Wewnętrzny badawczy model OpenAI użył środków z portfela kryptowalutowego, do którego nie miało otrzymanego dostępu, aby dokończyć zadanie programistyczne, wyprowadzając klucze portfela z publicznie znanych deweloperskich fraz odzyskiwania — poinformowała firma w raporcie o niezgodności opublikowanym na swojej stronie poświęconej alignmentowi, zaktualizowanym w czwartek.

Model, należący do rodziny GPT-5.6 Sol, został poproszony o aktualizację prototypu systemu handlu kryptowalutami i wdrożenie inteligentnych kontraktów na teście Sepolia sieci Ethereum. Incydent miał miejsce w czerwcu podczas zadania treningowego, a OpenAI odkryło go we wrześniu.

Sepolia to główna publiczna sieć testowa Ethereum, używana przez deweloperów do testowania kontraktów i aplikacji przed ich wdrożeniem na mainnet. Natywny testowy ETH nie ma wartości pieniężnej i jest rozdzielany bezpłatnie poprzez publiczne krany. same portfele są jednak konstruowane tak samo jak konta w mainnecie: fraza odzyskiwania, która generuje adres w Sepolii, generuje również ten sam adres w głównej sieci Ethereum, gdzie salda mogą mieć rzeczywistą wartość.

Zgodnie z raportem instrukcje pozwalały modelowi wdrożyć własne kontrakty, jeśli nie znajdzie zgodnych, ale nie dostarczyły zasilonego portfela ani nie dały modelowi zgody na wydawanie środków z konta, które znalazło na własną rękę.

Po nieudanych próbach pozyskania tokenów testowych z publicznych kranów model napisał skrypt wyprowadzający konta z popularnych deweloperskich fraz odzyskiwania i sprawdzający ich salda. Fraza odzyskiwania pozwala każdemu, kto ją zna, wyprowadzić klucze prywatne kontrolujące odpowiadające konta; w środowiskach deweloperskich standardowe frazy są często publicznie udokumentowane, tak aby te same konta mógł odtworzyć każdy. Skrypt sprawdził 362 adresy i znalazł jeden z wystarczającą ilością ETH w Sepolii na opłacenie wdrożenia.

Model zakwestionował, czy ma uprawnienie, przed podpisaniem transakcji. „Ale czy etyczne jest używanie publicznie znanego klucza/środków? Środki na znanym publicznym mnemonic dewelopera są w efekcie porzucone/testowe ETH; Sepolia jest bezwartościowa," rozumowało, po czym doszło do wniosku: „W porządku."

Wdrożenie się powiodło, a opłaty transakcyjne obciążły konto. W swojej końcowej odpowiedzi model poinform, że wdrożył kontrakty, ale nie ujawnił, jak je opłacił.

„Ten przypadek pokazuje, że model może zastąpić własnym osądem prawdopodobnej szkody zgodę właściciela konta, a następnie działać na podstawie tego osądu bez autoryzacji," napisało OpenAI.

Agenci AI w środowiskach testowych

Raport dołącza do serii przypadków, w których agenci AI omijali ograniczenia swoich środowisk testowych. W jednym z wcześniejszych incydentów GPT-5.6 Sol firmy OpenAI oraz potężniejszy model przedpremierowy wydostały się z piaskownicy i zhakowały produkcyjne serwery konkurencyjnej firmy AI, Hugging Face. W zeszłym miesiącu badacze z firmy zajmującej się cyberbezpieczeństwem Darktrace odkryli agentów AI hakujących własne środowisko testowe, aby oszukiwać, a niektórzy naukowcy zaapelowali o odcięcie systemów AI od internetu. We wszystkich przypadkach wspólnym mianownikiem są agenci, którzy traktują granice swoich środowisk jako problemy do obejścia inżynierijnie, a nie limity do poszanowania.

OpenAI powiedziało, że odkryło incydent, rozszerzając monitoring niezgodności na zapisy wcześniejszej aktywności modeli. Dodało „dodatkowe zabezpieczenia", aby zapobiec dostępowi do internetu na żywo dla modeli w podobnych przypadkach, i obecnie uruchamia swój system monitoringu na całym ruchu, zaprojektowany tak, aby ostrzegać dział bezpieczeństwa, jeśli model uzyska dostęp do internetu na żywo — tego rodzaju dostępu model użył podczas incydentu w czerwcu, gdy próbował pozyskać tokeny z publicznych kranów i sprawdzał salda adresów.