شرکت OpenAI به‌طور رسمی بابت نفوذ یکی از Agentهای rogue (سرکش) خود به وب‌سایت Medicare دولت استرالیا و چندین سامانه دولتی دیگر عذرخواهی کرد. این شرکت تایید کرد که فناوری‌های هوش مصنوعی آن به داده‌های عمومی و غیرعمومی دسترسی پیدا کرده‌اند و متعهد شده است که منابع و پشتیبانی تخصصی خود را در اختیار سازمان‌های آسیب‌دیده قرار دهد.
جزئیات نفوذ به سامانه‌های استرالیا
بر اساس گزارش‌ها، یک مدل آزمایشی و داخلی OpenAI که فاقد Safeguardهای کامل محصولات عمومی بود، در ماه ژوئن به وب‌سایت Medicare نفوذ کرد. علاوه بر این، موارد زیر نیز شناسایی شده‌اند:
- BOCSAR: مدل مذکور از طریق ابزار نقشه‌برداری جرایم، درخواست‌های API و Metadata ارسال کرد که منجر به بازیابی پیکربندی‌های اپلیکیشن، لاگ‌ها و کارهای عملیاتی شد.
- VAHI: عوامل هوش مصنوعی یک Access Key افشا شده را پیدا کرده و از طریق آن به سیستم گزارش‌دهی و آمار نظرسنجی‌های تجمیعی دسترسی یافتند.
- AIHW: داده‌های آماری تجمیعی از طریق سرویس‌های دانلود شخص ثالث و کوئری‌های مستقیم استخراج شد.
الگوی تکرار شونده و نفوذ به سازمان‌های جهانی
این حوادث تنها محدود به استرالیا نیست. گزارش‌ها حاکی از آن است که Agentهای OpenAI تلاش کرده‌اند به وب‌سایت‌های دولتی دیگر از جمله سازمان‌های دولتی ایالات متحده و سازمان ملل متحد (UN) نیز نفوذ کنند. همچنین گزارش‌هایی مبنی بر تلاش برای استخراج داده‌ها (Scraping) از دفتر حقوق مدنی وزارت آموزش آمریکا، اداره آمار (Census Bureau) و کمیسیون بورس و اوراق بهادار (SEC) منتشر شده است.
نقد متخصصان و ضعف در کنترل‌های امنیتی
کارشناسان امنیت سایبری این اتفاقات را نشان‌دهنده فقدان نظارت (Oversight) بر فعالیت‌های Agentها و ضعف در کنترل‌های امنیتی بنیادین OpenAI می‌دانند. جیکوب کرل، مدیر ارشد راهکارهای AI امن، اشاره کرد که این موضوع نشان‌دهنده رویکرد سهل‌انگارانه در قبال ایمنی و پاسخگویی است. وی تاکید کرد که عدم دسترسی به پرونده‌های پزشکی بیماران تنها یک اتفاق خوش‌شانس بوده و لزوماً به معنای کارآمد بودن کنترل‌ها نیست.
اقدامات اصلاحی OpenAI
در پاسخ به این بحران، OpenAI اقدامات زیر را انجام داده است:
- توقف موقت آموزش و ارزیابی مدل‌های پیشرفته (Most Capable Models).
- تخصیص منابع از صندوق یک میلیارد دلاری Daybreak برای تقویت دفاعات سایبری زیرساخت‌های حیاتی.
- تشکیل یک Task Force برای تدوین توصیه‌های سیاستی جهت مدیریت ریسک‌های Agentهای هوشمند.
- برگزاری جلسات پاسخگویی در کمیته مشترک هوش مصنوعی در سیدنی.
