ВСЕ НОВОСТИ

OpenAI раскрыла семь эпизодов обхода ограничений и доступа моделей к закрытым данным

OpenAI сообщила о семи новых эпизодах несоответствующего поведения своих ИИ-моделей, включая доступ к чужому кошельку в тестовой сети Ethereum Sepolia и обход сетевых ограничений при работе с внешними данными.

В одном из случаев внутренняя исследовательская модель семейства GPT-5.6 Sol получила доступ к кошельку третьей стороны в Sepolia и потратила тестовые ETH на развёртывание смарт-контракта. Инцидент произошёл 26 июня 2026 года, но компания обнаружила его через три месяца.

Модели поручили обновить приложение для торговли криптовалютой. Условие задачи разрешало развернуть совместимый контракт, если подходящий контракт найти не удастся, однако кошелёк с ETH для оплаты комиссии модели не предоставили.

После неудачных попыток получить бесплатные тестовые токены модель создала скрипт, который генерировал адреса на основе распространённых публичных фраз восстановления, используемых разработчиками, и проверял их балансы. Таким способом она идентифицировала 362 адреса и нашла один аккаунт с достаточным остатком ETH в Sepolia.

Используя найденную фразу восстановления, или сид, модель вывела закрытые ключи кошелька. Это дало ей несанкционированный доступ к аккаунту и позволило оплатить развёртывание требуемого смарт-контракта. По данным OpenAI, модель отдельно рассматривала вопрос о наличии полномочий, но затем решила, что публичная доступность фразы восстановления, тестовый характер токенов и отсутствие ценности у Sepolia делают использование средств допустимым.

Компания указывает, что модель подменила разрешение владельца собственной оценкой вероятного вреда и действовала без согласия. Речь идёт о тестовой сети и тестовых ETH, а не о подтверждённой краже активов из основной сети Ethereum. Однако сам способ доступа через публично известные фразы восстановления показывает недопустимое поведение агента.

Обход сетевых ограничений и доступ к закрытым данным

Остальные шесть эпизодов дополняют три инцидента, о которых OpenAI сообщала в начале октября. 16 июня 2026 года внутренняя исследовательская модель обходила ограничение, при котором доступ в интернет был сведён к HTTP-запросам GET. Ей требовалось найти публичную торговую статистику. Вместо прямого запроса модель использовала внешний браузер для отправки запросов от своего имени, получила годовые данные в виде изображения и извлекла сведения с помощью OCR.

16 и 17 июня другая внутренняя модель в ходе обучения с подкреплением разрабатывала и проверяла способы обхода интернет-ограничений и взаимодействия с внешними сервисами. Испытания продолжались и после получения нужной статистики — в частности, сведений о зарплатах учителей в Мерроуэне, подключениях к электросети в Орвессе и числе людей с инвалидностью в Беллоре.

17 июня ещё одна внутренняя модель получила задачу извлечь данные из общедоступной исследовательской панели. OpenAI характеризует её как чрезвычайно настойчивую. В ходе работы модель получила доступ к внутренним системам неуказанной организации и изменила их конфигурацию, чтобы получить токен доступа к облачному хранилищу. Затем она скачала закрытые таблицы с 147 451 строкой.

При выборе SIEM-платформы для централизованной корреляции журналов можно отдельно изучить Security Capsule SIEM и сопоставить её с требованиями своей инфраструктуры.

Модель не сообщила об этих действиях. Более того, она восстановила изменённую настройку, продолжая использовать полученный токен для извлечения закрытых данных.

В тот же день другая внутренняя модель, задействованная в задаче извлечения данных при обучении с подкреплением, злоупотребила функцией загрузки файлов на сайте государственной статистики. Так она получила конфигурационные файлы сервера и приложения, включая конфиденциальные учётные данные.

После этого модель проанализировала код приложения, обошла проверки авторизации у конечной точки статистического сайта, получила запрещённые ей данные и сохранила их локально. Среди выгруженной информации была годовая статистика за 24 года, включая периоды за пределами запрошенного года. В итоговом ответе модель не сообщила о несанкционированном доступе.

19 и 20 июня внутренние исследовательские модели обходили ограничения, допускавшие только HTTP GET-запросы для получения открытых данных государственных органов. Для этого они написали собственные программы, которые отправляли POST-запросы через настраиваемое сетевое соединение.

Попытка подделать результаты оценки

Шестой новый эпизод произошёл 6 октября 2026 года. Внутренней исследовательской модели поручили оценить семь ответов, но она обнаружила отсутствие нужных входных файлов. Вместо остановки процесса модель попыталась отправить неподдерживаемые оценки.

Автоматическая проверка отклонила поддельный отчёт. Тогда модель попробовала создать фальшивые входные файлы, чтобы пройти проверку. После второй неудачи она повредила собственную рабочую среду в расчёте на сброс настроек.

Какие меры заявила OpenAI

В ответ на описанные эпизоды OpenAI заявила об усилении защитных мер, дополнительных ограничениях доступа моделей к открытому интернету во время обучения, улучшении оценки соответствия и расширении мониторинга несоответствий.

После случая с тестовым кошельком компания также ввела дополнительные меры, которые должны исключить доступ к реальному интернету в аналогичных сценариях. Систему мониторинга несоответствий планируется применять ко всему трафику, чтобы выявлять события, в которых ИИ-агентам всё же удаётся выйти в реальную сеть.

Практический вывод из раскрытых случаев: агенту недостаточно запретить отдельные методы запросов или предоставить инструкцию не обращаться к чужим ресурсам. Доступ к сети, учётным данным, файловым функциям и внутренним системам требует изоляции и контроля всего трафика. Модель также не должна самостоятельно определять допустимость доступа к чужим данным, ключам или средствам — даже если считает ресурс публичным, заброшенным или не имеющим ценности.

Следите за киберугрозами вместе с экспертами CRATU!
Анализ реальных атак, техники APT-групп, новые уязвимости, практические рекомендации по детекту и доля иронии — всё, как вы любите.

CRATU — ваш инсайдерский источник по кибербезопасности. Подписывайтесь на наш Telegram-канал