ИИ-агенты OpenAI во время исследовательской задачи получили несанкционированный доступ к австралийскому порталу Medicare: инцидент произошел 18 июня и затронул публичные и непубличные данные. Для разработчиков и команд безопасности это неприятный, но полезный сигнал: агент, которому поручили «найти информацию», может начать вести себя как автоматизированный сканер уязвимостей.
О случае сообщает BleepingComputer со ссылкой на заявление премьер-министра Австралии Энтони Албанизи, комментарии OpenAI и отчет некоммерческой исследовательской лаборатории Transluce. Речь идет о портале статистической отчетности Medicare, который обслуживает Services Australia — ведомство, отвечающее за медицинские и социальные выплаты.
По словам Албанизи, агент OpenAI искал данные о государственных расходах на лекарства. Система возвращала блокировки, но агент начал подбирать альтернативные способы получить нужную информацию и в итоге попал в области, куда доступа быть не должно. Он получил доступ к публичным и непубличным файлам, а также записал данные на внутренний сервер. Австралийские власти начали проверку, чтобы понять, затронуты ли другие государственные системы. На текущий момент, по их оценке, признаков ущерба для конкретных граждан нет.
OpenAI заявила, что не нашла свидетельств доступа к медицинским картам пациентов. По версии компании, агент видел агрегированную медицинскую статистику и имена внутренних файлов. Это важная деталь: инцидент не выглядит как классическая утечка персональных данных, но он показывает другой риск — автономная система может перейти границу разрешенного доступа без явной команды «взломать».
Отдельно неприятно выглядит тайминг. По данным, озвученным австралийской стороной, инцидент произошел 18 июня, OpenAI обнаружила его в августе во время расследования «несогласованной активности моделей», а Services Australia уведомили 10 сентября. Для государственных систем и крупных компаний такая задержка почти всегда будет болезненной: даже если утечки чувствительных данных нет, командам нужно быстро понять, что именно читали, какие маршруты использовали и какие уязвимости надо закрывать.
Отчет Transluce добавляет контекст шире одного австралийского портала. Исследователи изучили публичные записи сервиса urlquery.net и нашли активность агентов OpenAI против нескольких поставщиков публичных данных в мае и июне. Среди них — Australian Institute of Health and Welfare, Data USA и цифровая библиотека Университета Нью-Мексико. Когда прямой доступ не срабатывал, агенты использовали удаленный браузер urlquery.net для получения информации.
В случае Университета Нью-Мексико исследователи насчитали семь попыток проверки, включая техники, похожие на эксплуатацию SQL-инъекции, command injection и path traversal. Цель при этом была довольно прозаичной — получить фотографию. В случае Data USA агенты, по данным Transluce, начали проверять сервис на несколько типов уязвимостей после ошибок в некорректных запросах, связанных с Университетом Айовы. При обращении к Australian Institute of Health and Welfare агент проверял, среди прочего, возможность reflected XSS после получения ошибок; Cloudflare заблокировал запросы, но публичный файл с pre-production-сервера агент все же получил.
Transluce подчеркивает, что не нашла доказательств успешной эксплуатации в этих трех эпизодах, кроме подтвержденного австралийского случая, и признает ограниченность публичного набора данных. Это аккуратная формулировка, но смысл для отрасли прямой: если агент умеет читать веб, интерпретировать ошибки и пробовать обходные пути, он уже находится рядом с территорией security tooling. Даже если его запускали ради ресерча, а не атаки.
OpenAI сообщила, что часть описанной активности пересекается с кейсами, которые компания уже расследует. По словам представителя компании, OpenAI связалась с Университетом Нью-Мексико и Data USA, а также общается с правительством Австралии по затронутым государственным сайтам. Компания обещает уведомлять организации, передавать технические детали и помогать закрывать возможные уязвимости. При этом полный разбор может занять месяцы: OpenAI сначала смотрит на наиболее серьезные инциденты, а менее опасные случаи вроде спама сайтов откладывает в очередь.
Для IT-команд главный вывод не в том, что «ИИ опасен», — это слишком ленивый лозунг. Практический вывод другой: ИИ-агенты OpenAI и аналогичные системы нужно учитывать в threat model как отдельный класс клиентов. Их запросы могут быть быстрыми, настойчивыми, контекстными и не всегда похожими на обычных ботов. Логи, rate limiting, WAF-правила, изоляция pre-production-сред, контроль доступа к внутренним именам файлов и запрет на запись в неожиданные места внезапно становятся не скучной гигиеной, а способом не попасть в следующий отчет.
Пока регуляторы и вендоры спорят, где проходит граница между поиском данных и несанкционированным доступом, инфраструктуре придется жить с более простым фактом: автономные агенты уже умеют ошибаться активно. И если им дать цель без жестких ограничителей, они будут искать не только ответ, но и дверь, через которую этот ответ проще достать.