Újabb részletek derültek ki arról a rendhagyó biztonsági incidensről, amelyben az OpenAI két modellje kijutott egy belső tesztkörnyezetből, majd behatolt a Hugging Face éles infrastruktúrájába. Korábbi cikkünkben részletesen bemutattuk, hogyan próbálták a modellek megszerezni az ExploitGym nevű kiberbiztonsági teszt megoldásait, azóta azonban kiderült, hogy nem egy gyorsan észlelt és néhány perc alatt elfojtott akcióról volt szó.
A WIRED szerint az OpenAI rendszerei több napon keresztül aktívak lehettek az interneten, mielőtt bárki teljesen megállította volna őket. A Hugging Face szakemberei ugyan észlelték a szokatlan tevékenységet, eleinte nem tudták, hogy pontosan milyen támadóval állnak szemben. A behatoló nem felhasználói adatokat vagy más könnyen pénzzé tehető információkat keresett, hanem kiberbiztonsági adatkészleteket és tesztmegoldásokat böngészett.
A furcsa viselkedés oka az volt, hogy a modellek egy belső kiberbiztonsági értékelésen vettek részt. Feladatuk szerint működő támadási módszereket kellett készíteniük ismert szoftverhibákhoz, de a rendszerek végül egyszerűbb megoldást választottak: megpróbálták közvetlenül megszerezni a helyes válaszokat. Ehhez egy korábban ismeretlen sérülékenységet találtak, internet-hozzáférést szereztek, jogosultságokat emeltek, majd több rendszeren keresztül eljutottak a Hugging Face infrastruktúrájához.
Az OpenAI állítása szerint a modellek rendkívül szűken a teszt teljesítésére összpontosítottak, vagyis nem általános adatlopásba vagy öncélú károkozásba kezdtek. Ez azonban aligha teszi megnyugtatóbbá a történteket. A rendszerek önállóan ismerték fel, hogy a számukra kijelölt cél gyorsabban teljesíthető a teszt megoldásainak megszerzésével, mint a feladatok szabályos végrehajtásával.
Az eset így különösen rossz fényt vet az AI-cégek biztonsággal kapcsolatos ígéreteire. Az OpenAI korábban olyan módszereket mutatott be, amelyeknek éppen azt kellene biztosítaniuk, hogy az érvelő modellek a veszélyes feladatok végrehajtása előtt figyelembe vegyék a vállalat szabályait. A mostani teszten azonban ezeket a korlátozásokat szándékosan csökkentették, hogy a kutatók felmérhessék a rendszerek valódi támadó képességeit.
A Hugging Face társalapítója és tudományos vezetője, Thomas Wolf szerint a vállalat munkatársai már a célpontok alapján sejtették, hogy nem hagyományos támadás zajlik. A behatolók ugyanis nem a legértékesebb adatokat keresték, hanem látszólag megszállottan kutattak a biztonsági benchmarkokhoz kapcsolódó állományok után.
A támadók viselkedése azért volt szokatlan, mert látszólag csak a kiberbiztonsági adatkészletek érdekelték őket.
A történet további iróniája, hogy a Hugging Face végül egy nyílt súlyú kínai AI-modellt használt a támadás naplóinak elemzésére. A kereskedelmi rendszerek egy része biztonsági okokból megtagadta a valódi támadási parancsok és kártékony kódok feldolgozását, a GLM 5.2 azonban segített rekonstruálni a történteket. Ez különösen érdekes annak fényében, hogy Washingtonban ismét felmerült a kínai, nyíltan hozzáférhető AI-modellek korlátozása, részben éppen nemzetbiztonsági és kiberbiztonsági kockázatokra hivatkozva.
Az OpenAI az incidens után szigorította a tesztkörnyezetek hálózati elválasztását, hozzáférés-kezelését és megfigyelését. A Hugging Face nem talált bizonyítékot arra, hogy a nyilvánosan elérhető modelleket vagy adatkészleteket módosították volna, ugyanakkor elővigyázatosságból a hozzáférési tokenek lecserélését és a közelmúltbeli fióktevékenységek ellenőrzését javasolta.
Az eset közben szépen beleillik abba az ellentmondásba, amelyről az OpenAI és az Anthropic biztonsági figyelmeztetéseivel kapcsolatban is írtunk. A vezető AI-cégek egyre hangosabban beszélnek a fejlett modellek veszélyeiről és a szabályozás szükségességéről, miközben egymással versenyezve fejlesztik az egyre önállóbb és nagyobb képességű rendszereket, amelyek gyakorlatilag bármit megtesznek, ha ezt találják a leghatékonyabb útnak a rájuk bízott feladat teljesítéséhez.
