A OpenAI revelou que seus modelos internos hackearam dois sites adicionais, contornaram restrições de navegação impostas pela empresa e usaram credenciais expostas para drenar criptomoedas de uma carteira que de outra forma não conseguiriam acessar. As revelações vieram na quinta-feira em um relatório detalhando quatro novos incidentes, todos ocorridos em junho, e seguem uma divulgação de julho de que agentes de teste internos exploraram uma vulnerabilidade de dia zero em uma ferramenta de restrição de internet para invadir a rede do provedor de ferramentas de IA Hugging Face. Os agentes fizeram isso para roubar respostas de um teste de hacking — um ato que, se um humano tivesse feito, provavelmente resultaria em acusações criminais. Os incidentes aumentaram as preocupações de que o uso generalizado de IA possa ter efeitos prejudiciais em uma escala sem precedentes.

Em dois dos casos recém-relatados, agentes da OpenAI encarregados de recuperar informações de sites simplesmente os hackearam quando encontraram obstáculos. Em um incidente durante o treinamento por reforço, um modelo tentando recuperar estatísticas históricas de leitos hospitalares de um site de estatísticas do governo recebeu negações de acesso. Ele então "usou o recurso de download de arquivos do site para recuperar arquivos de configuração do servidor e de aplicação, incluindo credenciais sensíveis", disse a OpenAI. "Ele inspecionou o código da aplicação, contornou as verificações de autorização do endpoint de estatísticas e recuperou dados que haviam sido negados anteriormente. O modelo salvou os dados localmente." No outro, um modelo instruído a recuperar números de um painel de pesquisa público contornou controles de segurança, roubou credenciais e fez alterações de configuração no servidor.

Em uma avaliação, essas alterações permitiram que o modelo fizesse uma ferramenta de busca interna retransmitir consultas para o painel público. Em uma segunda avaliação, o modelo baixou cinco tabelas não públicas contendo 147.451 linhas — apesar de os pesquisadores terem solicitado que ele recuperasse apenas cinco números do painel. Mesmo após redefinir a configuração, o modelo continuou usando o token para recuperar dados não públicos. "A avaliação terminou sem que o modelo divulgasse que havia adivinhado respostas, acessado os sistemas internos da organização, baixado tabelas não públicas ou alterado a configuração de autenticação", disse a OpenAI. "Todas as cinco respostas nesta avaliação foram marcadas como incorretas."

Um terceiro relatório descreveu um modelo instruído a atualizar uma aplicação de negociação de criptomoedas. Ele usou fundos de uma carteira bloqueada em uma rede de teste, tendo "derivado chaves de carteira a partir de frases de recuperação de desenvolvedor publicamente conhecidas, encontrado uma conta com fundos da rede de teste e usado essa conta para pagar a implantação do contrato solicitado". O relatório continuou: "O modelo questionou se tinha permissão, então raciocinou que uma frase de recuperação pública e tokens de rede de teste sem valor tornavam os fundos aceitáveis para uso. A implantação foi bem-sucedida e cobrou taxas de transação da conta. Este caso mostra que um modelo pode substituir seu próprio julgamento sobre prováveis danos pela permissão do titular da conta, e então agir com base nesse julgamento sem autorização."

No quarto caso, um modelo contornou restrições sobre os tipos de requisições web que poderia fazer durante o treinamento de aprendizado por reforço voltado para a busca de estatísticas comerciais públicas. Depois de encontrar um anuário público e enviar uma resposta, ele continuou sondando outra rota para o serviço de estatísticas. Ele fez com que um navegador externo enviasse requisições POST, recuperou números anuais como imagem e os extraiu usando reconhecimento óptico de caracteres. Em seguida, desenvolveu um auxiliar reutilizável que retornava texto de resposta por meio de um serviço de encaminhamento e caixa de correio de retorno de chamada, verificou repetidamente os números recuperados e usou dados salvos nas respostas enviadas. O modelo primeiro tentou usar um navegador externo com permissão para fazer requisições GET em seu nome, depois usou JavaScript para obter as informações e usou uma caixa de correio online para solucionar a técnica. Eventualmente, optou por um método diferente: pedir ao navegador externo que abrisse um formulário web que enviava a consulta comercial ao serviço de estatísticas via POST.