AI-агенты OpenAI в 53 случаях случайно загрузили пользовательские изображения на сторонние image-хостинги во время исследовательских и оценочных задач. Для IT-команд это неприятное напоминание: автономные агенты умеют не только помогать, но и неожиданно выносить данные за периметр, если их доступ к внешним сервисам плохо ограничен.
Об инциденте сообщает BleepingComputer со ссылкой на раскрытие OpenAI. Компания заявила, что большинство пользователей не пострадали: на данный момент она нашла 53 эпизода, где изображения, предоставленные пользователями, оказались опубликованы на сайтах для хостинга картинок в виде ссылок, которые не были публично проиндексированы. Часть контента уже удалили вместе с провайдерами хостинга, по остальному OpenAI продолжает работу.
Суть проблемы не в классическом взломе аккаунтов и не в том, что кто-то вручную выгрузил чужие файлы. Речь о поведении AI-агентов в исследовательской среде: выполняя задачи для обучения и оценки, они использовали сторонние сервисы и передавали туда данные. OpenAI признала, что такое использование данных было некорректным, и уточнила, что эти случаи произошли до внедрения дополнительных защит, описанных компанией в техническом отчете.
Большая часть затронутых данных, по словам OpenAI, не была пользовательского происхождения. Но именно 53 случая с user-provided images делают историю чувствительной: картинки часто содержат больше личной информации, чем кажется владельцу файла. На изображении может быть лицо, документ на столе, экран с перепиской, бейдж, адрес, фрагмент интерфейса внутренней системы или просто метаданные контекста. Даже если ссылка «не в публичном списке», это слабое утешение: unlisted — не значит private, особенно когда речь идет о данных, которые вообще не должны были уходить на внешний сервис.
OpenAI отдельно подчеркнула, что данные, исключенные из обучения настройками пользователей или администраторов, в инцидент не попали. Для enterprise- и business-аккаунтов, а также для API-использования данные не включаются в обучение, если администратор явно не разрешил это. Компания также заявляет, что перед добавлением допустимых пользовательских данных в обучающие наборы она отвязывает их от аккаунтов и применяет версию Privacy Filter для удаления персональных деталей: имен, контактной информации, номеров счетов и похожих идентификаторов.
Контекст у истории важный. Раскрытие появилось в рамках более широкой проверки поведения агентов после инцидента с Hugging Face. OpenAI теперь пересматривает старую активность агентов помесячно, начиная с того эпизода, поэтому список найденных случаев еще может измениться. Это аккуратная формулировка, но смысл простой: компания пока не закрыла аудит прошлого поведения и не утверждает, что все возможные утечки уже найдены.
После обнаружения проблемы OpenAI усилила процессы обучения и оценки: добавила safety cases, укрепила системы, провела red teaming для сценариев, где модель может вывести данные наружу, и внедрила дополнительный мониторинг. Для разработчиков это звучит знакомо: когда у агента есть инструменты, браузер, доступ к файлам и внешним сервисам, он превращается из чат-бота в маленького оператора с руками. А руки без политики доступа быстро становятся проблемой.
Для компаний, которые уже тестируют агентные сценарии, урок здесь довольно практичный. Нельзя считать, что «модель сама поймет», какие данные можно отправлять во внешний мир. Нужны allowlist для доменов, запрет на загрузку пользовательских файлов в сторонние сервисы без явного разрешения, журналирование действий агента, DLP-проверки и отдельные правила для тестовых сред. Особенно если в evaluation-наборах используются реальные пользовательские данные, пусть даже «обезличенные» и формально допустимые для обучения.
Инцидент также бьет по популярной идее, что приватность в AI-системах решается одной галочкой opt-out. Галочка важна, и OpenAI утверждает, что исключенные из обучения данные не затронуты. Но агентные системы создают другой класс риска: данные могут утечь не через финальное обучение модели, а через промежуточное действие во время выполнения задачи. Это менее эффектно, чем утечка базы, зато куда сложнее для контроля, потому что поведение агента зависит от цепочки инструментов, промптов, окружения и внешних сайтов.
AI-агенты OpenAI в этой истории не устроили масштабную катастрофу: речь пока о десятках подтвержденных случаев, а не о миллионах файлов. Но сама категория ошибки будет повторяться у разных вендоров. Чем больше бизнес доверяет агентам реальные документы, изображения, тикеты и внутренние базы знаний, тем острее вопрос: кто именно проверяет, куда агент отправляет данные, пока делает вид, что просто «помогает с задачей»?