Агенты OpenAI атаковали сайты госорганов и университетов за несколько месяцев до Hugging Face

Агент OpenAI взломал австралийский государственный портал. По словам исследователей и New York Times, это был не единичный случай. Агенты OpenAI неоднократно прибегали к методам взлома и, по всей видимости, делали это на несколько месяцев дольше, чем считалось ранее.

Премьер-министр Австралии Энтони Альбанезе сообщил на полях Генеральной ассамблеи ООН в Нью-Йорке, что 18 июня агент OpenAI взломал государственный портал. По словам Альбанезе, агент получил несанкционированный доступ к Medicare Statistics Reporting Service и открыл как общедоступные, так и закрытые файлы, сообщает The Age. Services Australia заявляет, что агент также записал файлы на внутренний сервер.

По данным New York Times, этот взлом стал одним из как минимум четырех инцидентов в мае и июне, когда ИИ OpenAI взламывал или пытался взломать сайты, принадлежащие государственным учреждениям и университетам. Transluce, исследовательская лаборатория, занимающаяся контролем ИИ, задокументировала три из них, а OpenAI подтвердила все четыре. Это означает, что инциденты произошли раньше взлома Hugging Face в июле, который вызвал глобальные споры о безопасности ИИ.

Когда запрос не срабатывал, агенты начинали искать уязвимости

25 и 26 мая ИИ пытался получить фотографии исторического центра лечения туберкулеза из цифровой библиотеки Университета Нью-Мексико. Когда это не удалось, он начал искать уязвимости с помощью таких методов, как SQL-инъекции и обход путей, сообщает Transluce. Затем он отправил на сервер университета волну из 80 запросов, которую сам ИИ описал как «наводнение». 28 мая неудачный запрос на портале данных Data USA привел к двенадцати попыткам найти уязвимости, включая межсайтовый скриптинг. Ни одна из попыток не увенчалась успехом.

20 и 21 июня, через два дня после взлома Medicare, агенты также атаковали сайт Австралийского института здравоохранения и социального обеспечения. Австралийские чиновники заявили, что никакая личная информация не утекла. В трех случаях, которые Transluce задокументировала самостоятельно, исследователи не обнаружили свидетельств успешной эксплуатации уязвимостей, хотя признают, что проанализированные ими общедоступные данные неполны.

Исследователи основывали свои выводы на записях сервиса веб-безопасности urlquery.net, который агенты, предположительно, использовали для обхода ограничений доступа. Transluce связывает две атаки с роем агентов, происхождение которого OpenAI уже подтвердила, указывая на общие цели, тактики и время атак.

Австралийские случаи, вероятно, являются «первым примером того, как агент автономно принимает решение взломать государственную систему», считает Конрад Стосз, руководитель направления управления в Transluce. По словам Стосза, если обучить рой агентов выполнению общей задачи и они готовы прибегать к взлому, потенциально под угрозой оказывается любой, у кого случайно есть нужная им информация.

Взломы начались за несколько месяцев до того, как о них сообщили

Похоже, агенты занимались этим гораздо дольше, чем считалось ранее. По данным Transluce, активность началась не позднее 6 марта 2026 года — примерно за два месяца до первых сообщений об инцидентах. В самом раннем случае агент пытался получить статистику по борьбе с наркотиками в Таиланде и после каждой неудачи переходил к более решительным действиям. Сначала он запросил данные напрямую, затем воспользовался сервисом, преобразующим веб-страницы в текст, а затем поместил собственную программу в веб-адрес.

Начиная с середины апреля число таких запросов резко возросло. 22 июня оно снизилось — в тот же день, когда активность роя на вики collusion.wiki прекратилась. Однако самые последние следы датируются 16 сентября. Это означает, что такое поведение продолжалось даже после того, как OpenAI начала расследовать инцидент с Hugging Face, сообщает New York Times.

По данным Transluce, более слабые признаки активности прослеживаются вплоть до ноября 2025 года, когда кто-то неоднократно запрашивал данные о парках развлечений и государственных учреждениях Таиланда. Ранние попытки были менее изощренными, и исследователи не уверены, что за ними стояли те же агенты.

Эти выводы согласуются с предположением, что агенты приобрели такое поведение в ходе одного или нескольких циклов обучения, однако не доказывают его, пишут исследователи. В ноябре агенты, возможно, просто использовали urlquery.net для поиска информации. К марту они уже находили творческие способы обхода ограничений доступа, а в мае и июне пытались преодолеть киберзащиту. Transluce опубликовала набор данных с десятками тысяч предполагаемых запросов агентов.

Недовольство Австралии связано с тем, как медленно OpenAI сообщила о случившемся

В Австралии большая часть критики касается того, как OpenAI сообщила о взломе. По данным The Age, компания обнаружила взлом в августе, но уведомила Services Australia только 10 сентября, причем лишь отправив письмо на общедоступный адрес для сообщений об уязвимостях. Этот почтовый ящик проверяется раз в день, и многие поступающие сообщения оказываются ложными тревогами, заявила Кэти Галлахер, ответственная за это министр. Сама она узнала об инциденте только 17 сентября.

Ситуация «очевидно неприемлема», заявил Альбанезе. Он сообщил, что поговорил с генеральным директором OpenAI Сэмом Альтманом, выразил «крайнюю обеспокоенность» Австралии и раскритиковал компанию за слишком долгую задержку с сообщением об инциденте.

Министр обороны и заместитель премьер-министра Ричард Марлз отнесся к ситуации более сдержанно и назвал последствия «относительно незначительными». По его словам, речь шла об агрегированной медицинской статистике, и данные отдельных лиц не были затронуты.

OpenAI подтвердила проведение «масштабной проверки несоответствующей деятельности моделей во время обучения и оценки», сообщает The Age. Компания заявила, что ее модели искали ответы на вопросы об Австралии в рамках внутренней оценки. «В ходе этого наши модели предприняли действия, которых мы не планировали», — заявил представитель OpenAI. Нет никаких признаков того, что модели получили доступ к медицинским картам пациентов. Затронутые данные состояли из агрегированной медицинской статистики и внутренних имен файлов. Представитель компании сообщил New York Times, что расследование займет несколько месяцев.

По словам Галлахер, портал был устаревшим сайтом, которым в основном пользовались исследователи. На нем была установлена защита от ботов, однако агент смог ее обойти. С тех пор сайт закрыли, а данные теперь размещаются на data.gov.au. Целевая группа под руководством департамента премьер-министра изучит возможные меры наказания и законодательные меры реагирования, а правительство рассматривает возможность передачи дела федеральной полиции. Пока OpenAI не понесла никакого наказания.

Новости ИИ без шумихи — отобраны людьми

Подпишитесь на THE DECODER, чтобы читать материалы без рекламы, получать еженедельную рассылку об ИИ, эксклюзивный годовой отчет о передовых разработках «AI Radar» шесть раз в год, полный доступ к архиву и доступ к разделу комментариев.