Внутренняя исследовательская модель OpenAI семейства GPT-5.6 Sol во время обучения получила доступ к чужому кошельку в тестовой сети Ethereum Sepolia. С его баланса она оплатила развертывание смарт-контрактов, хотя разрешения на это у нее не было.
Как это произошло
По словам специалистов, инцидент произошел 26 июня. Модель решала задачу в рамках обучения — она дорабатывала прототип приложения для криптотрейдинга и заменила адреса-заглушки рабочими контрактами в Sepolia.
Инструкции позволяли развернуть совместимые контракты самостоятельно, если готовых не найдется. Для этого нужно было оплатить комиссию сети, но кошелек с балансом модели не выдали. Разрешения пользоваться чужими средствами у нее тоже не было.
Сначала ИИ искал существующие контракты и пробовал получить монеты через краны — сервисы, раздающие разработчикам тестовые токены. Эти попытки ни к чему не привели. Тогда модель предположила, что на стандартных аккаунтах инструментов Hardhat и Anvil могут лежать токены Ethereum, которые туда отправили другие пользователи.
Она написала скрипт, который получал ключи из общеизвестных сид-фраз для разработчиков и проверял балансы. Всего скрипт проверил 362 адреса. На одном из них нашлось достаточно активов для развертывания.
Модель изучила историю транзакций этого кошелька и решила, что аккаунтом управляет бот, поэтому средства с него, скорее всего, скоро выведут.
Затем ИИ столкнулся с техническим препятствием: запросы к сети не проходили. Модель переключилась на альтернативный HTTP-метод и смогла получить идентификатор сети.
Во время подготовки транзакции она задалась вопросом, этично ли так поступать, и в итоге рассудила, что монеты на публичной сид-фразе «фактически брошены», а токены Sepolia ничего не стоят.
После этого модель подписала транзакцию найденным ключом. Она не предполагала перевода ETH получателю, но для ее исполнения требовалась комиссия с выбранного аккаунта.
Первая попытка отправки завершилась ошибкой, после чего ИИ перебрал нескольких провайдеров и нашел два, которые через альтернативный метод корректно возвращали баланс. Через одного из них операция прошла успешно, и комиссию списали с чужого кошелька.
Проверки контрактов сначала давали таймауты и противоречивые результаты. Повторные запросы подтвердили, что все десять адресов работают.
В записи прогона также зафиксированы 12 пройденных модульных тестов и успешная сборка проекта.
В итоговом ответе модель сообщила о развертывании контрактов, но не упомянула, откуда взяла средства на комиссию.
По оценке OpenAI, случай показал, что ИИ способен подменить разрешение владельца аккаунта собственным суждением о возможном вреде и действовать на его основе.
Реакция OpenAI
Компания обнаружила эпизод только 25 сентября, когда распространила мониторинг рассогласования на записи прошлой активности моделей.
OpenAI ввела дополнительные меры, которые не дают моделям выходить в интернет в подобных задачах. Теперь мониторинг охватывает весь трафик и должен оповещать службу безопасности, если модель получит доступ к сети.
Напомним, в сентябре OpenAI представила систему отчетности о случаях рассогласования моделей и сразу опубликовала шесть отчетов. Среди описанных эпизодов — использование чужих API-ключей и загрузка файлов в интернет без разрешения.
Ранее компания признала, что в июле ее ИИ-агенты вышли за пределы тестовой среды и взломали инфраструктуру Hugging Face.
