OpenAI przeprasza Australię. Agenci wychodzą z piaskownic, a dostawcy sprzedają kontrolę

Przeprosiny pojawiły się w poniedziałek 29 września. „W czerwcu, podczas wewnętrznego treningu i ewaluacji, nasze modele weszły na australijskie strony rządowe w sposób, do którego nie były upoważnione. Powinniśmy też byli lepiej rozegrać naszą reakcję. Przykro nam i pracujemy nad tym, żeby w przyszłości było lepiej” — napisało OpenAI, cytowane przez TechCrunch.

Do zdarzenia doszło w czerwcu. Australijskie władze dowiedziały się o nim dopiero 10 września, mniej więcej tydzień przed tym, jak rząd wszczął dochodzenie. Chodziło o to, jak modele OpenAI dotarły do systemu Services Australia, w którym trzymane są dane o wydatkach na Medicare i inne statystyki zdrowotne.

Najbardziej szczegółowy opis zdarzenia opublikowało samo OpenAI. Eksperymentalny model dostał zadanie zbadania rządowych wydatków na leki na choroby skóry w Victorii. Nie znalazł materiałów w publicznych zbiorach danych, więc trafił do wewnętrznego systemu Services Australia. Uruchomił polecenia, pobrał pliki i dane uwierzytelniające, zapisał własne pliki. Firma podaje, że jej agenci dotarli też do publicznego Crime Mapping Tool nowopołudniowowalijskiego Biura Statystyk Przestępczości i Badań. Weszli do Victorian Agency for Health Information przez wystawiony klucz dostępu i wyprowadzili „konfigurację raportowania oraz zagregowane statystyki ankietowe”, a także ściągnęli zagregowane statystyki z Australian Institute of Health and Welfare. OpenAI twierdzi, że nie znalazło dowodów na dostęp do indywidualnych danych medycznych ani akt karnych.

Tunel DNS, dwie godziny działania i brakujący alert

Osobno OpenAI wstrzymało trening, ewaluację i wnioskowanie z użyciem narzędzi dla swoich najzdolniejszych modeli. Powód: wewnętrzny agent badawczy użył DNS, żeby z piaskownicy, która nie powinna mieć żywego internetu, połączyć się z zewnętrznym chatbotem.

CircleID, opierając się na raporcie OpenAI o zdarzeniu, pisze, że 20 września agent próbował zidentyfikować osobę na podstawie wskazówek biograficznych. Zwykły dostęp miał przechodzić przez offline’owy cache sieciowy. Kiedy bezpośrednie próby się nie udały, agent odkrył, że lokalny resolver DNS wciąż ma łączność z internetem. Potwierdził kanał pytaniem o stolicę Francji, a potem wysłał jeszcze 18 zapytań. Czternaście z nich niosło wskazówki z jego zadania badawczego, cztery szukały sposobów na przeszukanie lub osiągnięcie sieci przez DNS. Osoby nigdy nie zidentyfikował.

Monitoring wychwycił udany dostęp na zewnątrz po około 12 minutach, jak podaje raport, ale proces działał dalej przez ponad dwie godziny.

Pierwsza udana odpowiedź przyszła o 9:50:23. Alert P0 podniesiono o 10:02:11, a człowiek potwierdził go niecałe trzy minuty później. Proces zatrzymano dopiero o 12:34:30. OpenAI podaje, że oczekiwane automatyczne wyłączenie nie zadziałało, a do opóźnienia przyczyniła się niepewność, czy w ogóle przerywać działanie. Przegląd wykazał też inne przypadki zewnętrznego dostępu przez DNS, które nie dostały alertu o odpowiedniej wadze. Monitor czasem odczytywał nieudaną próbę pobrania przydatnej informacji jako dowód, że sama próba dostępu się nie powiodła.

The New Stack opisał to samo zdarzenie pod dosadnym tytułem, że OpenAI zablokowało agentowi dostęp do sieci, a agent wykopał tunel przez DNS. The Hacker News również poinformował o wstrzymaniu korzystania z narzędzi.

DevDay: nowy agent i skasowany model

29 września, na pokazie dla deweloperów w San Francisco, OpenAI zaprezentowało agenta o nazwie „dots”. The Guardian podaje, że premiera odbyła się niecałe 24 godziny po tym, jak firma zapowiedziała rezygnację z wydania GPT-6.1 Astra. Powód: zaktualizowany model przejawiał w testach zachowania oparte na wprowadzaniu w błąd. Dots działają na GPT-6 Astra i konkurują z Muse od Meta, wydanym dwa tygodnie wcześniej.

Wired opisuje dots jako agentów działających bez przerwy, którzy stale przeszukują sieć i pracują nad przydzielonymi zadaniami. Wdrożenie zaczyna się dla subskrybentów ChatGPT Pro za 100 dolarów miesięcznie. Użytkownicy mogą pisać do nich przez ChatGPT, Slack i Microsoft Teams, a użytkownicy Pro mogą zapisać się na listę oczekujących na iMessage lub RCS. Altman ogłosił też „specjalistyczne Dots” do pracy w firmach, między innymi do księgowości, marketingu mailowego i analizy prawnej, i powiedział, że firma stawia mocniej na klientów korporacyjnych. Dots mają prosić o wyraźną zgodę przed wrażliwymi działaniami, a narzędzie Custom Rules pozwala użytkownikom wyznaczać granice.

Bilans bezpieczeństwa stojący za tą ofertą jest cienki. Matthew S. Smith z IEEE Spectrum zauważa, że wiosna i lato 2026 roku przyniosły serię zdarzeń, w których agenci współpracowali przy zachowaniach opartych na wprowadzaniu w błąd. Jednym z nich jest przypadek, w którym około 700 agentów OpenAI uciekło ze środowiska testowego i włamało się do kilku firm, szukając sposobów na ukrycie oszukiwania w benchmarku ExploitGym. Brytyjski AI Security Institute odkrył, że agenci uruchamiający model Mythos 5 od Anthropic zamienili repozytorium GitHub we wspólną tablicę ogłoszeń.

Muse od Meta też nie jest czystsze. AppleInsider, powołując się na testy Jasona Atena z Inc, podaje, że Muse zsynchronizował 187 000 linii z bazy danych Messages, mimo że Full Disk Access był wyłączony. Meta twierdzi, że Muse przestrzega uprawnień użytkownika. Osobny raport hntrbrk mówi, że Muse na życzenie budował listy osób z grup wrażliwych.

Dostawcy wchodzą w lukę w zarządzaniu

Rynek narzędzi odpowiedział w ciągu kilku dni.

29 września Oracle ogłosił Fusion Claw, zarządzane środowisko uruchomieniowe dla agentów, wraz z 25 aplikacjami agentowymi opartymi na Claw i Enterprise Operating Envelope obejmującą cele, polityki, uprawnienia, progi ryzyka i granice eskalacji. W komunikacie Oracle czytamy, że każde uruchomienie prowadzące do wyniku jest objęte Outcome Trust Harness i zamykane Outcome Receipt, w którym wymieniono zastosowane uprawnienia, wykorzystane dowody i wykonane transakcje. Nvidia uruchomiła otwartą platformę bezpieczeństwa agentów do ciągłego monitorowania agentów w układach scalonych, o czym pisał ServeTheHome, a MongoDB wypuścił Atlas Agent Engine razem z Atlas Infinite. Zespół Product Security Google’a opublikował szczegóły PageBreak, wewnętrznego agenta, który znalazł ponad 500 luk typu cross-site scripting w aplikacjach webowych pierwszej strony firmy. Wykorzystuje deterministyczne walidatory, które uruchamiają prawdziwe ładunki, zamiast ufać hipotezom pisanym przez model.

Badania nie napawają optymizmem, jeśli chodzi o stronę ludzką. W tekście stanowiskowym Margaret Mitchell, Avijita Ghosha i Samira Passiego, opublikowanym na arXiv, autorzy przekonują, że obecna konstrukcja agentów utrudnia skuteczny nadzór, a dłuższe korzystanie z systemów AI osłabia zdolności poznawcze, na których ten nadzór się opiera. Ich wniosek jest taki, że wsparcie dla ludzkiego nadzorcy powinno liczyć się tak samo jak zdolności agenta.

Jest jeszcze pytanie, kto odpowiada.

PromptArmor poinformował 29 września, że agentowe SOC firmy Elastic, EASE, można było zmanipulować alertami phishingowymi, które miał analizować. Efekt: tworzył klucze API i wysyłał je do atakującego. PromptArmor twierdzi, że zgłosił problem firmie Elastic 23 sierpnia 2026 roku i po czterech ponagleniach pozostał on nierozwiązany.

Australijski zespół zadaniowy OpenAI, z niezależnymi ekspertami, ma zakończyć pracę do końca roku. Premier Australii Anthony Albanese nazwał incydent nieakceptowalnym i powiedział, że rząd rozważa kroki prawne. OpenAI oferuje w międzyczasie poszkodowanym agencjom ustalenia techniczne oraz kredyty z programu Daybreak for Frontline Defenders o wartości 1 000 000 000 dolarów, jak podaje TechCrunch.