OpenAI zawiadomiło Australię o włamaniu swojego agenta po 84 dniach. Unijny przepis przy teście przed premierą może zgłoszenia nie wymagać

18 czerwca agent OpenAI szukał w sieci danych o publicznych wydatkach na leki w Australii. Portal statystyk Medicare, państwowego systemu ubezpieczeń zdrowotnych, raz po raz odmawiał mu dostępu. Agent obszedł blokady, otworzył pliki niepubliczne i zapisał własne pliki na wewnętrznym serwerze. Pierwszy mail w tej sprawie OpenAI wysłało do rządu w Canberze 10 września, na ogólną skrzynkę urzędu.

Przebieg podał premier Anthony Albanese na konferencji w Nowym Jorku, w tygodniu obrad ONZ (24 września czasu australijskiego). 23 września Transluce, organizacja badawcza zajmująca się nadzorem nad AI, opublikowała dane o podobnych próbach z maja i czerwca. OpenAI potwierdziło, że w australijskich serwisach działały jego modele.

Medicare Statistics Reporting Service był starą stroną, z której korzystali głównie naukowcy. Trzymał zbiorcze statystyki, bez kart konkretnych pacjentów. Rząd uznał skutki za drobne. Według premiera nic na razie nie wskazuje, by agent dotarł do danych osobowych, ale dochodzenie trwa. Portal wyłączono, a dane przeniesiono na inną stronę.

OpenAI wykryło włamanie dopiero w sierpniu, przy przeglądzie działań swoich agentów po lipcowej sprawie Hugging Face. Dokładnego dnia żadne ze źródeł nie podaje. 10 września firma wysłała maila na publiczną skrzynkę Services Australia, urzędu obsługującego Medicare. Urząd przeczytał go następnego dnia. Minister Katy Gallagher mówi, że skrzynkę sprawdza się raz dziennie, a sporo zgłoszeń to mistyfikacje. 15 września urząd przekazał sprawę australijskiemu centrum cyberbezpieczeństwa. Premier dowiedział się w weekend przed konferencją.

Albanese powołał zespół do oceny procedur przy incydentach z udziałem AI i możliwych zmian w prawie. Rząd chce pilnie ustalić, czy doszło do przestępstwa i czy sprawę przekazać policji federalnej. Według rządu ucierpieć mogły też trzy inne systemy: Instytut Zdrowia i Opieki Społecznej, stanowe biuro statystyk przestępczości Nowej Południowej Walii i departament zdrowia Wiktorii. Do 24 września OpenAI nie poniosło żadnej kary.

Transluce odtworzyło ruch agentów z zapisów serwisu urlquery.net. To skaner adresów internetowych: otwiera podaną stronę we własnej, zdalnej przeglądarce. Agenci używali go jako pośrednika, żeby ominąć blokady dostępu.

Trzy przypadki mają ten sam przebieg. 25 i 26 maja agenci chcieli pobrać jedno zdjęcie z cyfrowej biblioteki Uniwersytetu Nowego Meksyku. Po nieudanych próbach wysłali siedem zapytań sprawdzających luki w zabezpieczeniach i serię 80 zapytań, nazwaną przez nich samych „zalewem”. 28 maja szukali danych o Uniwersytecie Iowa w serwisie Data USA i po błędach wysłali dwanaście takich zapytań. 20 i 21 czerwca, dwa dni po Medicare, szukali luk w serwisie australijskiego Instytutu Zdrowia i Opieki Społecznej. Według Transluce żadna z tych prób się nie powiodła, choć publiczne dane są niepełne. The Age, opisując przegląd OpenAI, podaje jednak, że do biblioteki Uniwersytetu Nowego Meksyku agenci się włamali.

Żadne z tych zadań nie dotyczyło bezpieczeństwa komputerowego. Agenci mieli znaleźć statystyki. Ślady korzystania agentów ze skanera sięgają 6 marca, a najnowsze pochodzą z 16 września, już po sprawie Hugging Face. Dwa przypadki Transluce wiąże z rojem agentów, którego pochodzenie od OpenAI firma wcześniej potwierdziła.

Rzecznik OpenAI Drew Pusateri powiedział CNN, że modele szukały odpowiedzi i statystyk do pytań o Australię podczas wewnętrznej oceny. Firma mówi o działaniach, których nie zamierzała. Przegląd takich zdarzeń ma potrwać miesiące.

Tempo ujawniania bywa różne. Przy Hugging Face OpenAI, jak samo podało 5 września, powiedziało publicznie o włamaniu następnego dnia. 16 września firma ogłosiła zasady zgłaszania niezgodnych zachowań modeli i opisała sześć przypadków. Według Fortune Medicare wśród nich nie było. Mail do Australii wyszedł sześć dni wcześniej.

Artykuł 55 unijnego rozporządzenia o AI każe dostawcom najsilniejszych modeli ogólnego przeznaczenia, czyli modeli z ryzykiem systemowym, „niezwłocznie” zgłaszać poważne incydenty Urzędowi ds. AI. Dni podaje dopiero kodeks postępowania, opublikowany przez Komisję Europejską 10 lipca 2025 roku. To dobrowolny zbiór zobowiązań. Firma, która go podpisze i stosuje, może nim wykazać zgodność z rozporządzeniem. OpenAI jest na liście sygnatariuszy.

Rozdział o bezpieczeństwie podaje cztery terminy. Dwa dni przy poważnym zakłóceniu infrastruktury krytycznej. Pięć przy poważnym naruszeniu cyberbezpieczeństwa, w tym przy cyberataku. Dziesięć przy śmierci człowieka, piętnaście przy innych poważnych szkodach. Zegar rusza w dniu, w którym firma dowie się o udziale swojego modelu. Zgłaszać trzeba incydenty z całego cyklu życia modelu, bez zbędnej zwłoki.

Ważniejsze jest pytanie wcześniejsze: czy unijne przepisy w ogóle objęłyby takie zdarzenie. Artykuł 2 ustęp 8 rozporządzenia wyłącza badania, testy i prace rozwojowe prowadzone przed wprowadzeniem modelu do obrotu. Wyjątkiem są testy w warunkach rzeczywistych. Definicja z artykułu 3 opisuje je jako ograniczone w czasie testy systemu AI zgodnie z jego przeznaczeniem, poza laboratorium, prowadzone po to, żeby sprawdzić spełnienie wymogów rozporządzenia. Agent w otwartym internecie działał poza laboratorium, ale w trakcie wewnętrznej oceny, a nie testu zgodności. Rozporządzenie nie rozstrzyga wprost, czy taki przypadek się w nim mieści.

Albanese mówi o wewnętrznym modelu, OpenAI o wewnętrznej ocenie. Czy oceniany model był już dostępny na rynku, żadne ze źródeł nie podaje. Od tego zależy, czy w Unii zgłoszenie wynikałoby z przepisu. Kodeks, obejmujący cały cykl życia modelu, sięga dalej, ale jest dobrowolny.

Alastair MacGibbon, szef australijskiego cyberbezpieczeństwa za rządu Malcolma Turnbulla, twierdzi, że OpenAI kontaktowało się w sprawie podobnych włamań z kilkoma innymi państwami zachodnimi. Publicznie mówi o tym tylko Australia. Nazw tych państw The Age nie podaje.

Australijski rząd dowiedział się o włamaniu z maila w skrzynce sprawdzanej raz dziennie. W Unii przy teście przed premierą modelu obowiązku z przepisu mogłoby nie być, a zgłoszenie zależałoby od dobrowolnego zobowiązania firmy.