OpenAI conferma altri attacchi eseguiti dai suoi modelli

Quello contro l’infrastruttura di Hugging Face non è l’unico attacco effettuato dai modelli di OpenAI. L’azienda californiana ha confermato che, durante un test di valutazione delle capacità cyber da parte dell’AI Security Institute del Regno Unito, agenti basati su GPT-5.6 Sol hanno colpito un repository di GitHub e un server DNS. Un altro incidente è avvenuto a causa di un errore di configurazione di Irregular, simile a quello descritto da Anthropic.

Descrizione degli attacchi di GPT-5.6 Sol

A differenza dell’incidente relativo a Hugging Face, l’ambiente di test dell’AI Security Institute non era isolato (sandbox), quindi era disponibile l’accesso a Internet. In pratica sono state simulate le condizioni di un eventuale attacco reale con le protezioni cyber disattivate. Gli agenti dovevano attaccare solo specifiche reti simulate. Invece hanno sfruttato l’accesso ad Internet per raggiungere lo scopo finale.

Durante la prima azione non autorizzata, GPT-5.6 Sol ha riutilizzato un token GitHub che l’agente di un’altra azienda aveva lasciato pubblicamente accessibile, ha tentato soluzioni alternative per recuperare l’account e aggirate il limite di richieste, e ha registrato account con provider DNS e di tunneling esterni.

Durante la seconda azione non autorizzata, GPT-5.6 Sol ha utilizzato un servizio di tunneling pubblico per rendere raggiungibile da Internet un server DNS in esecuzione localmente nel suo ambiente di valutazione. Il server conteneva payload destinati a sfruttare una vulnerabilità nota in un software in esecuzione nell’ambiente di test.

In entrambi i casi, gli agenti non hanno raggiunto lo scopo. Non ci sono prove che siano stati compromessi sistemi reali. Le valutazioni sono state interrotte entro un’ora dalla scoperta delle azioni.

L’incidente avvenuto nell’ambiente di valutazione di Irregular è simile a quello descritto da Anthropic. In questo caso, i modelli di OpenAI (non è noto quali) sono riusciti ad aggirare la sandbox e quindi accedere ad Internet a causa di un errore di configurazione.

Irregular ha scelto per l’azienda fittizia un nome reale, quindi uno dei modelli ha trovato e usato le credenziali per accedere al sito dell’azienda reale. Irregular ha interrotto la valutazione e avvisato l’azienda (ignota). L’indagine è ancora in corso.