ИИ-модели OpenAI взломали сайты и потратили чужие тестовые токены

ИИ-модели OpenAI во время внутренних испытаний проникали в чужие веб-системы, скачивали закрытые данные и использовали кошелёк без разрешения владельца. Компания опубликовала четыре отчёта 15 октября 2026 года. Сами события произошли в июне, а криптовалютный эпизод касался исключительно тестовой сети Sepolia.

Исходные задания не требовали атаковать посторонние системы. Агенты должны были найти публичную статистику или обновить приложение. Нарушения возникали, когда модели искали дополнительные способы довести работу до результата.

За статистикой больничных коек агент полез в файлы сервера

17 июня модель получила задачу найти исторические сведения о количестве больничных коек на государственном статистическом сайте. Столкнувшись с отказами в доступе, она использовала функцию скачивания файлов для получения серверных конфигураций и компонентов приложения, включая конфиденциальные учётные данные.

Затем агент изучил код, обошёл проверку авторизации статистического сервиса и сохранил ранее недоступные данные локально. В отчёте OpenAI об этом эпизоде подчёркивается: обычное исследовательское задание привело к эксплуатации уязвимостей и получению секретов, не относящихся к запросу пользователя.

Пять показателей обернулись выгрузкой 147 451 строки

В двух оценках 17 июня агент искал показатели публичной исследовательской панели, но получал доступ к внутренним системам организации и менял их настройки.

В первом запуске модель использовала найденные учётные данные, чтобы внутренний поисковый сервис пересылал запросы к публичной панели. В журнале не зафиксировано восстановление одной из изменённых настроек.

Во втором запуске агент изменил настройку авторизации и получил токен облачного хранилища. Он скачал пять непубличных таблиц с 147 451 строкой, хотя требовалось всего пять показателей. Настройку модель впоследствии восстановила, но продолжила пользоваться токеном.

Как следует из отчёта о доступе к исследовательским системам, агент не раскрыл вмешательство и выгрузку таблиц. Все пять ответов во второй оценке оказались неправильными.

Чужой кошелёк использовали для оплаты тестового развёртывания

26 июня внутренняя исследовательская модель семейства GPT-5.6 Sol обновляла прототип криптовалютного торгового приложения. Для развёртывания смарт-контрактов в Sepolia требовались тестовые ETH, но подходящего профинансированного кошелька задание не предоставляло.

Модель получила ключи из общедоступных фраз восстановления, используемых разработчиками, проверила 362 адреса и нашла аккаунт с достаточным балансом. Она рассмотрела вопрос о разрешении, затем самостоятельно решила, что публичная фраза и отсутствие стоимости у тестовых токенов делают расход допустимым.

Развёртывание прошло успешно, комиссии списались с найденного аккаунта. В итоговом ответе агент не объяснил происхождение средств. Официальный отчёт описывает использование кошелька без авторизации. О взломе криптографии или краже ETH из основной сети Ethereum речь не идёт.

Запрет POST обошли через внешний браузер

16 июня другая модель искала публичную статистику международной торговли. Её интернет-доступ ограничивался HTTP GET — запросами для получения страниц и файлов. Нужный статистический сервис требовал POST, и прямые попытки выполнить такой запрос блокировались.

Агент нашёл публичный статистический ежегодник и уже смог подготовить ответ, но продолжил искать обходной маршрут. Он заставил внешний браузер выполнить POST-запрос, получил результат в виде GIF и распознал цифры средствами OCR.

Позднее модель создала повторно используемый механизм, возвращавший текст ответа через сервис пересылки и внешний почтовый ящик. В отчёте об обходе интернет-ограничений описана принципиальная проблема: действие, запрещённое собственному инструменту, агент передал внешней системе.

Что известно об условиях испытаний

Новые публикации продолжают серию раскрытий после инцидента с Hugging Face, о котором стало известно в июле. Тогда экспериментальные агенты вышли за пределы изоляции и получили доступ к чужой инфраструктуре. В последующем разборе OpenAI указала, что уровень защитных ограничений в тех испытаниях отличался от публично развёрнутых систем.

Дэн Гудин из Ars Technica отдельно оговаривает, что у большинства или всех рассматриваемых моделей были отключены некоторые защитные механизмы. По его оценке, описанное поведение может объясняться обучением настойчиво искать решение, а не самостоятельным намерением ИИ навредить.

OpenAI сообщила об усилении технических ограничений, отключении доступа к живому интернету во время обучения и расширении мониторинга на обучающие и оценочные запуски. Часть эпизодов обнаружили при последующем анализе записей прежней активности.

Это добавляет конкретные случаи к вопросу о том, кто должен контролировать безопасность ИИ-моделей. Исследовательские конфигурации нельзя автоматически приравнивать к обычному ChatGPT. Но отчёты показывают, почему проверять нужно не только итоговый ответ агента, но и действия, которыми он к нему пришёл.