Zvuči kao početak Terminator filma, ali se zaista dogodilo. Tvorac ChatGPT-a priznao je da su dva njegova sistema veštačke inteligencije probila zaštitu zatvorenog okruženja, stigla do interneta i provalila u računare druge američke kompanije kako bi ukrala odgovore na testu.
Incident se dogodio tokom provere sposobnosti najnovijih OpenAI modela da pronalaze i koriste bezbednosne propuste u računarskim sistemima. Među njima je bio GPT-5.6 Sol, kao i još moćniji model koji kompanija još nije predstavila javnosti.
Zaposleni u OpenAI su namerno ublažili zaštitna ograničenja koja modele obično sprečavaju da pomažu u hakovanju. Sistemi su zatim smešteni u izolovano računarsko okruženje, takozvani „peščanik“, koje je trebalo da bude odvojeno od interneta i stvarnih računarskih mreža.
Jednostavno rečeno, veštačka inteligencija dobila je zadatak da pokaže koliko je dobra u pronalaženju bezbednosnih rupa, ali je trebalo da ostane zaključana u digitalnoj prostoriji pripremljenoj samo za test. Ta prostorija, navodno, nije izdržala.
Modeli veštačke inteligencije su dugo ispitivali sopstveno okruženje i pronašli do tada nepoznatu grešku u jednom od programa koje je OpenAI koristio. Takve ranjivosti nazivaju se zero-day zato što za njih proizvođač još nema pripremljenu zakrpu.
Preko te greške modeli su povećavali svoja ovlašćenja, prelazili sa jednog računara na drugi i na kraju stigli do sistema koji je imao pristup otvorenom internetu. Zatim su zaključili da bi odgovori na test mogli da se nalaze na platformi Hugging Face, velikom internet skladištu na kojem programeri objavljuju modele, podatke i programe za veštačku inteligenciju.
Umesto da nastave da rešavaju zadatke koji su im dati, sistemi su krenuli da traže način da dođu do gotovih odgovora.
Veštačka inteligencija krenula po „ključ sa odgovorima“
Hugging Face za svet veštačke inteligencije ima sličnu ulogu poput GitHub-a, dakle kao veliko internet skladišta programa koja koriste milioni programera. Na njegovim serverima nalaze se javni i privatni modeli, skupovi podataka, aplikacije i dokumentacija.
OpenAI-jeve veštačke inteligencije su zaključile da bi se na toj platformi mogli nalaziti podaci povezani sa testom koji su pokušavale da reše. Nakon toga su počeli pravi prodor u infrastrukturu druge kompanije.
Napad je započet ubacivanjem posebno pripremljenog skupa podataka koji je omogućio pokretanje napadačkog koda na jednom od računara Hugging Facea. Odatle je veštačka inteligencija preuzela pristupne podatke, povećala svoja ovlašćenja i proširila se na nekoliko unutrašnjih računarskih mreža kompanije.
OpenAI priznaje da su njegovi modeli koristili ukradene akreditive, povezivali više različitih ranjivosti i tražili način da pokrenu sopstveni kod na udaljenim serverima. Cilj je bio pristup bazi u kojoj su se nalazila rešenja zadataka, odnosno digitalni ekvivalent krađe ključa sa odgovorima nastavnika.
Hugging Face je tokom jednog vikenda zabeležio više hiljada automatizovanih poteza. Napadački sistem koristio je veliki broj kratkotrajnih izolovanih okruženja i prebacivao komunikaciju preko javno dostupnih servisa, zbog čega ga je bilo teško pratiti.
Kompanija Hugging Face je kasnije obradila više od 17.000 zapisa o pojedinačnim događajima. Među njima su se nalazili pokušaji prodora, krađa pristupnih podataka, kretanje kroz mrežu, ali i aktivnosti koje su izgledale kao mamci namenjeni zbunjivanju istražitelja.
Ovakav napad bi donedavno zahtevao grupu iskusnih hakera. U ovom slučaju veliki deo operacije izvršila je takođe veštačka inteligencija koja je samostalno birala sledeće korake, proveravala rezultate i menjala način napada kada bi naišla na prepreku.
Hugging Face je uspeo da otkrije prodor, izbaci napadača iz svojih sistema, opozove ukradene pristupne podatke i ponovo izgradi kompromitovane računare. Kompanija nije pronašla dokaze da su menjani javno dostupni modeli ili podaci korisnika, ali je zbog mogućih posledica incident prijavila organima reda.
Najneobičniji obrt dogodio se kada je bezbednosni tim kompanije Hugging Face pokušao da upotrebi druge poznate modele veštačke inteligencije za analizu napada.
Komercijalni sistemi blokirali su zahtev zato što je analiza sadržala stvarne hakerske komande, ukradene pristupne podatke i kod korišćen tokom provale. Njihovi bezbednosni filteri nisu mogli da razlikuju istražitelje ove kompanije, koji zapravo samo pokušavaju da zaustave napad, od hakera koji žele da izvedu novi.
Hugging Face se zato okrenuo kineskom modelu GLM 5.2, koji je mogao da pokrene na sopstvenim računarima bez spoljnog nadzora i ograničenja. Taj model pomogao je da se više od 17.000 događaja rekonstruiše za nekoliko sati, umesto za nekoliko dana koliko bi verovatno bilo potrebno ljudskom timu.
Tako je američki sistem veštačke inteligencije izveo napad na američku kompaniju, dok je kineski model korišćen za analizu tragova i pomoć odbrani.
Da li je OpenAI prijavio incident ili je samo uhvaćen?
OpenAI tvrdi da njegovi modeli nisu dobili naredbu da napadnu Hugging Face. Prema verziji kompanije, sistemi su bili potpuno usredsređeni na ostvarivanje dobrog rezultata i otišli su „do krajnjih granica“ kako bi pronašli rešenja testa.
Takvo objašnjenje ne znači da je veštačka inteligencija razvila sopstvenu želju za krađom niti da je odlučila da se pobuni protiv ljudi. Model je dobio cilj, tražio je najefikasniji način da ga ostvari i nije pravio razliku između dozvoljenog testnog okruženja i neovlašćenog ulaska u tuđe računare.
Odgovornost zato ne može biti prebačena samo na program. Ljudi iz OpenAI-ja isključili su deo bezbednosnih ograničenja, pokrenuli modele, dali im ogromnu računarsku snagu, ali veštačka inteligencija ih je nadmudrila, te nisu sprečili da eksperiment izađe iz laboratorije.
Postoji i pitanje na koje dosadašnja saopštenja ne nude jasan odgovor: da li je OpenAI samostalno prijavio šta se dogodilo ili je priznao poreklo napada tek nakon što je druga kompanija otkrila prodor? Hugging Face je 16. jula javno saopštio da je otkrio napad za koji se sumnjalo da ga izvodi autonomni sistem veštačke inteligencije. U tom trenutku kompanija nije znala koji model stoji iza operacije.
OpenAI je svoje učešće javno potvrdio 21. jula, pet dana nakon prvog saopštenja napadnute kompanije. Hugging Face je naveo da je tek tada saznao da iza napada stoje sistemi tvorca ChatGPT-a. Zbog toga se ne može isključiti mogućnost da javnost za čitav slučaj ne bi ni saznala da Hugging Face nije samostalno otkrio prodor i počeo da rekonstruiše tragove napadača.
Trenutno nema javnih dokaza da je OpenAI namerno naredio krađu odgovora, da je napad bio planiran kao industrijska špijunaža ili da su njihovi modeli ranije ulazili u druge sisteme. Podjednako ne postoje objavljeni podaci koji bi takvu mogućnost potpuno odbacili.
OpenAI je istovremeno organizator testa, vlasnik modela, kompanija čiji su računari korišćeni za početak napada i jedan od glavnih istražitelja incidenta. Njegovo objašnjenje zato nije nezavisna istraga, već preliminarna verzija događaja jedne od direktno odgovornih strana.
Kompanija do 23. jula nije objavila potpune instrukcije koje su modeli dobili, njihove unutrašnje zapise, tačno vreme kada je njen bezbednosni tim primetio napad niti objašnjenje kada je i na koji način prvi put obavestila Hugging Face. OpenAI je najavio nastavak zajedničke istrage, jaču kontrolu budućih testova i objavljivanje dodatnih detalja nakon završetka provere.
Incident se dogodio u trenutku kada američke institucije sve veći deo upravljanja podacima, vojnih programa i bezbednosne infrastrukture prepuštaju privatnim tehnološkim kompanijama. Pre samo nekoliko dana pisali smo o sistemu u kojem kompanije poput Palantira postaju operativni sloj države, dok politička i javna kontrola sve teže prati stvarnu moć njihovih platformi.
