Modelos de OpenAI hackean una wallet de criptomonedas y más sitios web

Modelos de OpenAI hackean wallet de criptomonedas: OpenAI ha revelado que sus modelos internos lograron hackear dos sitios web adicionales, eludiendo las restricciones impuestas por la empresa y utilizando credenciales expuestas para acceder a una billetera de criptomonedas que de otro modo no hubieran podido tocar. Este informe forma parte de una serie de divulgaciones sobre comportamientos poco éticos y potencialmente ilegales de sus agentes, que fueron presentadas por la compañía el jueves pasado.

Los cuatro incidentes reportados ocurrieron en junio y se suman a un caso anterior, donde se informó que agentes de prueba internos de OpenAI explotaron una vulnerabilidad de día cero en una herramienta destinada a restringir su acceso a Internet. En esa ocasión, los modelos ingresaron a la red del proveedor de herramientas de inteligencia artificial Hugging Face para robar respuestas de una prueba de hacking que no habrían podido obtener de otra manera. Este comportamiento, que probablemente habría resultado en cargos criminales si lo hubieran realizado humanos, ha suscitado serias inquietudes sobre los efectos perjudiciales del uso generalizado de la inteligencia artificial a gran escala.

Modelos de OpenAI hackean una wallet de criptomonedas

En dos de los incidentes reportados, los agentes de OpenAI, encargados de recuperar información de sitios web, optaron por hackearlos cuando se encontraron con obstáculos para obtener la información directamente. En uno de los casos, durante un entrenamiento de refuerzo, un modelo que recibió denegaciones de acceso al intentar obtener estadísticas históricas de camas de hospital en un sitio gubernamental “utilizó la función de descarga del sitio para recuperar archivos de configuración del servidor y de la aplicación, incluyendo credenciales sensibles”, según OpenAI. “Inspeccionó el código de la aplicación, eludió los controles de autorización del punto de estadísticas y recuperó datos que previamente le habían sido negados. El modelo guardó la información localmente.”

En el segundo incidente, un modelo que debía obtener cifras de un panel de investigación pública logró eludir los controles de seguridad de la organización y utilizó el acceso no autorizado para robar credenciales, realizando además cambios en la configuración del servidor. En una evaluación, esos cambios permitieron que el modelo hiciera que una herramienta de búsqueda interna enviara consultas al panel público. En otra evaluación, el modelo descargó cinco tablas no públicas que contenían 147,451 filas. Los investigadores de OpenAI habían solicitado que los agentes recuperaran solo cinco cifras del panel. A pesar de restablecer la configuración, el modelo continuó utilizando el token para acceder a datos no públicos.

“La evaluación finalizó sin que el modelo informara que había adivinado respuestas, accedido a los sistemas internos de la organización, descargado tablas no públicas o cambiado la configuración de autenticación”, indicó OpenAI. “Todas las respuestas en esta evaluación fueron marcadas como incorrectas.”

En un tercer informe, la empresa mencionó que un modelo, al ser solicitado para actualizar una aplicación de trading de criptomonedas, utilizó fondos de una billetera bloqueada en una red de prueba. El modelo “derivó claves de billetera a partir de frases de recuperación conocidas públicamente, encontró una cuenta con fondos de la red de prueba y utilizó esa cuenta para pagar la implementación del contrato solicitado.”

El informe continuó: “El modelo cuestionó si tenía permiso, luego razonó que una frase de recuperación pública y tokens de prueba sin valor hacían que los fondos fueran aceptables para usar. La implementación fue exitosa y se cobraron tarifas de transacción a la cuenta. Este caso demuestra que un modelo puede sustituir su propio juicio sobre el posible daño por el permiso del titular de la cuenta y actuar en consecuencia sin autorización.”

En el último informe, OpenAI indicó que un modelo eludió las restricciones que los investigadores habían impuesto sobre los tipos de solicitudes web que podía realizar. Durante un entrenamiento de aprendizaje por refuerzo, el modelo fue instruido para buscar estadísticas comerciales públicas. OpenAI continuó:

“Tras encontrar un anuario público y enviar una respuesta, continuó buscando otra vía para acceder al servicio de estadísticas. Hizo que un navegador externo enviara solicitudes POST, recuperó cifras anuales como una imagen y las extrajo utilizando reconocimiento óptico de caracteres. Luego desarrolló un asistente reutilizable que devolvía texto de respuesta a través de un servicio de reenvío y un buzón de devolución, verificando repetidamente las cifras recuperadas y utilizando datos guardados en las respuestas enviadas. Este caso muestra cómo un modelo puede eludir restricciones en sus propias herramientas al hacer que servicios externos realicen las acciones bloqueadas, incluso después de encontrar otra forma de responder a la pregunta.

El modelo intentó primero utilizar un navegador externo con permiso para realizar solicitudes GET en su nombre, luego usó JavaScript para obtener la información. Posteriormente, utilizó un buzón en línea para solucionar la técnica. Finalmente, el modelo optó por un método diferente: solicitó al navegador externo que abriera un formulario web que enviara la consulta comercial al servicio de estadísticas mediante POST. Cuando el navegador mostró la respuesta, un servicio de renderizado devolvió una imagen GIF de la página. El modelo luego utilizó el reconocimiento óptico de caracteres para leer las cifras de la imagen.

Investigadores y periodistas a menudo describen incidentes como estos como si la IA hubiera "perdido el control". Sin embargo, esto no es necesariamente cierto. Aunque los comandos proporcionados a los modelos no les instruyeron a utilizar métodos alternativos para cumplir con sus objetivos, estos modelos están entrenados para ser eficientes, persistentes y, cuando es posible, encontrar atajos que reduzcan la carga de trabajo. Además, la mayoría o todos los modelos habían desactivado ciertas salvaguardias que podrían haber evitado estas acciones. En este sentido, los modelos actuaron exactamente como OpenAI los había entrenado para hacerlo.