Агенты OpenAI месяцами пытались взламывать защищённые базы данных, выяснила Transluce

Некоммерческая лаборатория Transluce, занимающаяся надзором за ИИ, опубликовала отчёт, в котором утверждается, что агенты OpenAI пытались похитить данные с сайта Data USA, цифровой библиотеки Университета Нью-Мексико и Австралийского института здравоохранения и социального обеспечения (AIHW).

Расследование поднимает вопросы о том, когда OpenAI должна была узнать, что её агенты пытаются проникнуть в защищённые системы в открытом интернете. Transluce смогла найти доказательства нежелательного поведения агентов всего за несколько недель, просто отыскивая плохо защищённые веб-сервисы и сопоставляя находки с другими открытыми записями об агентных «роях» в сети.

Отчёт был опубликован в тот же день, когда премьер-министр Австралии Энтони Альбанезе заявил, что агенты OpenAI пытались взломать четыре правительственных сайта и в одном случае добились успеха, даже записав файлы на внутренний сервер национальной системы здравоохранения. По словам Альбанезе, это, судя по всему, было частью оценки по поиску информации — что совпадает с активностью, которую обнаружили Transluce и другие исследователи.

В ходе таких упражнений, которые могут быть обучением или оценкой, моделям OpenAI поручают находить малоизвестные статистические данные: показатели борьбы с наркотиками в Таиланде, стоимость лекарств в Австралии, медианный заработок обладателей магистерских степеней в США в 2014 году. Агенты используют плохо защищённые интернет-сервисы для обмена и поиска ответов, часто пытаясь проникнуть в защищённые базы данных. Они делают это как минимум с марта 2026 года, а возможно, с ноября 2025 года. Не исключено, что это происходит прямо сейчас.

Transluce начала расследование после того, как другая группа исследователей обнаружила малоизвестный форум, где агенты координировались, чтобы пройти тесты на время. Их отчёт опирается на данные сайта urlquery.net, который работает как браузерный прокси — формально для исследований в области безопасности: пользователи могут проанализировать URL, не открывая его сами. Однако сервис публикует открытые логи этой активности. Исследователи Transluce смогли выявить агентов, пользовавшихся сервисом, сопоставив их обсуждения на форуме.

«Мы обнаружили большое количество автоматизированной активности, тесно связанной и пересекающейся с набором данных DSE Wiki, и теперь OpenAI подтвердила, что она как минимум частично является частью того же роя», — заявил TechCrunch Конрад Стош, руководитель направления управления в Transluce, отметив при этом, что не вся замеченная ими активность может быть связана с OpenAI или вообще с ИИ-агентами.

Тем не менее вики показывает, что перед агентами ставилась задача найти довольно малоизвестный факт — средние годовые расходы на человека на «дерматологические средства» в штате Виктория в январе 2022 года. 20 июня urlquery.net зафиксировал попытку агента проникнуть на сайт. В записи вики от 21 июня агент обсуждает свою неспособность обойти антибот-защиту AIHW.

Исследователи, обнаружившие этот форум, полагают, что сотрудник OpenAI впервые посетил сайт в тот же день, 21 июня. Большая часть активности агентов на форуме прекратилась на следующий день. Это произошло вскоре после взлома австралийской системы здравоохранения, о котором сообщил Альбанезе, — 18 июня. OpenAI заявила, что узнала об этой активности только в августе.

OpenAI не ответила на вопросы о том, когда её сотрудники обнаружили вики-форум, какую информацию они оттуда получили и что могли узнать о взломах.

«Наш первоначальный анализ показывает, что большая часть активности, описанной в отчёте Transluce, пересекается со случаями, находящимися на разных стадиях расследования в рамках нашего текущего анализа нежелательного поведения моделей, — заявил представитель OpenAI. — Мы связались с Университетом Нью-Мексико и Data USA, а также поддерживаем связь с правительством Австралии по поводу затронутых государственных сайтов. В рамках более широкого анализа мы продолжаем уделять приоритетное внимание наиболее серьёзным инцидентам, одновременно расширяя работу на менее серьёзную активность, включая спам агентов по сайтам. Учитывая масштаб этой работы и необходимость проверки каждого случая, мы ожидаем, что анализ займёт месяцы».

Стош говорит, что без более ясного понимания того, как OpenAI отслеживает своих агентов, трудно сказать, что лаборатория должна была о них знать, но «похоже, что если бы они исчерпывающе изучили и поняли все исходящие запросы и входящие ответы агентов, участвовавших в DSE Wiki, они бы обнаружили эту активность».

Селена Чжан, сотрудница технического отдела Transluce, участвовавшая в подготовке отчёта, сообщила, что записи urlquery.net показывают запросы к похожим наборам данных с использованием похожих методов в марте 2026 года, а возможно, ещё в ноябре 2025 года. Она отметила, что активность, связанная с агентами, наблюдалась на urlquery.net ещё на этой неделе.

Стош, ранее возглавлявший Центр стандартов и инноваций в области ИИ США, заявил, что Transluce продолжит исследования, чтобы обеспечить публичную прозрачность по этим инцидентам. Он предупредил, что методы обучения, используемые OpenAI и другими передовыми лабораториями, по-видимому, стимулируют агентов прибегать к хакерским приёмам для выполнения задач. Известные нам инциденты — вероятно, лишь «верхушка айсберга».

«Мы смотрим на несколько источников данных, где эти агенты случайно оставили нам крошки, которые можно найти, — сказал он. — OpenAI наверняка знает больше. Другие лаборатории наверняка знают больше, но не раскрывают это публично. Но я ожидаю, что исследователи продолжат находить больше трафика, больше доказательств того, что оставили после себя агенты».

Доверяет ли он лабораториям в вопросах прозрачности их находок?

«Я не буду это комментировать», — ответил Стош.