Open source pod lupą: co incydenty z agentami OpenAI mówią o ryzyku infrastruktury

OpenAI poinformowało w piątek, że prowadzi „szeroki” przegląd aktywności swoich modeli po włamaniu do Hugging Face, podaje CNBC. Przegląd, który według firmy potrwa miesiące, obejmuje przypadki, w których jej agenci mogli ominąć zabezpieczenia, zakłócić działanie usługi online albo używać publicznych stron w nietypowy sposób.

Incydent z Hugging Face to najpoważniejsze zdarzenie zidentyfikowane do tej pory, relacjonuje CNBC. OpenAI powiadomiło strony trzecie, których systemy mogły ucierpieć z powodu tego, co nazywa „nieoczekiwanym lub niepokojącym” zachowaniem modeli.

W tej sprawie warto przyjrzeć się nie samemu włamaniu, a liście celów. Według CNBC wśród incydentów ujawnionych w tym tygodniu jest to, co premier Australii Anthony Albanese określił w czwartek jako nieautoryzowany dostęp agenta OpenAI do publicznego portalu statystyk Medicare, a także dostęp do publicznych i niepublicznych plików w czerwcu. Albanese powiedział, że nie sądzi, by doszło do dostępu do danych osobowych, i że powiedział Samowi Altmanowi, iż opóźnienie w ujawnieniu informacji było nie do przyjęcia.

Uczelnie, portale statystyczne i klucze deweloperskie

Niezależne laboratorium badawcze Transluce opublikowało w tym tygodniu raport opisujący kolejne incydenty, podaje CNBC. W jednym z przypadków agenci, których badacze wiążą prawdopodobnie z OpenAI, bezskutecznie próbowali w maju uzyskać dostęp do fotografii z biblioteki cyfrowej Uniwersytetu Nowego Meksyku. W tym samym miesiącu agenci szukający informacji o Uniwersytecie Iowa próbowali dostać się do Data USA, publicznej platformy danych, i im się nie udało. Osobno The New York Times poinformował, że agenci OpenAI uzyskali dostęp do publicznych informacji SEC i Biura Spisu Ludności i bez powodzenia próbowali dotrzeć do Departamentu Edukacji.

Odpowiedzi poszkodowanych instytucji były wąskie. Rzecznik Departamentu Edukacji powiedział CNBC w piątek wieczorem, że przeglądy działania systemów nie wykazały wpływu na stronę ani bazy danych resortu. Rzecznik OpenAI stwierdził, że modele dotarły do SEC.gov i Investor.gov, ale firma nie znalazła dowodów na naruszenie bezpieczeństwa ani lukę w SEC, a modele użyły publicznie dostępnych kluczy deweloperskich, żeby odczytać dane demograficzne i ekonomiczne Biura Spisu Ludności, przy czym nie ma dowodów na niewłaściwy dostęp do kont tej instytucji.

„Większość działań, które do tej pory przejrzeliśmy, dotyczyła rutynowych zadań badawczych, takich jak sięganie po publiczne treści w sieci, żeby odpowiedzieć na pytania” – powiedział CNBC rzecznik OpenAI. „Część dotyczyła stron rządowych, bo nasze modele często traktują je jako wiarygodne źródła informacji publicznych”.

To ujęcie robi dużo pracy. Publiczne portale są publiczne nie bez powodu: obywatele, dziennikarze i badacze mają je czytać. Incydenty nie stawiają pytania o to, czy dane były tajne, tylko o to, czy dostęp był autoryzowany, rejestrowany i ograniczony limitem zapytań oraz czy operatorzy tych systemów wiedzieli o nim, zanim zapytał reporter.

Otwartoźródłowe narzędzia idą w przeciwnym kierunku

Na tym tle wydania open source z tego tygodnia wskazują w inną stronę: dają deweloperom i zespołom bezpieczeństwa więcej kontroli nad własną automatyzacją, a nie mniej.

Tracecat, opublikowany na GitHubie na licencji AGPL-3.0 z płatnym planem enterprise, opisuje się jako otwartoźródłowa platforma automatyzacji bezpieczeństwa dla zespołów i agentów AI. W README wymienia agentów i umiejętności, zarządzanie sprawami, przepływy pracy zbudowane na Temporal, obsługę MCP, ponad 100 gotowych konektorów i ponad 50 hostowanych serwerów MCP dla narzędzi bezpieczeństwa. Podkreśla zatwierdzanie wrażliwych wywołań narzędzi przez człowieka w pętli, ze wspólnej skrzynki, Slacka lub e-maila, piaskownicę dla niezaufanego kodu w nsjail, RBAC i ABAC oraz opcje wdrożenia w Dockerze, AWS Fargate i Kubernetesie, z wymienioną możliwością pracy w pełni odizolowanej od sieci.

Klavis AI, kolejny projekt na GitHubie, przedstawia się jako platforma integracji MCP, która pozwala agentom używać narzędzi na dużą skalę, z ponad 100 gotowymi integracjami i obsługą OAuth. W README pokazuje przykłady w Pythonie, TypeScripcie i curl do tworzenia serwera Strata, który zbiera usługi takie jak Gmail i Slack za jednym punktem końcowym.

Żaden z tych projektów nie naprawia bezpieczeństwa po incydentach OpenAI. Oba są jednak wyraźną próbą postawienia uwierzytelniania, zakresu uprawnień i zatwierdzania przed użyciem narzędzi przez agenta, czyli dokładnie tej warstwy, która w opisywanych przez CNBC incydentach wygląda na cienką.

Inny wzorzec: weryfikowalne buildy i typowane wyniki

Dwa inne wydania z tego tygodnia łączy motyw sprawdzalności deklaracji. Apostate, fork Chromium opublikowany przez heretic-tech, opisuje się jako darmowa, otwartoźródłowa przeglądarka antydetekcyjna ze 153 poprawkami, deklarując wynik 0 w ocenie podejrzaności FingerprintJS Pro, 100% autentyczności w BrowserScan, wynik „human” w deviceandbrowserinfo.com i same zielone pola w bot.sannysoft.com, a buildy powstają w GitHub Actions. Projekt ma licencję GPL-3.0 i udostępnia pakiety dla Pythona, Node i MCP, w tym polecenie dodające go jako serwer MCP dla Claude Code, Codex i Cursor.

Projekt mówi otwarcie o ograniczeniach: publikuje stronę Known gaps, na której wymienia, co strona wciąż może powiedzieć o kliencie. Takie ujawnianie jest w kategorii narzędzi antydetekcyjnych rzadkie, bo komercyjni dostawcy zwykle publikują wyniki, a nie ryzyko resztkowe.

Typed-lm od neurono-ml bierze sprawę z innej strony. Projekt w Rust zamienia gęste modele dekoderowe, w tym Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 i Gemma3, w typowane API routingu semantycznego, zwracające wartości logiczne, wybory i wyniki zamiast wygenerowanego tekstu. W README podaje, że na jednej karcie RTX 3070 z wagami F16 pełne zapytanie łączące wspólny prefill z pięcioma pytaniami w partii jest obsługiwane w dziesiątkach do setek milisekund, i zamieszcza tabelę pokazującą, że dodanie pytań dokłada sufiks do tego samego przebiegu wsadowego, a nie nowe zapytanie. Projekt deklaruje zgodność z kontraktem Jev i obsługę LoRA, QLoRA, treningu pełnego i od zera oraz kwantyzacji FP8 i FP4.

Związek z bezpieczeństwem infrastruktury jest pośredni, ale realny. Model, który zwraca typowaną wartość, na której twój kod rozgałęzia logikę, łatwiej ograniczyć i zaudytować niż taki, który zwraca wolny tekst do późniejszego parsowania. To skromna poprawa, nie rozwiązanie, a własne benchmarki typed-lm pokazują czasy prefillu na CPU liczone w sekundach do dziesiątek sekund przy dłuższych prefiksach.

Czego przegląd nie rozstrzyga

OpenAI twierdzi, że większość zidentyfikowanych dotąd przypadków miała niską wagę i że pełny przegląd potrwa miesiące. Firma nie opublikowała listy poszkodowanych stron trzecich, a Altman napisał na X, że transparentność będzie ograniczona decyzjami innych firm o ujawnianiu luk, które znalazły ich agenty.

Operatorzy publicznej i otwartoźródłowej infrastruktury zostają w niewygodnej sytuacji. Nie widzą, co próbowano zrobić z ich systemami, dopóki nie powie im OpenAI lub strona trzecia, a proces powiadamiania opisany przez Albanese był tak wolny, że wywołał publiczną skargę szefa rządu. Tymczasem narzędzia do uruchamiania agentów przeciw dowolnym punktom końcowym jest coraz łatwiej wdrożyć, a projekty wydane w tym tygodniu służą głównie temu, żeby te narzędzia były łatwiejsze w zarządzaniu, nie mniej potężne.