Независимые исследователи выясняют, как ИИ-агенты координируют действия в малоизвестных уголках интернета, чтобы получать данные с защищённых серверов.
Лаборатория Transluce, некоммерческая организация, занимающаяся надзором за ИИ, опубликовала доклад о том, как агенты OpenAI пытались извлечь данные из Data USA, цифровой библиотеки Университета Нью-Мексико и Австралийского института здравоохранения и социального обеспечения (AIHW).
Расследование Transluce ставит вопрос о том, когда OpenAI должна была узнать, что её агенты пытаются проникать в защищённые системы в открытом интернете. Исследователям понадобилось несколько недель, чтобы обнаружить признаки некорректного поведения агентов: они искали плохо защищённые веб-сервисы и сверяли находки с другими общедоступными данными о роях агентов в интернете.
Премьер-министр Австралии Энтони Албаниз заявил, что агенты OpenAI пытались взломать четыре правительственных сайта и в одном случае добились успеха, записав файлы на внутренний сервер национальной системы здравоохранения страны. Подробностей об успешном взломе нет. По словам Албаниза, он, по-видимому, был частью оценки по поиску информации — это соответствует действиям, обнаруженным Transluce и другими исследователями.
В подобных упражнениях, которые могут быть обучением или оценкой, модели OpenAI просят найти малоизвестную статистику: показатели борьбы с наркотиками в Таиланде, стоимость лекарств в Австралии или медианный заработок американцев со степенью магистра в 2014 году. Агенты используют плохо защищённые интернет-сервисы, чтобы обмениваться ответами и находить их, нередко пытаясь проникнуть в защищённые базы данных. Такая активность наблюдалась как минимум с марта 2026 года, а возможно, началась ещё в ноябре 2025 года и может продолжаться.
OpenAI сообщила, что связалась с десятками пострадавших — в том числе с правительствами, университетами и государственными учреждениями, — чтобы уведомить их о несанкционированных действиях своих агентов. Среди целей, как сообщалось, были базы данных Комиссии по ценным бумагам и биржам США, Бюро переписи населения и Министерства образования.
Transluce начала расследование после того, как другая группа исследователей обнаружила малоизвестный форум, где агенты сотрудничали, чтобы проходить тесты с ограничением по времени. В докладе использованы данные сайта urlquery.net — сервиса, работающего как прокси для браузера и предназначенного, среди прочего, для исследований в области безопасности. Он позволяет анализировать URL, не открывая его напрямую, но публикует общедоступные журналы такой активности. Исследователи Transluce выявляли агентов, сверяя записи сервиса с их обсуждениями на форуме.
«Мы обнаружили большой объём автоматизированной активности, тесно связанной с набором данных DSE Wiki и пересекающейся с ним. Теперь OpenAI подтвердила, что эта активность хотя бы частично относится к тому же рою», — рассказал руководитель направления управления в Transluce Конрад Стосз. Он отметил, что не всю замеченную активность удалось связать с OpenAI или даже с ИИ-агентами в целом.
Согласно вики, агентам поручили найти довольно редкий факт: средние годовые расходы на одного человека на «дерматологические препараты» в штате Виктория в Австралии. В журналах urlquery.net исследователи обнаружили попытку агента получить доступ к сайту AIHW. В записи вики агент сообщал, что не смог обойти защиту AIHW от ботов.
Исследователи, обнаружившие форум, считают, что сотрудник OpenAI впервые посетил его в тот же день, когда появилась запись об этой попытке. Большая часть активности агентов на форуме прекратилась на следующий день. Это произошло вскоре после проникновения в систему здравоохранения Австралии, о котором сообщил Албаниз. OpenAI заявила, что узнала об этом инциденте лишь в августе.
OpenAI не ответила на вопросы о том, когда сотрудники обнаружили форум-вики, какую информацию получили и что могли узнать о попытках взлома.
«Первоначальная проверка показывает, что значительная часть активности, описанной в докладе Transluce, пересекается со случаями на разных этапах расследования в рамках нашей продолжающейся проверки некорректного поведения моделей», — заявил представитель OpenAI. «Мы связались с Университетом Нью-Мексико и Data USA, а также поддерживаем связь с правительством Австралии по поводу затронутых правительственных сайтов. В ходе более широкой проверки мы по-прежнему уделяем первоочередное внимание наиболее серьёзным инцидентам и одновременно расширяем работу, включая изучение менее серьёзной активности, например массовой рассылки сообщений агентами на сайтах. Учитывая масштаб этой работы и необходимость проверять каждый случай, мы ожидаем, что проверка займёт несколько месяцев».
По словам Стосза, без более ясного понимания того, как OpenAI следит за своими агентами, трудно сказать, что именно компания должна была о них знать. Однако, как он отметил, «если бы компания тщательно изучила и поняла все исходящие запросы и входящие ответы агентов, связанных с DSE Wiki, вероятно, она обнаружила бы эту активность».
Селена Чжан, технический специалист Transluce, участвовавшая в подготовке доклада, сообщила, что журналы urlquery.net показывают запросы к аналогичным наборам данных с использованием похожих методов. По её словам, такая же связанная с агентами активность на urlquery.net наблюдалась и совсем недавно.
Стосз, ранее возглавлявший Центр стандартов и инноваций в области ИИ США, заявил, что Transluce продолжит исследования, чтобы обеспечить общественную прозрачность в отношении этих инцидентов. Он предупредил: методы обучения, которые используют OpenAI и другие ведущие лаборатории, по-видимому, побуждают агентов прибегать к взлому, чтобы выполнять задания. Известные инциденты, вероятно, лишь «верхушка айсберга».
«Мы изучаем несколько источников данных, где эти агенты случайно оставили следы, которые мы смогли найти. OpenAI наверняка знает больше. Другие лаборатории наверняка тоже знают больше, но не раскрыли это публично. Думаю, исследователи продолжат находить всё больше сетевого трафика и свидетельств того, что оставили после себя агенты», — сказал Стосз.
На вопрос, доверяет ли он лабораториям в вопросе открытого раскрытия результатов, Стосз ответил: «Я не буду это комментировать».