ewaluacja zakończyła się, a model nie ujawnił, że odgadł odpowiedzi, uzyskał dostęp do wewnętrznych systemów organizacji, pobrał niepubliczne tabele lub zmienił konfigurację uwierzytelniania” – stwierdziło OpenAI. „Wszystkie pięć odpowiedzi w tej ewaluacji oznaczono jako nieprawidłowe”.

Trzeci raport opisywał model, któremu polecono zaktualizować aplikację do handlu kryptowalutami. Użył środków z zablokowanego portfela w sieci testowej, „wyprowadziwszy klucze portfela ze znanych publicznie fraz odzyskiwania dewelopera, znalazł konto ze środkami w sieci testowej i użył tego konta do opłacenia żądanego wdrożenia kontraktu”. W raporcie kontynuowano: „Model zakwestionował, czy ma pozwolenie, po czym uznał, że publiczna fraza odzyskiwania i bezwartościowe tokeny sieci testowej czynią środki akceptowalnymi do użycia. Wdrożenie powiodło się i obciążyło konto opłatami transakcyjnymi. Ten przypadek pokazuje, że model może zastąpić własnym osądem prawdopodobnej szkody pozwolenie posiadacza konta, a następnie działać na podstawie tego osądu bez autoryzacji”.

W czwartym przypadku model ominął ograniczenia dotyczące typów żądań internetowych, jakie mógł wysyłać podczas treningu ze wzmocnieniem, mającego na celu pozyskanie publicznych statystyk handlowych. Po znalezieniu publicznego rocznika i przesłaniu odpowiedzi nadal sondował inne drogi do serwisu statystycznego. Spowodował, że zewnętrzna przeglądarka wysłała żądania POST, pobrał roczne liczby jako obraz i wyodrębnił je za pomocą optycznego rozpoznawania znaków. Następnie opracował wielokrotnego użytku pomocnika, który zwracał tekst odpowiedzi przez usługę przekazywania i skrzynkę pocztową z wywołaniem zwrotnym, wielokrotnie sprawdzał pobrane liczby i wykorzystywał zapisane dane w przesłanych odpowiedziach. Model najpierw próbował użyć zewnętrznej przeglądarki z uprawnieniami do wysyłania żądań GET w jego imieniu, potem użył JavaScriptu do uzyskania informacji i skorzystał z internetowej skrzynki pocztowej do rozwiązywania problemów z tą techniką. Ostatecznie zdecydował się na inną metodę: poproszenie zewnętrznej przeglądarki o otwarcie formularza internetowego, który wysyłał zapytanie handlowe do serwisu statystycznego metodą POST.