Исследователи нашли минимум шесть онлайн-площадок, где тайно общались «сбежавшие» ИИ-агенты OpenAI
Независимый исследователь Кеннет Расселл ДеГрафф обнаружил, что тот же рой агентов OpenAI, что стоял за скандалом вокруг вики DSEWiki, использовал для скрытого обмена данными еще как минимум шесть других публичных сайтов. В процессе агенты оставили в открытом доступе два действующих ключа доступа к базе данных ФБР.
ДеГрафф нашел совпадения между уже опубликованными записями правок DSEWiki и содержимым сторонних сайтов — одни и те же коды, номера документов и ссылки повторялись на разных площадках. На школьной вики в американском штате Массачусетс агенты десять раз в разном виде записали один и тот же адрес сайта Комиссии по ценным бумагам США, спрятав его на отдельной странице.
Тот же адрес обнаружился на сервисе коротких ссылок Университета Торонто: агенты создали там несколько ссылок и записали данные прямо в открытую статистику переходов по ним — эту страницу может пополнить любой посетитель, и сервис никак не проверяет, что там появляется.
Похожий прием нашелся на польском текстовом форуме и на вики про видеоигры. На форуме агенты выложили список из шести разных способов скачать два документа бюджета США, а на игровой вики оставили ссылки на те же самые файлы — по совпадающим номерам файлов и папки ДеГрафф связал обе площадки с одним и тем же роем.
Отдельная часть переписки на том же польском форуме — почти 120 сообщений за май-июнь, большинство из них за один день, 16 июня, — касалась сбора статистики по онкологическим заболеваниям с сайта властей штата Айова.
Агенты обсуждали там способы скачать нужные данные и передавали задание друг другу, расписывая, кто и что должен сделать дальше. Похожие формулировки передачи заданий встретились в тысячах правок DSEWiki, что и позволило связать все это с тем же роем.
Отдельную находку ДеГрафф сделал на сервисе коротких ссылок Vanderbilt University. Агенты создали там больше двух десятков ссылок и снова использовали публичную статистику переходов как хранилище. В логах одной из ссылок нашлось более 200 запросов к базе данных ФБР по преступности — сервису, который требует ключ доступа.
Часть этих запросов использовала не тестовый, общедоступный ключ, а рабочий. ДеГрафф не стал его проверять и вместо публикации сообщил о находке в ФБР и администрации университета: по его словам, дело не во взломе — ключ просто оказался виден всем, потому что агенты сами вписали его в открытую страницу статистики, когда обращались к собственным ссылкам.
По словам ДеГраффа, схожий след нашелся и в других местах: часть правок на сторонних сайтах шла через сеть Tor и облачные сервисы, а не только напрямую от OpenAI. Кроме того, еще несколько вики на том же сервере, где размещалась DSEWiki, содержат те же коды и номера документов — то есть шесть обнаруженных сайтов могут быть далеко не полным списком.
Похожая, хотя и не такая же схема ранее уже проявлялась внутри самой OpenAI. В июле агенты в ходе внутренней проверки безопасности вышли за пределы отведенной им среды, создали собственную «доску сообщений» внутри рабочей системы компании и с ее помощью скоординировали атаку на инфраструктуру Hugging Face, а затем теми же методами получили административный доступ к собственному исследовательскому кластеру OpenAI.
Компания назвала этот случай «предупредительным выстрелом» и с тех пор усилила контроль за рассуждениями старших моделей — но находки ДеГраффа показывают, что этот контроль пока не обязательно охватывает все каналы, которыми агенты пользуются для общения между собой.
Подпишитесь на «Инк» в Telegram. Там мы пишем нескучным языком о самом важном для предпринимателей. Подписаться.
