โมเดล OpenAI สองตัวหลุดออกจาก sandbox สำหรับทดสอบและแฮ็กระบบจริงของ Hugging Face จนเข้าถึงเซิร์ฟเวอร์โปรดักชันได้ ขณะที่นักวิจัยด้านความปลอดภัยระบุว่า ตัว sandbox ของ OpenAI ไม่ได้แยกขาดจากระบบภายนอกตั้งแต่ต้น
ประเด็นสำคัญ
- OpenAI ระบุว่า GPT-5.6 Sol และโมเดลที่ยังไม่เปิดตัว ใช้ช่องโหว่แบบ zero-day ต่อเนื่องกัน เพื่อเข้าถึงฐานข้อมูลโปรดักชันของ Hugging Face ระหว่างการทดสอบ benchmark
- Dan Guido ผู้ก่อตั้ง Trail of Bits และ Jake Williams ผู้เชี่ยวชาญรับมือเหตุโจมตี มองว่าเหตุการณ์นี้คือ “การกักกันล้มเหลว” มากกว่าจะเป็นเอไอหลุดคุมรูปแบบใหม่
- Hugging Face ตรวจพบและสกัดการบุกรุกเมื่อ 16 ก.ค. ก่อนที่ OpenAI จะเชื่อมโยงเหตุการณ์กลับมาที่การทดสอบภายในของตนเองถึงห้าวัน
Sandbox ของ OpenAI หลุดเชื่อมถึงเซิร์ฟเวอร์ Hugging Face
OpenAI เปิดเผย เมื่อวันอังคารว่า การบุกรุกเกิดขึ้นระหว่างการประเมินภายในบน benchmark ExploitGym โดยใช้โมเดล GPT-5.6 Sol ควบคู่กับโมเดลที่ยังไม่เปิดตัว ทีมวิศวกรได้ลดระดับ “ระบบปฏิเสธคำขอด้านไซเบอร์” ของโมเดลลง เพื่อดูศักยภาพสูงสุดด้านการโจมตีไซเบอร์ของเอไอ
บริษัทซึ่งอธิบายเหตุการณ์นี้ ว่าไม่เคยเกิดขึ้นมาก่อน ระบุว่าโมเดลใช้ทรัพยากรประมวลผลอย่างหนักเพื่อค้นหาเส้นทางออกสู่อินเทอร์เน็ตภายนอก ก่อนจะโจมตีช่องโหว่ที่ไม่เคยถูกเปิดเผยมาก่อนในระบบ proxy แคชของ package registry จากนั้นยกระดับสิทธิและเคลื่อนที่ด้านข้าง (lateral movement) จนพบโหนดที่เชื่อมต่ออินเทอร์เน็ตได้
เมื่อเชื่อมต่อได้แล้ว โมเดลอนุมานว่า Hugging Face เป็นแหล่งเก็บ “เฉลย” ของ benchmark ที่กำลังทดสอบ จึงพยายามต่อเนื่องเพื่อให้ได้สิทธิรันโค้ดจากระยะไกล (remote code execution) บนเซิร์ฟเวอร์ของ Hugging Face
ฝั่งทีมของ Hugging Face เองสามารถตรวจพบพฤติกรรมผิดปกติ เมื่อวันที่ 16 ก.ค. และแจ้งหน่วยงานบังคับใช้กฎหมายทันที ก่อนที่ทั้งสองบริษัทจะมาเชื่อมโยงหลักฐานเข้าด้วยกันในอีกห้าวันถัดมา
Clem Delangue ประธานเจ้าหน้าที่บริหารของ Hugging Face มอง ว่ากรณีนี้เป็นหลักฐานว่าการพึ่งพาให้บริษัทใดบริษัทหนึ่งปิดประตูล้อมเอไอเพียงลำพังไม่เพียงพอ จำเป็นต้องอาศัยการกำกับดูแลและตรวจสอบแบบเปิดกว้างมากขึ้น
อ่านเพิ่มเติม: Anthropic วิ่งไล่ดีลสตาร์ทอัปหุ่นยนต์ 11,000 ล้านดอลลาร์ ก่อนคำปฏิเสธเผยต่อสาธารณะ
นักวิจัยชี้จุดผิดคือการออกแบบระบบกักกันของ OpenAI
Dan Guido ผู้ก่อตั้งบริษัทวิจัย Trail of Bits ระบุ ว่าเหตุที่เกิดขึ้นคือ “ความล้มเหลวด้าน containment” จากการปิดระบบป้องกันไปเอง ขณะที่ Jake Williams ผู้เชี่ยวชาญเหตุการณ์โจมตีไซเบอร์มายาวนานชี้ว่า โมเดลที่ทำทุกอย่างได้ตามที่ Hugging Face บันทึกไว้ แปลว่าไม่เคยถูกกักกันอย่างแท้จริงตั้งแต่แรก
ด้าน Martin Boone นักวิจัยความปลอดภัยอีกคนเสริมว่า sandbox ที่แท้จริงควรถูกตัดขาดทางกายภาพจากอินเทอร์เน็ตโดยสมบูรณ์ ไม่มีเส้นทางเชื่อมใด ๆ ให้หลุดรอดไปได้
Williams สรุปอย่างตรงไปตรงมาว่า “ในมุมคนหนึ่งนี่คือโมเดลหลุดกรง แต่อีกมุมหนึ่งนี่คือ sandbox ที่สร้างมาแย่มาก”
Bengio เตือนความเสี่ยงเอเจนต์ไซเบอร์โจมตีอัตโนมัติ
Yoshua Bengio เจ้าของรางวัล Turing เขียน เตือนว่า เอเจนต์เอไอหลอกระบบทดสอบในสภาพแวดล้อมควบคุมมาได้หลายเดือนแล้ว และกรณีนี้ควรถูกมองเป็น “สัญญาณปลุก” ว่าเส้นทางพัฒนาเอไอปัจจุบันกำลังพาเราเข้าใกล้การโจมตีไซเบอร์แบบอัตโนมัติเต็มรูปแบบมากขึ้นเรื่อย ๆ
การยอมรับของ OpenAI ครั้งนี้ยังตามหลังกรณีอื่น ๆ ที่คล้ายกันในช่วงสั้น ๆ ก่อนหน้า โดย OpenAI เองรายงาน เมื่อต้นสัปดาห์ว่า โมเดลตัวเดียวกันที่ยังไม่เปิดตัว เคย “หลุด sandbox ภายใน” มาแล้วระหว่างการทดสอบอื่น แม้ครั้งนั้นจะยังไม่แตะต้องระบบภายนอกองค์กร
ขณะเดียวกัน Anthropic ก็เปิดเผยว่า โมเดล Mythos เคยเข้าถึงอินเทอร์เน็ต เกินขอบเขตที่กำหนดไว้ในช่วงทดสอบความปลอดภัย แม้บริษัทจะยืนยันว่าระบบกักกันโดยรวมยังไม่ถึงขั้นล้มเหลว
อ่านต่อ: สารคดี Charles Manson บน Hulu เปิดตัวหลานสาวที่ไม่เคยถูกเปิดเผย ท่ามกลางสายตาตลาดทำนาย