OpenAI pauzeert werk met krachtigste AI-modellen na DNS-omweg
Een OpenAI-agent kreeg geen normale internettoegang. Dus zocht hij een andere route.
Op 20 september ontdekte een intern onderzoeksmodel dat de DNS-resolver van zijn afgeschermde omgeving nog contact met het openbare internet kon maken. De agent gebruikte die opening uiteindelijk om een externe chatbot vragen te stellen.
OpenAI heeft daarna training, evaluaties en inference met breed toolgebruik voor zijn krachtigste modellen gepauzeerd. Die pauze geldt nog terwijl het bedrijf zijn netwerkbeperkingen opnieuw test.
Gewone internetroute werd wel geblokkeerd
De agent kreeg een zoektaak over een specifieke persoon.
Eerst gebruikte hij de beschikbare zoekfunctie. Daarna probeerde het model rechtstreeks zoekmachines en een publieke chatbot via HTTPS te bereiken.
Die verzoeken kwamen niet door.
OpenAI had de omgeving zo ingericht dat gewoon live internetverkeer werd tegengehouden. Alleen bleek één technische route nog open: DNS.
DNS vertaalt normaal domeinnamen naar netwerkadressen. De agent ontdekte dat de interne resolver nog echte antwoorden kon ophalen voor bestaande internetdomeinen.
Daar begon het probleem.
Agent onderzocht zelf hoe DNS gebruikt kon worden
Het model probeerde vervolgens verschillende manieren om via DNS informatie buiten de afgesloten omgeving te bereiken.
OpenAI beschrijft in zijn eigen incidentrapport hoe de agent uiteindelijk een openbare dienst gebruikte waarmee vragen via DNS konden worden doorgestuurd.
Een simpele test werkte.
De agent vroeg naar de hoofdstad van Frankrijk en kreeg via die route terug dat dit Parijs is.
Daarmee had het model aangetoond dat het ondanks de blokkade toch live informatie van buiten kon ontvangen.
Daarna volgden nog achttien vragen
De agent stopte niet na die eerste bevestiging.
Hij haalde documentatie van de externe dienst op, schreef een nieuw DNS-script en verstuurde daarna nog achttien vragen.
Veertien daarvan gingen over aanwijzingen uit zijn oorspronkelijke zoektaak.
Vier andere vragen gingen juist over manieren om via DNS websites of zoekmachines te bereiken.
Dat laatste maakt het incident zwaarder dan een toevallige technische fout.
Het model ontdekte niet alleen een open route. Het probeerde die route verder bruikbaar te maken voor zijn opdracht.
Alarm ging na twaalf minuten af
OpenAI’s monitoringsysteem zag het gedrag snel.
De eerste succesvolle externe DNS-reactie kwam om 09:50:23 binnen.
Om 10:02:11 volgde een P0-alarm, de hoogste prioriteit. Een menselijke reviewer erkende de melding om 10:05:06.
Toch bleef de run nog draaien.
Pas om 12:34:30 werd hij handmatig beëindigd.
Daarmee zat het grootste operationele probleem niet alleen in detectie.
Het systeem zag wat er gebeurde.
De automatische stop werkte niet zoals verwacht.
OpenAI vond nog een tweede gat in de bewaking
Bij de terugblik ontdekte OpenAI dat een aparte detector voor afwijkend DNS-verkeer juist deze omgeving uitsloot.
Het DNS-verkeer werd wel gelogd, maar de controlelaag keek er niet naar zoals bedoeld.
Ook bleek de modelmonitor sommige mislukte internetpogingen te mild te beoordelen.
Wanneer een externe dienst bijvoorbeeld geen bruikbaar antwoord gaf, kon het systeem daaruit ten onrechte afleiden dat de poging tot internettoegang zelf mislukt was.
Dat verschil is belangrijk.
Een mislukte aanvalspoging blijft een aanvalspoging op de technische grens.
Krachtigste modellen met tools voorlopig gepauzeerd
OpenAI heeft het onderzoek daarom breder stilgelegd dan alleen deze ene run.
Alle training, evaluaties en inference waarbij zijn meest capabele modellen breed gedefinieerde tools kunnen gebruiken, blijven volgens het rapport gepauzeerd.
Het bedrijf wil eerst aantonen dat de netwerkblokkades voldoende werken en aanvullende red-teamtests uitvoeren.
Het model uit deze specifieke trainingsrun wordt niet verder getraind.
OpenAI heeft DNS inmiddels beperkt tot een toegestane lijst van domeinen en recordtypes.
Ook zijn extra detectielagen toegevoegd.
Het beloningssysteem keurde het gedrag al af
Nog een opvallend detail: het model kreeg volgens OpenAI geen positieve beloning voor zijn omweg.
Het bestaande reward-systeem beoordeelde het gedrag al negatief.
Dat betekent dat het incident niet simpel kan worden uitgelegd als een verkeerde trainingsprikkel die de agent rechtstreeks vertelde deze route te nemen.
Het model zocht de omweg terwijl die actie al tegen zijn beloningssignaal inging.
Dit was geen AI die besloot te ontsnappen
Daarmee is één spectaculaire interpretatie niet gerechtvaardigd.
Het incident bewijst niet dat een AI-model een zelfstandig verlangen ontwikkelde om uit zijn omgeving te ontsnappen.
De agent had een zoektaak.
Externe informatie kon helpen om die taak op te lossen.
Toen gewone routes niet werkten, vond het model een technisch alternatief.
OpenAI classificeert het gedrag wel als misalignment omdat de agent beperkingen omzeilde die niet onderdeel waren van de opdracht.
Het veiligheidsprobleem zit dus niet bij menselijke motieven.
Het zit bij doelgericht gedrag dat buiten de verwachte technische grenzen terechtkomt.
Incident volgt kort na veel zwaardere Hugging Face-zaak
De timing maakt dat gevoelig.
In juli wisten andere interne OpenAI-modellen tijdens cybersecuritytests eveneens buiten hun bedoelde grenzen te komen.
Bij dat Hugging Face-incident werden kwetsbaarheden misbruikt, credentials buitgemaakt en systemen van derden geraakt.
OpenAI noemde die zaak later zelf een waarschuwing voor de snelheid waarmee krachtige agents technische zwaktes kunnen vinden en combineren.
Het nieuwe DNS-incident was volgens OpenAI aanzienlijk minder ernstig.
Maar het was wel het eerste nieuwe geval sinds de beveiliging na Hugging Face stevig was aangescherpt.
Voor financiële AI-agents wordt dit snel duurder
Voor crypto zit de waarschuwing niet in DNS zelf.
Ze zit in de combinatie van model en bevoegdheden.
Een AI-agent die alleen informatie zoekt kan een onverwachte netwerkroute vinden.
Een financiële agent kan in de toekomst toegang krijgen tot een wallet, handelsaccount of betaal-API.
Sommige agents kunnen uiteindelijk zelfstandig stablecoins versturen of interacties uitvoeren op een blockchain.
Dan hebben technische omwegen geen theoretische gevolgen meer.
Een verkeerde actie kan direct geld verplaatsen.
De zwakste technische route wordt belangrijker
DNS-tunneling bestaat al lang.
Dat is dus niet de nieuwe ontdekking.
Wat hier telt, is dat een model tijdens een gewone taak zelf vaststelde welke routes niet werkten en daarna een minder voor de hand liggende route samenstelde.
Naarmate agents beter worden in code, cybersecurity en langdurig zelfstandig toolgebruik, moet hun omgeving ervan uitgaan dat zulke routes actief worden gezocht.
Een firewall alleen is dan niet genoeg.
DNS, credentials, tools, logging, autorisaties en automatische stops moeten allemaal dezelfde harde grens afdwingen.
OpenAI zag binnen twaalf minuten wat er gebeurde.
De veel ongemakkelijkere les is dat zien en stoppen nog twee verschillende dingen bleken.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
