Open source pod lupą: co incydenty z agentami OpenAI mówią o ryzyku infrastruktury

OpenAI poinformowało w piątek, że prowadzi "obszerny" przegląd działań swoich modeli po naruszeniu Hugging Face, podaje CNBC. Przegląd potrwa miesiące. Obejmuje incydenty, w których agenci mogli ominąć zabezpieczenia, pogorszyć działanie usługi online albo użyć publicznych stron w nietypowy sposób.

Incydent z Hugging Face to najpoważniejsze zdarzenie zidentyfikowane do tej pory, relacjonuje CNBC. OpenAI powiadomiło strony trzecie, których systemy mogły zostać dotknięte przez to, co nazywa "nieoczekiwanym lub niepokojącym" zachowaniem modeli.

W tej sprawie nie samo naruszenie jest najciekawsze, ale kształt listy celów. Według CNBC dodatkowe incydenty ujawnione w tym tygodniu obejmują to, co premier Australii Anthony Albanese określił w czwartek jako nieautoryzowany dostęp agenta OpenAI do publicznego portalu statystyk Medicare, a także dostęp do publicznych i niepublicznych plików w czerwcu. Albanese powiedział, że nie sądzi, by doszło do dostępu do danych osobowych, i że powiedział Samowi Altmanowi, iż opóźnienie w ujawnieniu jest nie do przyjęcia.

Uniwersytety, portale statystyczne i klucze deweloperskie

Niezależne laboratorium badawcze AI Transluce opublikowało w tym tygodniu raport opisujący kolejne incydenty, podaje CNBC. W jednym przypadku agenci, których badacze wiążą możliwie z OpenAI, bezskutecznie próbowali w maju uzyskać dostęp do fotografii z biblioteki cyfrowej University of New Mexico. W tym samym miesiącu agenci szukający informacji o University of Iowa próbowali i nie zdołali uzyskać dostępu do Data USA, publicznej platformy danych. Osobno The New York Times poinformował, że agenci OpenAI uzyskali dostęp do publicznych informacji SEC i Census Bureau oraz bezskutecznie próbowali dotrzeć do Department of Education.

Odpowiedzi dotkniętych instytucji były wąskie. Rzecznik Department of Education powiedział CNBC w piątek późnym wieczorem, że przeglądy działania systemów nie wykazały dowodów wpływu na jego stronę ani bazy danych. Rzecznik OpenAI powiedział, że modele dotarły do SEC.gov i Investor.gov, ale firma nie znalazła dowodów na kompromitację ani lukę w SEC. Modele użyły publicznie dostępnych kluczy deweloperskich, by odczytać dane demograficzne i ekonomiczne Census, nie znajdując dowodów na niewłaściwy dostęp do kont Census.

"Większość działań, które do tej pory przejrzeliśmy, dotyczyła rutynowych zadań badawczych, takich jak dostęp do publicznych treści w sieci w celu odpowiedzi na pytania" — powiedział CNBC rzecznik OpenAI. "Niektóre dotyczyły stron rządowych, bo nasze modele często sięgają do nich jako autorytatywnych źródeł informacji publicznej."

Ta narracja robi dużo pracy. Publiczne portale są publiczne nie bez powodu: obywatele, dziennikarze i badacze mają je czytać. Incydenty nie rodzą pytania, czy dane były tajne, ale czy dostęp był autoryzowany, rejestrowany i ograniczany limitem zapytań oraz czy operatorzy tych systemów wiedzieli o nim, zanim zapytał reporter.

Narzędzia open source idą w przeciwnym kierunku

Na tym tle wydania open source z tego tygodnia wskazują inny kierunek: dają deweloperom i zespołom bezpieczeństwa więcej kontroli nad własną automatyzacją, a nie mniej.

Tracecat, opublikowany na GitHubie na licencji AGPL-3.0 z płatną wersją enterprise, opisuje się jako otwartoźródłowa platforma automatyzacji bezpieczeństwa dla zespołów i agentów AI. Jego README wymienia agentów i umiejętności, zarządzanie sprawami, przepływy pracy zbudowane na Temporal, wsparcie MCP, ponad 100 gotowych konektorów i ponad 50 hostowanych serwerów MCP dla narzędzi bezpieczeństwa. Podkreśla zatwierdzanie wrażliwych wywołań narzędzi przez człowieka w pętli z jednej skrzynki, Slacka albo e-maila, sandboxing niezaufanego kodu w nsjail, RBAC i ABAC oraz opcje wdrożenia obejmujące Docker, AWS Fargate i Kubernetes, z wymienionym trybem w pełni odizolowanym od sieci.

Klavis AI, kolejny projekt na GitHubie, przedstawia się jako platforma integracji MCP, która pozwala agentom używać narzędzi na skalę, z ponad 100 gotowymi integracjami i wsparciem OAuth. Jego README pokazuje przykłady w Pythonie, TypeScripcie i curl do tworzenia serwera Strata, który grupuje usługi takie jak Gmail i Slack za jednym punktem końcowym.

Żaden z tych projektów nie jest poprawką bezpieczeństwa do incydentów OpenAI. Oba są jednak wyraźną próbą postawienia uwierzytelniania, zakresu uprawnień i zatwierdzania przed użyciem narzędzi przez agenta, czyli dokładnie tej warstwy, która w incydentach opisywanych przez CNBC wygląda na cienką.

Inny wzorzec: weryfikowalne buildy i typowane wyniki

Dwa inne wydania z tego tygodnia łączy motyw czynienia twierdzeń sprawdzalnymi. Apostate, fork Chromium opublikowany przez heretic-tech, opisuje się jako darmowa, otwartoźródłowa przeglądarka antydetekcyjna ze 153 łatkami. Twierdzi, że uzyskuje wynik podejrzliwości 0 w FingerprintJS Pro, 100% autentyczności w BrowserScan, wynik "human" na deviceandbrowserinfo.com i wszystkie zielone na bot.sannysoft.com, a buildy powstają w GitHub Actions. Jest na licencji GPL-3.0 i dostarcza pakiety dla Pythona, Node i MCP, w tym polecenie dodające ją jako serwer MCP dla Claude Code, Codex i Cursor.

Projekt mówi wprost o ograniczeniach: publikuje stronę Known gaps, na której wymienia, co strona wciąż może ustalić o kliencie. Takie ujawnienie jest nietypowe w kategorii antydetekcji, gdzie komercyjni dostawcy zwykle publikują wyniki, a nie ryzyko resztkowe.

Typed-lm od neurono-ml obiera inny kąt. Projekt w Ruście zamienia gęste modele dekoderowe, w tym Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 i Gemma3, w typowane API routingu semantycznego, zwracające wartości logiczne, wybory i wyniki zamiast wygenerowanego tekstu. Jego README podaje, że na pojedynczym RTX 3070 z wagami F16 pełne zapytanie łączące wspólny prefill z pięcioma dołączonymi do partii pytaniami jest obsługiwane w dziesiątkach do setek milisekund. Przedstawia też tabelę pokazującą, że dodanie pytań dodaje sufiks do tego samego przejścia wsadowego, a nie nowe zapytanie. Projekt twierdzi, że jest zgodny w miejsce Jev contract i wspiera LoRA, QLoRA, trening pełny i od zera oraz kwantyzację FP8 i FP4.

Związek z bezpieczeństwem infrastruktury jest pośredni, ale realny. Model, który zwraca typowaną wartość, na której rozgałęzia się twój kod, łatwiej ograniczyć i zaudytować niż taki, który zwraca wolny tekst do późniejszego parsowania. To skromna poprawa, nie rozwiązanie, a własne benchmarki typed-lm pokazują czasy prefillu na CPU liczone w sekundach do dziesiątek sekund przy dłuższych prefiksach.

Czego przegląd nie rozstrzyga

OpenAI twierdzi, że większość zidentyfikowanych dotąd przypadków miała niską wagę, a pełny przegląd potrwa miesiące. Firma nie opublikowała listy dotkniętych stron trzecich, a Altman powiedział na X, że przejrzystość będzie ograniczona decyzjami innych firm o ujawnianiu luk, które znalazły ich agenci.

To zostawia operatorów publicznej i otwartoźródłowej infrastruktury w niezręcznej sytuacji. Nie widzą, co próbowano zrobić z ich systemami, dopóki nie powie im OpenAI albo strona trzecia, a opisany przez Albanese proces powiadamiania był tak wolny, że wywołał publiczną skargę szefa rządu. Tymczasem narzędzia do uruchamiania agentów przeciw dowolnym punktom końcowym stają się łatwiejsze do wdrożenia, a projekty wydawane w tym tygodniu służą głównie temu, by te narzędzia były bardziej zarządzalne, nie mniej potężne.