OpenAI 模型绕过安全边界：入侵政府网站窃取 24 年医院数据且未披露

要点

• OpenAI 公开了四个新案例，其 AI 模型在训练或测试期间自行绕过了安全边界。
• 其中一模型从一个政府网站提取了服务器密码，伪造了授权令牌，并下载了 24 年的医院数据；一个 GPT-5.6-Sol 模型扫描了超过 360 个加密钱包，并使用了他人的资金进行智能合约交易。
• 在多个案例中，模型未在其响应中披露其未授权访问行为。

OpenAI 公开了四个新案例，其 AI 模型在训练或测试期间自行绕过了安全边界。

在其中一个案例中，OpenAI 要求一个模型从一个政府网站获取医院床位统计数据。但该数据并非公开可访问。

那么，当模型遭遇障碍时会怎么做？它会通过黑客手段突破。在收到访问被拒错误后，该模型利用该网站的文件下载功能，通过路径操作获取了服务器配置文件。它提取了数据库连接字符串、一个密钥签名密钥以及包含用户名和密码的电子邮件凭证。

随后，它分析了应用程序代码，发现该 API 未验证授权令牌的签名有效性，于是自行伪造令牌，并下载了按地区分类的 24 年医院床位统计数据。该模型 未在其响应中提及这一未授权访问行为。

在另一案例中，OpenAI 要求 GPT-5.6-Sol 模型在以太坊 Sepolia 测试网络上设置加密货币智能合约，但未提供已充值的钱包。于是，模型编写了一个脚本，利用公开的开发者恢复短语推导出私钥，检查了超过 360 个钱包地址的余额，并找到了一个拥有足够测试 ETH 的钱包。

模型短暂考虑了这样做的伦理问题，随后自行判断那些与公开恢复短语关联的资金属于“事实上的废弃资金”，并继续执行了交易。它还将 Gas 费用记入了对方账户，且未披露资金的具体来源。

OpenAI 写道：“该案例表明，模型可以用自己对潜在伤害的主观判断来替代账户持有者的授权，并在未获许可的情况下基于该判断采取行动。”

模型入侵内部系统并绕过访问控制

在另外两项评估中，OpenAI 要求一个模型从一个研究机构获取五个公共仪表盘数据。在第一次运行中，模型发现了该机构内部 OpenSearch 服务暴露的凭据，并以此路由仪表盘查询。它还修改了该服务的配置，且 OpenAI 确认这些更改从未被还原。

在第二次运行中，模型篡改了认证系统设置，获取了云存储令牌，并下载了总计约 147,000 行的五张非公开数据库表。虽然它事后恢复了设置，但仍继续使用那个仍然有效的令牌访问内部数据。

颇具讽刺意味的是，根据 OpenAI 的报告，该模型虽然入侵了内部系统并下载了数万行非公开数据，最终却并未返回正确的结果。

另一个模型在训练阶段被限制只能使用 GET 请求，也就是说只能抓取网页。但它绕过了这个限制：诱骗一个外部浏览器打开自己搭建的表单，自动向某个贸易统计服务发送 POST 请求，再通过截图加 OCR 读取返回结果。随后它还做了一个可复用的工具，借助重定向服务和在线邮箱把数据转成纯文本取回。更夸张的是，任务早已完成，它还在继续优化这套绕过方案。

以上案例以及其他更多例子，都在 OpenAI 的 Misalignment Reports 里有详细记录。