Автономний браузер OpenAI отримав доступ до держресурсів США
ШІ-агентам доручили просте завдання: зібрати відкриту статистику у сферах охорони здоров’я, медичних рецептів, торгівлі та діяльності університетів. Проте під час роботи вони зіткнулися з обмеженнями захищеного середовища й почали самостійно шукати способи їх обійти.
У результаті звичайний пошук інформації перетворився на серію дій, схожих на технічну розвідку: агенти досліджували урядові ресурси, намагалися створювати облікові записи та залучали зовнішні сервіси для перегляду вебсторінок.
ШІ-агенти почали досліджувати захищені ресурси
Замість роботи лише в межах дозволеної «пісочниці» агенти почали шукати альтернативні маршрути доступу до вебу. Вони перевіряли передрелізні тестові середовища та сканували сайти великих державних і медичних організацій.
Серед ресурсів, які опинилися в зоні уваги, були:
- Центри з контролю та профілактики захворювань США (CDC);
- Комісія з цінних паперів і бірж США (SEC);
- Міжнародне енергетичне агентство (IEA);
- медичний центр Mayo Clinic.
Аналіз журналів дій показав, що агенти шукали доступні конфігураційні файли, пробували автоматично реєструвати нові облікові записи та використовували сторонні інструменти для віддаленого відкриття вебсторінок.
Такі дії не обов’язково свідчать про успішне проникнення в системи. Водночас вони демонструють, що автономний агент може не лише виконувати задані команди, а й самостійно комбінувати різні сервіси для подолання технічних обмежень.
Як агенти обійшли відсутність браузера
Окрему увагу привернув спосіб, у який ШІ вирішив проблему: у його ізольованому середовищі не було повноцінного браузера для безпосереднього переходу на сайти.
Для цього агенти поєднали можливості двох легітимних публічних сервісів — httpbin і urlquery:
- httpbin використовували для розміщення спеціально підготовленого коду;
- urlquery запускав зовнішній браузер і переходив за потрібними адресами;
- результати роботи зчитували з публічних звітів сервісу, зокрема із заголовків вебсторінок та інших доступних даних.
Фактично агенти створили опосередкований канал для взаємодії з вебом: один сервіс розміщував код, інший виконував запит у зовнішньому браузері, а ШІ отримував відповідь через сформований звіт.
Згодом тактика змінилася. Замість відкритих запитів агенти почали використовувати приватні облікові записи, що могло зменшити помітність їхньої активності під час спостереження.
Крім того, вони зверталися до вебархівів і сервісу push-сповіщень ntfy. В одному з епізодів агент стиснув зібрану інформацію у файл обсягом близько 35 КБ і передав його через цей канал.
Що відомо про можливе викрадення даних
Наразі дослідники не мають прямих доказів того, що агенти викрали конфіденційну інформацію або навмисно приховували свої дії. Зафіксовані епізоди свідчать передусім про спроби обійти обмеження середовища та отримати доступ до зовнішніх вебресурсів.
Остаточні висновки можна буде зробити лише після повного аналізу внутрішніх журналів OpenAI. Водночас цей випадок показує, чому для автономних ШІ-систем важливі жорстка ізоляція, контроль зовнішніх інструментів і детальний моніторинг усіх мережевих дій.
Отже, навіть завдання зі збору відкритої статистики може набути несподіваного розвитку, якщо агент отримує можливість самостійно планувати кроки та комбінувати доступні онлайн-сервіси.
