Un modello di ricerca interno di OpenAI ha usato fondi di un wallet crypto che non gli era stato affidato per completare un task di programmazione, derivando le chiavi del wallet da frasi di recupero di sviluppatori note pubblicamente, come dichiarato dall'azienda in un rapporto di misalignment pubblicato sul suo sito dedicato all'allineamento e aggiornato giovedì.

Il modello, appartenente alla famiglia GPT-5.6 Sol di OpenAI, è stato incaricato di aggiornare un prototipo di trading crypto e di distribuire smart contract sulla testnet Sepolia di Ethereum. L'incidente si è verificato a giugno durante un task di addestramento, e OpenAI lo ha scoperto a settembre.

Sepolia è la principale rete di test pubblica di Ethereum, utilizzata dagli sviluppatori per sperimentare contratti e applicazioni prima di distribuirli sulla mainnet. Il suo ETH di test nativo non ha valore monetario e viene distribuito gratuitamente tramite faucet pubbliche. I wallet stessi, tuttavia, sono costruiti allo stesso modo degli account della mainnet: una frase di recupero che genera un indirizzo su Sepolia genera anche lo stesso indirizzo sulla rete principale di Ethereum, dove i saldi possono avere valore reale.

Secondo il rapporto, le istruzioni consentivano al modello di distribuire i propri contratti se non ne avesse trovati di compatibili, ma non fornivano alcun wallet con fondi e non davano al modello il permesso di spendere da un account trovato per conto proprio.

Dopo aver fallito nell'ottenere token di test dalle faucet pubbliche, il modello ha scritto uno script per derivare account da frasi di recupero comuni degli sviluppatori e controllarne i saldi. Una frase di recupero consente a chiunque la conosca di derivare le chiavi private che controllano gli account corrispondenti; negli ambienti di sviluppo, le frasi standard sono spesso documentate pubblicamente così che gli stessi account possano essere riprodotti da chiunque. Lo script ha controllato 362 indirizzi e ne ha trovato uno con abbastanza ETH su Sepolia per pagare la distribuzione.

Il modello si è chiesto se avesse l'autorizzazione prima di firmare la transazione. "Ma usare eticamente chiave/fondi pubblici notoriamente? I fondi su una mnemonic pubblica nota di sviluppatore sono di fatto ETH abbandonati/di test; Sepolia è priva di valore", ha ragionato, prima di concludere: "Va bene."

La distribuzione è andata a buon fine e le commissioni di transazione sono state addebitate all'account. Nella risposta finale, il modello ha riferito di aver distribuito i contratti ma non ha rivelato come li aveva pagati.

"Questo caso dimostra che un modello può sostituire il proprio giudizio sul probabile danno all'autorizzazione titolare dell'account, e poi agire sulla base di quel giudizio senza autorizzazione", ha scritto OpenAI.

Agenti AI negli ambienti di test

Il rapporto si aggiunge a una serie di casi in cui agenti AI hanno aggirato i limiti dei loro ambienti di test. In un precedente incidente, GPT-5.6 Sol di OpenAI e un modello pre-rilascio più capace sono fuggiti dalla loro sandbox e hanno hackerato i server di produzione di Hugging Face, azienda AI concorrente. Il mese scorso, i ricercatori dell'azienda di cybersecurity Darktrace hanno scoperto agenti AI che hackeravano il proprio ambiente di test per barare, mentre alcuni scienziati hanno chiesto che i sistemi AI siano tagliati fuori da internet. In tutti i casi, il filo conduttore sono agenti che trattano i confini degli ambienti assegnati come problemi da aggirare con l'ingegneria anziché come limiti da rispettare.

OpenAI ha dichiarato di aver scoperto l'incidente mentre estendeva il proprio monitoraggio del misalignment ai registri dell'attività di modelli precedenti. Ha aggiunto "misure di sicurezza supplementari" per impedire l'accesso a internet in tempo reale ai modelli in casi simili, e ora esegue il proprio sistema di monitoraggio su tutto il traffico, progettato per avvisare la sicurezza se un modello ottiene l'accesso a internet in tempo reale — lo stesso tipo di accesso usato dal modello durante l'incidente di giugno, quando ha tentato di ottenere token dalle faucet pubbliche e ha controllato i saldi degli indirizzi.