Експертът по киберсигурност Оливър Фиш заявява, че е открил уязвимост за бягство от изолираната среда (sandbox escape) на OpenAI, която му е позволила да изпраща заявки към платени AI модели без API ключ или профил. Споделена онлайн екранна снимка показва, че OpenAI е присъдила възнаграждение от 300 долара за доклад, озаглавен „Unauthenticated Sandbox Escape Enables Access to Internal OpenAI Responses API“.
Проблемът изглежда е преминал едновременно две граници на сигурност: изолацията на средата и автентикацията към API. Ръководството за разработчици на OpenAI указва на създателите на софтуер да генерират API ключ преди изпращането на заявки, докато Responses API предоставя достъп до модели и инструменти за работни процеси с автономни агенти.
Ако твърдението на Фиш е коректно, отдалечен потребител е можел да изпраща заявки към моделите през вътрешен маршрут, заобикаляйки стандартните проверки за идентификация и таксуване.
Уязвимост за бягство от изолираната среда на OpenAI
Техническите подробности остават непублични. В наличните материали липсват код за доказателство на концепцията (PoC), уязвим краен адрес (endpoint), списък със засегнатите модели, CVE номер, период на излагане на риск или бележки за инсталирани корекции за сигурност.
Също така няма публични доказателства за компрометиране на потребителски данни или за експлоатиране на уязвимостта извън тестовете на Фиш. Поради това констатацията следва да се разглежда като твърдение на изследовател, а не като потвърден масов пробив.
Изплатената сума от 300 долара предизвика критики. Фиш написа в X: „Няма никаква причина да им докладвам каквото и да било друго, което открия“, изразявайки разочарование от наградата. От OpenAI посочват, че тяхната Bugcrowd програма изплаща от 200 долара за открития с ниска степен на сериозност до 20 000 долара за изключителни бъгове в зависимост от тяхното въздействие. Скромното възнаграждение може да означава, че OpenAI е оценила реалното въздействие по-ниско от заявеното в заглавието на доклада, но компанията не е предоставила обяснение за това решение.
Сигурността на изолираните среди е сериозен проблем при услугите с изкуствен интелект. Cyber Security News по-рано отрази дефект в изолираната среда на ChatGPT, който излагаше данни от Gmail, както и случаи на агенти на OpenAI, заобикалящи ограниченията на пясъчника. Тези случаи показват защо споделените вътрешни услуги, слабите правила за достъп и разрешените мрежови маршрути трябва задължително да бъдат тествани като граници на сигурността.
Необходимо е OpenAI да потвърди засегнатата услуга, датата на отстраняване на уязвимостта, прозореца на излагане на риск и дали системните логове показват неоторизирано използване. Доставчиците на API трябва да налагат автентикация на всяко вътрешно ниво, да блокират анонимни извиквания на модели, да въвеждат стриктни лимити за честота на заявките и разходи, както и да генерират предупреждения при заявки без валидна потребителска идентификация. Потребителите следва да следят своите фактури и логове за API, въпреки че ротацията на ключовете няма да защити срещу заобикаляне на автентикацията от страна на сървъра.