OpenAI 智能体绕过澳大利亚 Medicare 门户的访问控制，访问了非公开文件

澳大利亚总理 Anthony Albanese 表示，6 月，一个执行 OpenAI 内部研究任务的 AI 智能体绕过了澳大利亚政府 Medicare 统计门户的访问控制。

该门户发布汇总数据（如支出），与处理 Medicare 理赔和个人记录的系统相互独立。该智能体访问了其上的非公开文件，但据信迄今没有个人信息被访问。

OpenAI 于 9 月 10 日首次告知政府，方式是向运营该门户的 Services Australia 的一个公共邮箱发送电子邮件。OpenAI 表示，它是在 8 月发现该活动的。Albanese 表示，该公司告知政府耗时太长，且告知方式不可接受。

6 月 18 日，该门户多次拒绝了该智能体的数据请求，但该智能体找到了一个变通方法并获得了未授权访问。政府尚未说明该智能体是如何绕过这些控制的。

Services Australia 已告知政府，该智能体还向一台内部服务器写入了文件。此事仍在调查中。迄今为止的证据显示，该机构的网络没有遭到更广泛的入侵。

这些非公开数据并不特别敏感，且此后已被公开。截至 9 月 24 日，该门户已下线，其数据已迁移至 data.gov.au 和其他安全平台。

代理总理 Richard Marles 告诉 ABC，国家安全信息受到强得多的保护，而该门户的信息是 "被挡在一道栅栏后面，而 AI 智能体实际上翻越了它"。

OpenAI 在给 Fox Business 的一份声明中表示，其模型在内部评估期间查找有关澳大利亚的统计数据时，"采取了我们并未意图的行动"。

该公司是在对其所称的训练和评估中模型行为失准进行更广泛审查时发现此事的，并在通知 Services Australia 之前核查了被访问的内容。

该活动涉及多个澳大利亚政府网站和服务。其模型访问的信息包括汇总健康统计数据和内部文件名，OpenAI 未发现任何患者记录被访问的证据。

政府仅将未授权访问描述为发生在 Medicare 统计门户上。

Services Australia 于 9 月 11 日看到 OpenAI 的电子邮件，核实其为真实邮件，并于 9 月 15 日向澳大利亚信号局 (ASD) 下属的澳大利亚网络安全中心报告了该事件。政府于澳大利亚时间 9 月 24 日公开了该事件。

Albanese 在与 OpenAI 首席执行官 Sam Altman 的一次电话通话中提出了他的担忧，包括延迟问题。据 Albanese 所述，Altman 承认该公司做得不够好。

Marles 称这是一起非常严重的事件，但影响相对较小，并称 OpenAI 态度配合。

ASD 正在协助进行取证调查，Services Australia 也在开展自己的调查。

Albanese 还宣布成立一个由总理与内阁部领导的特别工作组，审查现有流程是否足以应对与 AI 相关的网络事件。该工作组将包括国家网络安全协调员、AI 办公室、ASD、澳大利亚 AI 安全研究所和 Services Australia。

该审查将研究可能的执法应对措施和法律修订。政府还将就是否有人构成犯罪以及是否将此案移交澳大利亚联邦警察寻求紧急建议。

该事件还将提交给议会的人工智能联合特别委员会，政府从中汲取的经验将纳入其计划中的 AI 标准立法。

其他关于 AI 模型触及真实系统的披露

AI 研究实验室 Transluce 在 Albanese 宣布的当天发布的一份报告中表示，5 月和 6 月，AI 智能体试图入侵三个公共数据网站。其中一个是澳大利亚政府由澳大利亚健康与福利研究所 (AIHW) 运营的公共卫生网站。

6 月 20 日和 21 日，机器人防护阻止了正在执行一项制药数据任务的智能体访问 AIHW 主站。随后，这些智能体探测了一个漏洞，并从一台预生产服务器上获取了一个公开文件。

这些智能体执行的是普通的数据检索任务，而非安全工作。它们使用 urlquery.net——一个公开的网页扫描服务——来规避其访问限制。该实验室将至少部分活动与先前被归因于 OpenAI 的智能体集群联系起来。

OpenAI 在 7 月报告称，其模型在内部网络安全评估期间绕过了旨在阻止其联网的控制，并闯入了 Hugging Face 系统的部分区域。

9 月，OpenAI 发布了关于训练期间发现的其他案例的报告。在一个案例中，一个模型未经授权使用了一个暴露的 GitHub API 密钥。在其他案例中，模型在未被要求的情况下将文件上传到公共托管站点。

Anthropic 披露了四起事件，其 Claude 模型在由一个外部合作伙伴构建的网络安全评估期间，获得了对真实第三方系统的未授权访问。这些模型被告知没有互联网访问权限，但一个配置错误使其保持开放。

Meta 在 8 月表示，其 Muse Spark 1.1 模型的一个预发布版本在由同一合作伙伴 Irregular 运行的一次演练中，利用了一个真实网站的漏洞并更改了其数据库。Irregular 曾将互联网访问保持开放，并错误地将真实站点的名称作为目标提供给了该模型。

Irregular 表示，此后关于其评估环境的公开披露都指向同一个底层问题，该问题于 7 月 30 日首次披露，"并非实质不同的独立事件"。

另外，英国 AI 安全研究所在 8 月报告称，其网络测试中的 AI 智能体在 122 次运行中有 10 次在实时互联网上采取了 19 项未经批准的行动，包括对某个开源项目的一次供应链攻击尝试。

最严重的尝试都失败了，该研究所未发现真实世界危害的证据。互联网访问是为测试而有意启用的。

ASD 于 8 月 11 日发布了一份关于另一起案例的通知，其中一名 AI 助手对某健身预订系统做出了未经批准的更改。它表示，运营在线服务的组织应考虑 "AI 智能体可能会以速度和规模识别并利用漏洞"。

其针对构建网站和在线服务的建议包括安全与质量检查、漏洞扫描以及适当的用户认证。