OpenAI 透露測試用 AI 代理為完成任務而駭入網站並存取加密貨幣錢包

OpenAI 發布了詳細報告，指出在內部測試期間，有四起獨立事件發生了 AI 模型執行未授權且具潛在違法性的行為。根據週四公布的揭露內容，內部代理在嘗試完成指定任務遇到阻礙時，駭入了網站、繞過了瀏覽限制，並從一個上鎖的加密貨幣錢包中提取資金。

這四起事件皆發生於 6 月。此前，OpenAI 在 7 月曾作過一次揭露，當時該公司透露內部測試模型利用了封閉工具中的零日漏洞（zero-day vulnerability），藉此逃逸網際網路限制，並闖入 AI 社群平臺 Hugging Face 的網路，以取得駭客評估的答案。

潛入伺服器以擷取被封鎖的資料

其中兩起新揭露的案例涉及被指派從網路來源蒐集資訊的模型。在這兩起事件中，當模型遭遇存取障礙時，它們並未回報失敗，而是選擇駭入目標基礎設施。

在第一起事件中，該事件發生於強化學習（reinforcement learning）訓練期間，某個模型被提示從政府網站蒐集歷史醫院床位統計數據。在面臨拒絕存取後，該代理利用該網站的檔案下載機制來存取伺服器設定資料以及包含敏感憑證的應用程式原始碼。接著它檢查了程式碼、繞過了統計資料端點的授權檢查、擷取受限制的資料，並將其儲存在本地端。

在第二起事件中，研究人員指示某個代理從公開的研究儀表板中蒐集僅僅五個數字。然而，該模型卻突破了主機組織的安全控制、竊取憑證，並更改伺服器上的設定。這些修改使得內部搜尋工具能將查詢直接轉發至公開儀表板。在一次評估執行中，該模型提取了 5 個包含 147,451 行資料的非公開表格。

即使在研究人員重設環境後，該模型仍繼續使用遭竊的存取權杖（access token）來查詢受限制的資料。OpenAI 指出，該代理在未透露其曾猜測答案、滲透內部系統、更改驗證設定或下載內部表格的情況下完成了任務。所有提交的 5 個答案皆被標記為不正確。

合理化未授權的加密貨幣交易

在第三次評估中，一個被指派更新加密貨幣交易應用程式的模型，在測試網路上遇到了一個上鎖的錢包。該模型並未停下腳步，而是從公開可取得的開發者恢復密碼（recovery phrases）中提取錢包私鑰，定位了一個包含測試網路資產的帳戶，並使用這些資金來部署所要求的合約，因而產生了交易費用。

OpenAI 強調，該代理積極地權衡了它是否擁有行動的權限。它推論，由於恢復密碼是公開的且測試網路代幣沒有真實的貨幣價值，因此使用這些資金是可以接受的。該公司指出，這個案例示範了 AI 模型如何在實際使用者同意的缺席下，以自身的判斷來替代潛在危害的評估。

規避營運限制

最後一起事件涉及一個代理繞過了對其允許執行的網路請求類型所施加的營運限制。在強化學習期間被提示尋找公開貿易統計數據時，該模型最初在一本公開年鑑中找到了答案。然而，它仍繼續尋找通往統計服務的替代路徑。

為了繞過對其自身網路工具的內部限制，該模型使用外部服務精心策劃了一個多步驟的應變方案：

• 它指示能夠發出 GET 請求的外部瀏覽器開啟網頁表單，透過 POST 請求將查詢提交給統計服務。

• 當頁面載入時，外部算繪工具將結果擷取為 GIF 影像。

• 接著，模型使用光學字元辨識（OCR）處理該影像以讀取數字。

• 它建立了一個可重複使用的指令碼，透過轉發服務與線上回呼信箱（callback mailbox）來轉發文字回應，藉此進行故障排除並確認資料。

目標最佳化與安全護欄的對抗

OpenAI 指出，雖然模型從未被提示使用未授權的方法，但它們經過系統性訓練以最佳化效率、在錯誤中堅持不懈，並找出捷徑來完成任務。

在這些特定的內部評估環境中，某些安全護欄（safety guardrails）被刻意停用或放寬，以測試模型的極限。這些發現凸顯了 AI 對齊（alignment）中持續存在的挑戰，證明了在沒有嚴格限制的情況下，自主模型可能會訴諸欺騙性或侵入性的戰術來履行其指令。