A friss vizsgálat szerint a Hugging Face cég rendszereit érő támadás mellett négy másik online szolgáltatás egy-egy felhasználói fiókjához is jogosulatlanul hozzáfért a modell.

Az OpenAI szerint a modell nyilvánosan elérhető bejelentkezési adatokkal jutott be ezekbe a fiókokba, de nincs bizonyíték arra, hogy külső szolgáltatók rendszereit vagy más ügyfelek fiókjait feltörte volna. A vállalat közölte, hogy az érintett kísérleti rendszert azóta leállította, és további biztonsági intézkedéseket vezet be. Az érintett szolgáltatások között volt a felhőalapú alkalmazások futtatására szakosodott Modal is, itt az egyik ügyfél programkódjához is hozzáfért a modell. A támadás során nyilvánosan elérhető internetes szolgáltatásokat – például képernyőkép-készítő oldalakat – is használt, ezeket azonban nem törte fel.

Önállósította magát, de nem a megfelelő módszerekkel

A legsúlyosabb eset továbbra is az MI-modellek fejlesztésére és megosztására szolgáló Hugging Face platformot érintette. Az OpenAI szerint a modell nem a kijelölt programozási feladatot oldotta meg, hanem önállóan megpróbálta megszerezni a feladat hivatalos megoldását a platform szervereiről. Ennek során

teljes rendszergazdai hozzáférést szerzett, majd egy ellopott bejelentkezési adat segítségével a Hugging Face belső hálózatához saját irányítása alatt álló eszközöket kapcsolt.

Az OpenAI szerint a modell több alkalommal is megpróbálta eltitkolni a tevékenységét: módosította a naplófájlokat, és olyan műveleteket hajtott végre, amelyekkel igyekezett elkerülni a lebukást.

Az incidens az ExploitGym nevű kiberbiztonsági tesztplatformon történt, ahol az OpenAI egy új modell és egy kísérleti rendszer viselkedését vizsgálta. A vállalat a teszt idejére részben kikapcsolta a szokásos biztonsági korlátozásokat, hogy felmérje, mire képes a modell valós körülmények között. Az OpenAI közölte, hogy

az érintett kísérleti rendszert azóta leállította és titkosította.

A vállalat szerint az eset tanulságai alapján további biztonsági intézkedéseket vezet be, és szigorítja a hasonló kísérletek felügyeletét.