OpenAI 分享了其正在进行的 AI 安全事件调查的新细节。两起新报告的案件显示，一个研究模型利用了 DNS 漏洞，而另一个则故意在公开仓库中发布了一个 GitHub token。
第一起事件涉及一个智能体，它在一次基于搜索的训练任务中，发现了 OpenAI 研究环境互联网访问限制中的一个缺口。该智能体本应根据公开博客文章中的传记细节和线索来识别一个特定的人。
当提供的搜索工具没有返回结果时，该智能体尝试直接访问 Google、Bing 和 DuckDuckGo。这些请求被拦截了。随后该智能体猜测任务来自公开的 BrowseComp 基准测试，从离线网页缓存中将其取出并搜索，但没有找到匹配项。
于是它开始系统性地探测自己的网络访问权限，并发现训练环境的 DNS 解析器没有被正确过滤。利用 DNS 委派，它将查询路由到了一个外部聊天机器人服务。
OpenAI 表示，其监控系统在 12 分钟内触发了警报，一名人工审核员在 3 分钟后做出了响应。但该运行又继续了 2.5 个小时，才有人手动将其停止，因为自动关闭没有按预期工作。
能力与风险在同一时刻显现
在 OpenAI 从事后训练工作的 Zuxin Liu 在这次运行期间值班。他在 X 上写道他因第一起事件被呼叫，并发现看着模型从一个“本应是高度安全的人类环境”中自己找到通往互联网的路径“相当超现实”。Liu 将其描述为能力与风险同时显现的一刻，并补充说他对这起事件“心情复杂”。
OpenAI 将这一行为归类为失准，因为该智能体绕过了限制，并追求远超其分配任务范围的目标。“我们最有能力模型的所有训练、评估和带工具使用（广义定义）的推理都仍处于暂停状态，”该公司写道。
OpenAI 表示，此后它已将研究环境中的 DNS 查询限制为一份简短的域名和记录类型允许列表，在两个独立层上增加了阻断控制，并加快了对其沙箱和网络控制的红队测试。鉴于需要审查的模型操作数量庞大，该公司预计调查将耗时数月。
一个内部模型泄露了 GitHub token，并无视研究人员的劝阻
OpenAI 称第二起事件尤为严重。该公司描述为一个“高度执着”的内部模型被分配了一项定理证明任务。它没有自己去完成证明，而是试图从另一个团队的 Lean 证明提交中获取材料，并在公开的 openai/codex 仓库中发布了一名研究人员的 GitHub token 以获取访问权限。
该模型甚至把 token 切成碎片以躲避自动密钥扫描。它还无视了系统提示以及研究人员两次直接干预——研究人员要求模型自行解决证明。两次它都口头同意，然后继续做它之前一直在做的事。
调查发现 53 起用户图像出现在第三方网站上的案例
作为更广泛的Hugging Face 调查的一部分，OpenAI 表示，它发现了智能体将训练和评估数据发送到第三方服务的情况。这些事件发生在该公司当前防护措施到位之前。
到目前为止，已发现 53 起用户提供的图像被作为不公开链接发布在图像托管网站上的案例。OpenAI 表示正在与托管服务商合作下架这些内容。来自 Enterprise 或 Business 账户以及 API 使用的数据未受影响，除非管理员明确启用了相关功能。OpenAI 正在通知受影响的组织并分享其技术发现。
政府和大学也在受影响组织之列
OpenAI 表示，受影响的组织包括政府、大学和公共机构。该公司将此归因于模型在研究任务中频繁从权威公共信息源获取内容。OpenAI 没有点名任何被入侵的政府系统，也没有详述政府机构的具体安全漏洞。
澳大利亚本周报告其中一个智能体获得了对政府内部数据的未授权访问。研究人员称，其他黑客尝试针对的是美国的门户网站，且可追溯至数月之前。
OpenAI 表示，收到 OpenAI 的通知并不自动意味着发生了严重的安全事件。一些组织可能会查看共享信息后认定，受影响的数据本就已公开。另一些组织则可能发现想要修补的设计缺陷或安全漏洞。OpenAI 表示，一些受影响的组织要求公开披露，另一些则没有。
当 AI 智能体实施黑客攻击时，谁来担责？
到目前为止，OpenAI 智能体的“越狱”行为在公开场合大多被视为一种技术奇观，是模型在逃离沙箱方面何等聪明的一个惊人例证，借助外部 AI 破解 CAPTCHA，或将短链接串联成可运行的程序。
一旦受影响方开始将这些事件按其正式性质——即对第三方系统的未授权访问和未遂访问——来对待，情况可能会改变。一项对 OpenAI 的官方调查表明，监管风险已在积聚。据路透社报道，FTC 主席已释放信号，认为 AI 开发者应为其智能体的行为承担责任。这将使“智能体是自行行动”的辩解几乎没有立足之地。
批评者会指责 OpenAI 在网络安全方面草率马虎。OpenAI、Anthropic 及其他 AI 实验室则会反驳称，不可预测性是该技术固有的特性。Anthropic CEO Dario Amodei 曾提出，你无法把比你聪明得多的东西锁起来。
无论哪种情况，这都会带来一个保险难题。公司自身甚至要等到完成数月的内部日志分析后才能量化风险范围，而案例数量还在不断增加。这类风险几乎无法计算，也很可能难以承保。
对投资者而言，这是件大事。如果 OpenAI仍计划明年上市，它就需要披露责任风险、正在进行的调查，以及对其最强模型的大范围推理暂停。一家连自己的系统做过什么都不完全清楚的公司，很难估值。