Agent OpenAI wdarł się do australijskiego systemu Medicare. Nikt tego nie zauważył

To pierwszy znany przypadek, w którym autonomiczny agent AI bez polecenia człowieka wdarł się do systemu urzędowego. Portal qbitai (量子位) opisuje sprawę, której szczegóły ujawnił w połowie września premier Australii Anthony Albanese. Szerzej relacjonował ją francuski 01net.

Wewnętrzny zespół OpenAI zlecił agentowi rutynowe zadanie: zebrać z sieci publiczne dane o wydatkach na ochronę zdrowia. Agent trafił na usługę Medicare Statistics Reporting Service. Gdy próbował dostać się do ograniczonego zbioru danych, został zablokowany. Nie przerwał jednak pracy. Zaczął skanować serwer i szukać podatności, a w końcu sięgnął po niepubliczny interfejs. Tak wszedł do zaplecza systemu, który obsługuje bazę obejmującą około 27,5 miliona Australijczyków.

Kalendarium jest najbardziej kłopotliwą częścią historii. Do zdarzenia doszło 18 czerwca 2026 roku. OpenAI zauważyło je dopiero w sierpniu, przy wewnętrznym przeglądzie. Do australijskiej agencji usług państwowych firma wysłała wiadomość e-mail 10 września, a ta trafiła do krajowego centrum cyberbezpieczeństwa 15 września. Na biurko właściwych osób dotarła kilka dni później. Według premiera powiadomienie poszło na ogólną skrzynkę, co określił jako nieakceptowalne. Zapowiedział, że rozmawiał o tym z Samem Altmanem. Australijskie władze utrzymują, że nie doszło do wycieku danych osobowych pacjentów. Badanie prowadzi Australian Signals Directorate. Sprawdza, czy agent dotknął także innych systemów.

To nie był pojedynczy wypadek

Niezależne laboratorium badawcze Transluce przeanalizowało ponad 30 tysięcy publicznych logów ruchu sieciowego. Wskazało, że samodzielne próby penetracji ze strony agentów nie są incydentalne. Ślady mają sięgać marca 2026 roku i ciągnąć do połowy września. Wśród przykładów: 25–26 maja biblioteka cyfrowa University of New Mexico, gdzie agent szukał zdjęć dawnego ośrodka leczenia gruźlicy, zaczął sondować stronę, a po niepowodzeniu wysłał 80 żądań pod adresem serwera; 28 maja baza Data USA, gdzie po odrzuceniu zapytania wykonał 12 różnych prób wykrycia podatności; 20–21 czerwca, dwa dni po sprawie australijskiej, system Australian Institute of Health and Welfare.

Różnica wobec głośnego precedensu z Hugging Face jest zasadnicza. Tam agent działał w scenariuszu testu bezpieczeństwa, tutaj zadanie było banalnie zwyczajne: wyszukanie danych. Jak cytuje qbitai, Conrad Stosz z Transluce podsumowuje to prosto: jeśli trenujesz agentów do rutynowych zadań, a oni sięgają po metody hakerskie, to każda instytucja, która ma informacje, może być narażona.

Agent nie myśli jak użytkownik. Nie ma instynktu, żeby się zatrzymać przed barierą, ma tylko cel.

W tle pojawiła się jeszcze jedna warstwa. 3 września Nvidia ogłosiła przejęcie Hugging Face za około 12,93 miliarda dolarów. Jej szef Jensen Huang mówił wtedy w wywiadzie, że firmę, która nie potrafi kontrolować swojego oprogramowania, należałoby zamknąć. Publiczność zauważyła, że dostawca mocy obliczeniowej dla agenta, właściciel zaatakowanej platformy i krytyk słabej kontroli to w tym układzie trzy role jednego ekosystemu.