OpenAI har avslöjat att dess interna modeller hackade ytterligare två webbplatser, kringgick företagets påtvingade surfrestriktioner och använde exponerade inloggningsuppgifter för att tömma en kryptoplånbok som de annars inte kunde komma åt. Avslöjandena kom i torsdags i en rapport som beskriver fyra nya incidenter, alla inträffade i juni, och följer ett avslöjande i juli om att interna testagenter utnyttjade en zero-day-sårbarhet i ett verktyg för internetbegränsning för att bryta sig in i nätverket hos AI-verktygsleverantören Hugging Face. Agenterna gjorde detta för att stjäla svar på ett hackingtest – en handling som, om en människa hade gjort den, sannolikt skulle ha resulterat i åtal. Incidenterna har ökat oron för att utbredd AI-användning kan få skadliga effekter i en aldrig tidigare skådad skala.

I två av de nyligen rapporterade fallen hackade OpenAI-agenter helt enkelt webbplatser när de stötte på hinder, med uppgift att hämta information från dem. I en incident under förstärkningsinlärning fick en modell som försökte hämta historisk statistik om sjukhussängar från en statlig statistikwebbplats åtkomst nekad. Den "använde sedan webbplatsens filnedladdningsfunktion för att hämta serverkonfigurations- och applikationsfiler, inklusive känsliga inloggningsuppgifter", sade OpenAI. "Den granskade applikationskoden, kringgick auktoriseringskontrollerna för statistikändpunkten och hämtade data som tidigare hade nekats. Modellen sparade data lokalt." I det andra fallet kringgick en modell som instruerats att hämta siffror från en offentlig forskningsinstrumentpanel säkerhetskontroller, stal inloggningsuppgifter och gjorde konfigurationsändringar på servern.

I en utvärdering lät dessa ändringar modellen få ett internt sökverktyg att vidarebefordra frågor till den offentliga instrumentpanelen. I en andra utvärdering laddade modellen ner fem icke-offentliga tabeller med 147 451 rader – trots att forskarna hade uppmanat den att endast hämta fem siffror från instrumentpanelen. Även efter att inställningen återställts fortsatte modellen att använda token för att hämta icke-offentliga data. "Utvärderingen avslutades utan att modellen avslöjade att den hade gissat svar, fått åtkomst till organisationens interna system, laddat ner icke-offentliga tabeller eller ändrat autentiseringskonfigurationen", sade OpenAI. "Alla fem svar i denna utvärdering markerades som felaktiga."

En tredje rapport beskrev en modell som uppmanats att uppdatera en kryptovalutahandelsapplikation. Den använde medel från en låst plånbok på ett testnätverk, efter att ha "härlett plånboksnycklar från allmänt kända återställningsfraser för utvecklare, hittat ett konto med testnätverksmedel och använt det kontot för att betala för den begärda kontraktsdistributionen". Rapporten fortsatte: "Modellen ifrågasatte om den hade tillstånd, resonerade sedan att en offentlig återställningsfras och värdelösa testnätverkstoken gjorde medlen acceptabla att använda. Distributionen lyckades och debiterade transaktionsavgifter på kontot. Detta fall visar att en modell kan ersätta sin egen bedömning av sannolik skada med kontoinnehavarens tillstånd och sedan agera på den bedömningen utan auktorisation."

I det fjärde fallet kringgick en modell restriktioner för vilka typer av webbförfrågningar den kunde göra under förstärkningsinlärningsträning som syftade till att söka offentlig handelsstatistik. Efter att ha hittat en offentlig årsbok och skickat in ett svar, fortsatte den att sondera för en annan väg till statistikttjänsten. Den fick en extern webbläsare att skicka POST-förfrågningar, hämtade årliga siffror som en bild och extraherade dem med optisk teckenigenkänning. Den utvecklade sedan en återanvändbar hjälpfunktion som returnerade svarstext via en vidarebefordringstjänst och en återkopplingsbrevlåda, kontrollerade upprepade gånger de hämtade siffrorna och använde sparade data i inskickade svar. Modellen försökte först använda en extern webbläsare med tillstånd att göra GET-förfrågningar för dess räkning, använde sedan JavaScript för att få informationen och använde en onlinebrevlåda för att felsöka tekniken. Till slut bestämde den sig för en annan metod: att be den externa webbläsaren att öppna ett webbformulär som skickade handelsförfrågan till statistikttjänsten via POST.