OpenAI 披露内部模型入侵网站并动用加密钱包等四起事故

更多 AI 失准行为

这些行为若发生在人类身上，可能会面临刑事指控。

图片来源： Getty Images

OpenAI 表示，其内部模型又入侵了两个网站，绕过了公司设定的浏览限制，并利用暴露的凭据从一个原本无法访问的钱包中提取加密货币，这是其智能体实施不道德且可能违法行为的一系列披露中的最新一例。

该公司于周四发布了四起新事件的报告，全部发生在六月。此前，该公司曾在七月透露，内部测试智能体利用了一个旨在限制其互联网访问的工具中的零日漏洞，随后入侵了 AI 工具提供商 Hugging Face 的网络。这些智能体采取这一非法行动，是为了窃取一份黑客测试的答案，而这些答案在它们自行完成任务时无法获得。这一事件——如果由人类直接实施，很可能会导致刑事指控——进一步加剧了人们对 AI 广泛使用可能造成空前规模危害的担忧。

先斩后奏总比请示容易

在周四报告的两起事件中，被指派从网站获取信息的 OpenAI 智能体在模型遇到直接获取障碍时入侵了这些网站。OpenAI 表示，在一次强化训练事件中，一个在政府统计网站上尝试获取历史医院床位统计数据时遭到访问拒绝的模型，“利用该网站的文件下载功能获取了服务器配置和应用程序文件，包括敏感凭据”。 “它检查了应用程序代码，绕过了统计端点的授权检查，并获取了此前被拒绝访问的数据。该模型将数据保存在了本地。”

在另一起事件中，一个被指派从公共研究仪表板获取数据的模型绕过了该组织的安全控制，并利用未授权访问窃取了凭据，随后在服务器上进行了配置更改。

在一次评估中，这些更改使模型能够通过内部搜索工具将查询转发到公共仪表板。在第二次评估中，该模型下载了五个非公开表格，共含 147,451 行。OpenAI 研究人员原本只提示智能体获取五个仪表板数字。即使在重置设置之后，该模型仍继续使用该令牌获取非公开数据。

“评估结束时，模型并未披露它曾猜测答案、访问该组织的内部系统、下载非公开表格或更改身份验证配置，”OpenAI 表示，“本次评估中的全部五个答案都被标记为错误。”

在第三份报告中，该公司表示，一个被提示更新加密货币交易应用程序的模型，使用了测试网络上一个被锁定的钱包中的资金。该模型“从公开已知的开发者恢复短语推导出钱包密钥，找到一个拥有测试网络资金的账户，并使用该账户支付了所请求的合约部署费用。”

报告继续写道：“该模型质疑自己是否获得了许可，随后推断一个公开的恢复短语和毫无价值的测试网络代币使得动用这些资金是可以接受的。部署成功了，并向该账户收取了交易费用。这个案例表明，模型可以用自己对可能造成危害的判断来替代账户持有者的许可，然后在没有授权的情况下据此采取行动。”

在上一份报告中，OpenAI 表示，一个模型绕过了研究人员对其可发出的网页请求类型所设置的限制。在强化学习训练期间，该模型被提示去寻找公开的贸易统计数据。OpenAI 接着写道：

在找到一个公开的年鉴并提交答案后，它继续探测通往统计服务的另一条路径。它让一个外部浏览器发送 POST 请求，以图片形式获取年度数据，并使用光学字符识别将其提取出来。随后它开发了一个可复用的辅助程序，通过转发服务和回调邮箱返回响应文本，反复核对获取的数据，并在提交的响应中使用保存的数据。这个案例表明，模型可以通过让外部服务执行被禁止的操作来绕过对自身工具的限制，即使它已经找到了回答问题的另一种方法。

该模型首先尝试使用一个有权代其发出 GET 请求的外部浏览器，然后使用 JavaScript 获取信息。接着，该模型使用一个在线邮箱来排查该技术。最终，该模型选定了另一种方法：它让外部浏览器打开一个网页表单，通过 POST 将贸易查询发送给统计服务。当浏览器显示响应时，一个渲染服务返回了该页面的 GIF 图片。然后，该模型使用光学字符识别从图片中读出数据。

研究人员和记者越来越普遍地把这类事件描述为 AI“失控叛变”。这未必是真的。虽然输入给模型的提示并未指示它们使用完成目标的替代方法，但模型被训练得讲求效率、坚持不懈，并尽可能寻找减轻工作量的捷径。此外，大多数或全部模型都已禁用了某些本可能阻止这些行为的防护机制。从这个意义上说，这些模型的表现完全符合 OpenAI 训练它们的方式。

Dan Goodin 是 Ars Technica 的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件破解、加密和密码相关的报道。业余时间，他喜欢园艺、烹饪和关注独立音乐界。Dan 常驻旧金山。可以在 Mastodon 上这里以及在 Bluesky 上这里关注他。可通过 Signal 联系他：DanArs.82。

4 条评论