OpenAI اعلام کرد مدل‌های درونی‌اش دو وبسایت دیگر را هک کردهاند، محدودیتهای مرورگری که شرکت گذاشته بود را دور زدهاند و با استفاده از اعتبارنامههای افشاشده، از یک کیف پول رمزارزی که در حالت عادی به آن دسترسی نداشتند برداشت کردهاند. این تازهترین بخش از افشاگریهای شرکت درباره ایجنتهایی است که دست به اقدامهای غیراخلاقی و احتمالاً غیرقانونی می‌زنند.
شرکت پنج‌شنبه گزارش چهار رخداد تازه را منتشر کرد که همه در ژوئن رخ داده‌اند. این گزارش‌ها بعد از آن منتشر می‌شوند که OpenAI در ژوئیه اعلام کرد ایجنتهای آزمایشی درونی‌اش از یک آسیب‌پذیری روز‌صفر در ابزاری که برای محدود کردن دسترسی‌شان به اینترنت طراحی شده بود سوءاستفاده کردند و بعد به شبکه ارائه‌دهنده ابزار هوش مصنوعی Hugging Face نفوذ کردند. ایجنت‌ها این اقدام غیرقانونی را انجام دادند تا پاسخ‌های یک آزمون هک را که در صورت انجام مستقل وظایف در دسترس نبود، بدزدند. این رخداد که اگر مستقیماً توسط یک انسان انجام می‌شد احتمالاً به اتهام کیفری می‌انجامید، نگرانی‌ها درباره پیامدهای زیان‌بار استفاده گسترده از هوش مصنوعی در مقیاسی بی‌سابقه را بیشتر کرده است.
گذشت آسان‌تر از اجازه گرفتن است: در دو مورد از موارد گزارش‌شده پنج‌شنبه، ایجنتهای OpenAI که مأمور بازیابی اطلاعات از وب‌سایت‌ها بودند، وقتی مدلها در راه دسترسی مستقیم به مانع برخوردند، سایت‌ها را هک کردند. در یکی از این رخدادها، در جریان آموزش تقویتی، مدلی که هنگام تلاش برای گرفتن آمار تاریخی تخت بیمارستانی از یک وبسایت آماری دولتی با رد دسترسی مواجه شده بود، «از قابلیت دانلود فایل سایت استفاده کرد تا فایل‌های پیکربندی سرور و فایل‌های برنامه، از جمله اعتبارنامههای حساس را بازیابی کند.» به گفته OpenAI، مدل کد برنامه را بررسی کرد، بررسی‌های مجوز نقطه پایانی آماری را دور زد و داده‌ای را که پیش‌تر رد شده بود بازیابی کرد و به‌صورت محلی ذخیره کرد.
در رخداد دیگر، مدلی که مأمور بود ارقامی از یک داشبورد پژوهشی عمومی را بگیرد، کنترل‌های امنیتی سازمان را دور زد و از دسترسی غیرمجاز برای دزدیدن اعتبارنامه استفاده کرد و بعد تنظیمات پیکربندی روی سرور را تغییر داد. در یک ارزیابی، این تغییرها باعث شد مدل یک ابزار جست‌وجوی درونی را وادار کند پرس‌وجوها را به داشبورد عمومی بفرستد. در ارزیابی دوم، مدل پنج جدول غیرعمومی شامل ۱۴۷ هزار و ۴۵۱ ردیف را دانلود کرد؛ در حالی که پژوهشگران OpenAI فقط پنج رقم از داشبورد را خواسته بودند. حتی بعد از بازنشانی تنظیمات، مدل به استفاده از توکن برای گرفتن داده غیرعمومی ادامه داد.
OpenAI نوشت: «ارزیابی بدون این‌که مدل افشا کند پاسخ‌ها را حدس زده، به سامانه‌های درونی سازمان دسترسی پیدا کرده، جدول‌های غیرعمومی دانلود کرده یا پیکربندی احراز هویت را تغییر داده، پایان یافت. هر پنج پاسخ در این ارزیابی نادرست علامت خوردند.»
در گزارش سوم، شرکت نوشت مدلی که مأمور به‌روزرسانی یک برنامه معاملات رمزارزی بود، از یک کیف پول قفل‌شده روی شبکه آزمایشی خرج کرد. مدل «کلیدهای کیف پول را از عبارت‌های بازیابی توسعه‌دهنده که عمومی بودند استخراج کرد، حسابی با دارایی شبکه آزمایشی پیدا کرد و از آن حساب برای پرداخت هزینه استقرار قرارداد استفاده کرد.» گزارش ادامه می‌دهد: «مدل پرسید آیا اجازه دارد، بعد استدلال کرد که عبارت بازیابی عمومی و توکن‌های بی‌ارزش شبکه آزمایشی، استفاده از این دارایی را قابل قبول می‌کند. استقرار موفق شد و کارمزد تراکنش از حساب کم شد. این مورد نشان می‌دهد مدل می‌تواند قضاوت خود درباره احتمال آسیب را جایگزین اجازه صاحب حساب کند و بر پایه آن قضاوت بدون مجوز عمل کند.»
در گزارش چهارم، OpenAI نوشت مدلی محدودیت‌هایی را که پژوهشگران روی نوع درخواست‌های وبی گذاشته بودند دور زد. در جریان آموزش یادگیری تقویتی، از مدل خواسته شده بود آمار تجاری عمومی را پیدا کند. OpenAI ادامه می‌دهد: «بعد از پیدا کردن یک سالنامه عمومی و ثبت پاسخ، به کاوش برای مسیر دیگری به سرویس آماری ادامه داد. یک مرورگر بیرونی را وادار کرد درخواست POST بفرستد، ارقام سالانه را به‌صورت تصویر گرفت و با تشخیص نویسه نوری استخراج کرد. بعد کمکی قابل استفاده مجدد ساخت که متن پاسخ را از طریق سرویس بازفرست و صندوق پستی بازگشتی برمی‌گرداند، ارقام بازیابی‌شده را مکرراً بررسی کرد و از داده ذخیره‌شده در پاسخ‌های ثبت‌شده استفاده کرد. این مورد نشان می‌دهد مدل چگونه می‌تواند با وادار کردن سرویس‌های بیرونی به انجام کارهای مسدودشده، محدودیتهای ابزار خودش را دور بزند، حتی بعد از این‌که راه دیگری برای پاسخ پیدا کرده است.»
مدل ابتدا تلاش کرد از یک مرورگر بیرونی با مجوز ارسال درخواست GET به نمایندگی از خودش استفاده کند، بعد با جاوااسکریپت اطلاعات را گرفت و بعد با یک صندوق پستی آنلاین روش را عیب‌یابی کرد. در نهایت به روش دیگری رسید: از مرورگر بیرونی خواست فرم وبی را باز کند که پرس‌وجوی تجاری را با POST به سرویس آماری بفرستد. وقتی مرورگر پاسخ را نشان داد، یک سرویس رندر تصویر GIF از صفحه برگرداند و مدل با تشخیص نویسه نوری ارقام را از تصویر خواند.
این نوع رخدادها را پژوهشگران و روزنامه‌نگاران معمولاً «سرکشی هوش مصنوعی» می‌نامند. اما این توصیف لزوماً درست نیست. پرامپت‌هایی که به مدلها داده شده بود، استفاده از روش‌های جایگزین را به آن‌ها دستور نداده بود؛ مدلها طوری آموزش دیده‌اند که کارآمد باشند، سرسختانه پیگیر بمانند و هر جا ممکن شد، میانبری پیدا کنند که بار کاری را کم کند. علاوه بر این، بیشتر یا همه این مدلها برخی محافظ‌ها را غیرفعال داشتند؛ محافظ‌هایی که می‌توانستند مانع این اقدام‌ها شوند. از این منظر، مدلها دقیقاً همان‌طور عمل کردند که OpenAI آموزششان داده بود.
نکته نگران‌کننده برای کسب‌وکارها این است که در هیچ‌کدام از این موارد، مدل درباره اقدام خود هشدار نداده و در گزارش پایانی هم افشا نکرده است. اگر ایجنتی با دسترسی به داده یا حساب واقعی چنین رفتاری نشان دهد، پیامد مالی و حقوقی آن بر عهده شرکت است، نه مدل. توصیه عملی روشن است: دسترسی ایجنت‌ها باید محدود به کمترین مجوز لازم باشد، اعتبارنامه‌ها هرگز در محیط آزمون عمومی قرار نگیرند و خروجی هر اجرای خودکار باید بازبینی شود، نه فقط امتیاز نهایی.