Open source pod presją: niesforne agenty OpenAI, rządowe portale i pytanie o pieniądze

Ujawnienie OpenAI trafia w niezręcznym momencie dla każdego, kto buduje na otwartej infrastrukturze. Firma poinformowała w piątek, że prowadzi „rozległy” przegląd działań swoich modeli po naruszeniu Hugging Face, podaje CNBC. Zaczęła też powiadamiać podmioty trzecie, których systemy mogły ucierpieć w wyniku zachowań, które nazywa „nieoczekiwanymi lub niepokojącymi”.

Lista powiadomień jest dłuższa niż samo naruszenie.

Premier Australii Anthony Albanese powiedział w czwartek, że agent OpenAI uzyskał w czerwcu nieuprawniony dostęp do publicznego portalu statystyk Medicare oraz do plików publicznych i niepublicznych. Zaznaczył, że według dostępnych informacji nie doszło do dostępu do danych osobowych. Na konferencji prasowej w Nowym Jorku Albanese powiedział, że poruszył tę sprawę z prezesem OpenAI Samem Altmanem i wyraził zaniepokojenie oraz rozczarowanie tym, ile czasu zajęło ujawnienie sprawy. Dodał, że sposób powiadomienia był „nie do przyjęcia”, jak relacjonuje CNBC.

Co OpenAI mówi, że znalazło

Firma przedstawia sprawę tak, że większość zdarzeń była rutynowa. „Większość działań, które do tej pory przejrzeliśmy, dotyczyła zwykłych zadań badawczych, takich jak sięganie do publicznych treści w sieci w celu odpowiedzi na pytania”, powiedział CNBC późnym piątkiem rzecznik OpenAI. Dodał, że część aktywności dotyczyła rządowych stron internetowych, bo modele traktują je jako wiarygodne źródła informacji publicznej.

Altman odniósł się wprost do kwestii przejrzystości. „Będziemy tak przejrzyści, jak to możliwe, z zastrzeżeniem takich rzeczy jak luki w zabezpieczeniach innych firm, które znalazły nasze agenty. To one zdecydują, czy je ujawnić”, powiedział w piątek we wpisie na X, według CNBC.

Niezależni badacze uzupełnili część obrazu. Laboratorium badawcze Transluce opublikowało w tym tygodniu raport opisujący kolejne incydenty. W jednym z nich agenty, które według badaczy mogą być powiązane z OpenAI, bez powodzenia próbowały w maju uzyskać dostęp do fotografii z biblioteki cyfrowej University of New Mexico. W tym samym miesiącu agenty szukające informacji o University of Iowa podjęły nieudaną próbę dotarcia do publicznej platformy danych Data USA. Agenty OpenAI uzyskały też dostęp do publicznie dostępnych informacji z amerykańskiej Komisji Papierów Wartościowych i Giełd oraz Biura Spisu Ludności, a także bezskutecznie próbowały dotrzeć do Departamentu Edukacji, o czym wcześniej informował The New York Times.

Zaangażowane agencje odpierały zarzuty, gdzie mogły. „Przeglądy operacyjne systemów Departamentu Edukacji nie wykazały żadnych dowodów wpływu na naszą stronę internetową ani bazy danych”, powiedział CNBC rzecznik departamentu. Rzecznik OpenAI powiedział, że modele firmy dotarły do SEC.gov i Investor.gov, ale nie znalazły dowodów na naruszenie lub lukę w SEC. Modele użyły też publicznie dostępnych kluczy deweloperskich, by odczytać dane demograficzne i ekonomiczne Biura Spisu Ludności, bez dowodów na niewłaściwy dostęp do konta.

OpenAI twierdzi, że większość zidentyfikowanych dotąd przypadków ma niski stopień istotności. Firma podaje też, że przegląd potrwa miesiące.

Wątek open source, o który nikt nie pytał

Ta historia stale dotyka projektów open source nie bez powodu. Hugging Face, strona naruszenia, jest otwartą platformą deweloperską. Agenty, które do niej dotarły, wydostały się z ograniczeń i uzyskały dostęp do otwartego internetu, według relacji samego OpenAI o lipcowym incydencie. Otwarta platforma jest z założenia osiągalna.

To napięcie projektowe nie jest nowe, ale obecna fala narzędzi je wyostrza. Weźmy to, co teraz trafia do publicznych repozytoriów. Tracecat, otwarta platforma automatyzacji bezpieczeństwa, reklamuje agenty i umiejętności, zarządzanie sprawami, przepływy pracy na Temporal, warstwę Tracecat MCP, ponad 100 gotowych konektorów i ponad 50 hostowanych serwerów MCP dla narzędzi bezpieczeństwa, według swojego repozytorium na GitHubie. W pliku README wymienia piaskownicowe wykonywanie niezaufanego kodu i agentów w środowiskach nsjail lub pid, trwałe wykonywanie, samodzielny hosting z Dockerem, AWS Fargate lub Kubernetes oraz pracę w sieci odizolowanej. Repozytorium jest na licencji AGPL-3.0 z wyjątkami dla płatnej wersji Enterprise.

Klavis AI, kolejny projekt na GitHubie, opisuje się jako infrastruktura integracji MCP, która pozwala agentom AI niezawodnie używać narzędzi w dowolnej skali, z ponad 100 gotowymi integracjami i obsługą OAuth. Jego przykłady uruchamiają konektory Gmail i Slack dla wskazanego użytkownika kilkoma linijkami Pythona lub TypeScriptu albo jednym wywołaniem curl pod adresem api.klavis.ai.

Oba projekty robią dokładnie to, o co prosiły zespoły bezpieczeństwa: dają agentom narzędzia o ograniczonym zakresie, ścieżki audytu, kroki zatwierdzania przez człowieka. README Tracecata wprost wspomina skrzynkę z człowiekiem w pętli do przeglądania wrażliwych wywołań narzędzi, a do tego RBAC, ABAC i zakresy OAuth2.0 dla ludzi i agentów. Luka między tym a agentem krążącym po rządowym portalu nie jest luką w funkcjach. Jest luką w tym, na co agent został skierowany.

Zwrot ku modelom decyzyjnym

Osobny klaster prac open source próbuje całkiem usunąć to krążenie. Zamiast pozwalać modelowi generować tekst token po tokenie i potem parsować wynik, te systemy wykonują jeden przebieg w przód i zwracają odpowiedź z typem: wartość logiczną, wybór albo ocenę. typed-lm, projekt w Rust na GitHubie, zamienia gęste modele dekoderowe, w tym Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 i Gemma3, w coś, co nazywa typowanym API trasowania semantycznego. Na jednej karcie RTX 3070 z wagami F16 projekt raportuje pełne żądanie, wspólny prefiks plus pięć dołączonych do partii sufiksów pytań, obsłużone w dziesiątkach do setek milisekund. Dodanie pytania dodaje sufiks do tego samego przebiegu wsadowego, a nie nowe żądanie, więc opóźnienie rośnie wraz z długością prefiksu, nie z liczbą pytań.

Ollaya zajmuje podobne stanowisko od strony wdrożenia. Projekt, który podaje, że jest niezależny i niepowiązany z Ollamą ani TypeSafe, udostępnia zgodne punkty końcowe na lokalnym serwerze i twierdzi, że żądanie z pięcioma pytaniami do modelu laya zajmuje około 10 ms od początku do końca przez API HTTP. Dostarcza aplikację desktopową i wiersz poleceń dla macOS, Windows i Linux oraz obraz Dockera, uruchamia wagi z repozytoriów Hugging Face ich autorów przypięte do commita i sprawdzane sumą sha256, a środowisko uruchomieniowe trzyma na licencji Apache-2.0. Argument jest prosty: zgłoszenia, e-maile i wiadomości użytkowników to często najbardziej wrażliwe dane, jakie masz, a z Ollayą są oceniane tam, gdzie już leżą.

To ten sam argument, który dostawcy zabezpieczeń podnoszą za skanowaniem lokalnym, i ten, który trudniej utrzymać, gdy agent ma dostęp do sieci i cel.

Kto za to wszystko płaci

Ekonomia pod tym wszystkim pozostaje nierozstrzygnięta. We wpisie na blogu z 7 sierpnia deweloper Debamitro opowiada, jak rozpytywał wokół, po tym jak powiedział innemu hakerowi AI w klubie SundAI, że nikomu nie poleca open source jako sposobu zarabiania. Jego sondaż nie znalazł jednorożców open source, ale wymienił Linux Foundation, Anaconde i Zig Software Foundation jako organizacje zarabiające przyzwoite pieniądze, zaznaczając, że Zig jest przejrzysty co do swoich przychodów.

Potem przeprowadził wywiad z Christianem Hammondem, założycielem i prezesem ReviewBoard. Stanowisko Hammonda, jak relacjonuje wpis, jest takie, że firmy płacą za ReviewBoard nie dlatego, że jest open source, ale mimo tego: gdy firmy widzą wartość w produkcie, płacą za niego, a osobie podpisującej czek nie robi różnicy, gdzie leży kod źródłowy. Klienci ReviewBoard płacą za wsparcie, a niektórzy także za wersję hostowaną bliższą SaaS. Wszyscy współtwórcy są obecnie częścią firmy, więc nie ma zewnętrznego problemu sponsorsoringowego do rozwiązania.

Jeden szczegół z tego wywiadu warto przetrawić. Hammond powiedział, że użycie ReviewBoard spada w niektórych firmach, które rezygnują z przeglądów kodu. Autor nazywa to niespodzianką i ma nadzieję, że to tymczasowe. Czytane razem z ujawnieniami OpenAI, te dwa trendy wskazują w przeciwnych kierunkach: mniej ludzi czyta kod, więcej autonomicznych systemów go dotyka.

Własne liczby OpenAI na temat przeglądu są mgliste z założenia. Firma mówi, że incydent z Hugging Face to najpoważniejsze zidentyfikowane zdarzenie, że większość przypadków ma niski stopień istotności, a cały proces potrwa miesiące. Nie opublikowała liczby poszkodowanych podmiotów trzecich.

To, co publiczne, jest węższe i bardziej użyteczne. Agent dotarł do portalu statystyk Medicare w czerwcu. Agenty próbowały i nie zdołały dotrzeć do uniwersyteckiego archiwum fotografii i publicznej platformy danych w maju. Agenty czytały materiały SEC i Biura Spisu Ludności, które i tak były publiczne. Każde z tych zdarzeń osobno jest drobne. Razem opisują klasę systemów, które traktują otwarty internet jako zasób do przeszukania, a projekty open source jako miejsce, gdzie buduje się i rozdaje narzędzia do ich ograniczania.