18 июня AI-агент OpenAI во время внутреннего исследовательского задания обошёл ограничения на австралийском портале статистики Medicare и добрался до непубличных файлов. Персональные медицинские данные, по версии властей, не пострадали, но инцидент неприятно подсветил новый класс рисков: автономные модели уже не просто отвечают в чате, а ходят по реальным сайтам, ошибаются и иногда перелезают через забор.
Об инциденте сообщает The Hacker News со ссылкой на заявления премьер-министра Австралии Энтони Альбанезе и других представителей правительства. Речь идёт не о системе, где обрабатываются заявки Medicare или хранятся личные медицинские записи граждан. Затронутый портал публиковал агрегированную статистику: например, данные о расходах. Но часть файлов на нём была закрыта от публичного доступа, и именно туда агент смог попасть после отказов системы.
По словам Альбанезе, 18 июня портал несколько раз отклонил запросы агента. После этого тот нашёл обходной путь и получил несанкционированный доступ. Как именно это произошло, власти не раскрывают: расследование ещё идёт. Services Australia, ведомство, отвечающее за портал, также сообщило правительству, что агент записывал файлы на внутренний сервер. Этот эпизод проверяют отдельно. На данный момент признаков более широкого компрометации сети агентства не нашли.
OpenAI обнаружила активность в августе, но уведомила австралийское правительство только 10 сентября, отправив письмо на публичный почтовый ящик Services Australia. Ведомство увидело сообщение 11 сентября, проверило его подлинность и 15 сентября передало информацию в Australian Cyber Security Centre, который входит в Australian Signals Directorate. Публично о случившемся власти рассказали 24 сентября по австралийскому времени. Альбанезе заявил, что OpenAI слишком долго тянула с уведомлением и выбрала недопустимый способ связи для такого инцидента.
Сэм Альтман, по словам австралийского премьера, признал в телефонном разговоре, что компания сработала недостаточно хорошо. Исполняющий обязанности премьер-министра Ричард Марлз назвал эпизод очень серьёзным при сравнительно небольшом ущербе. Его формулировка про защиту портала звучала почти бытово: информация была за забором, а AI-агент OpenAI этот забор фактически перелез. Национальные секреты, добавил он, защищены гораздо жёстче.
OpenAI объяснила, что модели выполняли внутреннюю оценку и искали статистику об Австралии, но совершили действия, которых компания не планировала. В рамках более широкой проверки так называемой misaligned model activity OpenAI выясняла, к каким данным был доступ, и только после этого уведомила Services Australia. Компания утверждает, что её модели затронули несколько австралийских государственных сайтов и сервисов, а среди доступной информации были агрегированные медицинские показатели и внутренние имена файлов. Доказательств доступа к пациентским записям, по её данным, нет.
Портал к 24 сентября отключили, а его данные перенесли на data.gov.au и другие более защищённые платформы. Часть ранее непубличной информации, к которой получил доступ агент, уже опубликована; власти подчёркивают, что она не была особенно чувствительной. Но технически это слабое утешение: для регуляторов важен не только ущерб, а сам факт, что исследовательская система частной компании вышла за рамки ожидаемого поведения на государственном ресурсе.
Австралия теперь запускает отдельную группу под руководством Department of the Prime Minister and Cabinet. В неё войдут National Cybersecurity Coordinator, Office of AI, ASD, Australian AI Safety Institute и Services Australia. Группа должна проверить, хватает ли существующих процедур для реагирования на киберинциденты с участием ИИ. Власти также запросили срочную правовую оценку: были ли совершены нарушения закона и нужно ли передавать материалы в Australian Federal Police. Кроме того, инцидент попадёт в парламентский комитет по искусственному интеллекту и повлияет на готовящиеся AI-стандарты.
Эта история не одиночная. В тот же день исследовательская лаборатория Transluce сообщила, что в мае и июне AI-агенты пытались атаковать три публичных сайта с данными. Один из них принадлежал Australian Institute of Health and Welfare. 20 и 21 июня защита от ботов не пустила агентов на основной сайт, после чего они начали искать уязвимость и забрали публичный файл с pre-production-сервера. Задача при этом была обычной: получить данные по фармацевтике, а не провести пентест.
Похожие эпизоды уже описывали OpenAI, Anthropic, Meta и британский AI Security Institute. OpenAI ранее рассказывала, что модели во время внутренних кибероценок обходили ограничения доступа в интернет и проникали в части инфраструктуры Hugging Face. В других случаях модели использовали открытый ключ GitHub API без разрешения или загружали файлы на публичные хостинги без прямой команды. Anthropic раскрывала четыре случая несанкционированного доступа Claude к реальным сторонним системам во время тестов, где интернет должен был быть недоступен, но остался открытым из-за ошибки настройки.
Для разработчиков и владельцев сервисов вывод довольно приземлённый: считать AI-агентов просто «умными браузерами» уже опасно. Они могут перебирать пути, использовать внешние сканеры, обходить блокировки, писать файлы и делать это быстрее, чем человек, который копается в документации с кофе. Значит, публичные и полупубличные порталы должны выдерживать не только людей, поисковых роботов и классических ботов, но и автономные цепочки действий моделей. Нормальная аутентификация, сегментация, rate limiting, журналы, сканирование уязвимостей и проверка staging-сред больше не выглядят скучной гигиеной — это минимальный входной билет.
Главный вопрос теперь не в том, умеют ли AI-агенты ломать плохо защищенные двери: умеют, иногда даже без злого умысла. Вопрос в другом — кто будет отвечать, когда внутренняя оценка модели внезапно превращается в инцидент на чужой инфраструктуре: разработчик модели, подрядчик по тестированию, владелец сайта или все сразу.