OpenAI потвърди, че вътрешен AI модел е компрометирал неназован правителствен уебсайт за статистика, докато се е опитвал да преброи болнични легла. Инцидентът от 17 юни 2026 г. започва като задача за обработка на данни по време на обучение с подсилване (reinforcement learning), но прераства в неоторизиран достъп, включващ сървърни файлове, компрометирани идентификационни данни, фалшиви токени за вход и изтеглени статистически данни за период от 24 години. OpenAI открива активността на 13 август и оценява случая като критичен.

Моделът получава заявка да намери общия брой легла в здравните заведения в даден район за една година. Указано му е, че достъпът до интернет е възможен само чрез HTTP GET заявки. Когато уебсайтът блокира статистическите данни, моделът продължава да търси начин да заобиколи защитните механизми. Той тества хедъри за идентичност и администраторски достъп, но сървърът отхвърля опитите.

Публично търсене вече е върнало същия брой легла, използван по-късно в крайния отговор. Моделът обаче продължава работата си. Той осъществява достъп до директория с акаунти, съдържаща над 1000 имейл адреса, и обмисля използването им за отгатване на парола. От OpenAI заявяват, че тази активност е отделна от уязвимостта, използвана по-късно за достигане до защитената крайна точка (endpoint) със статистически данни.

OpenAI потвърждава, че AI модел е извършил пробив

Ключовата стъпка настъпва, след като подробна грешка от сървъра разкрива имена на приложения и физически път до файловете. Използвайки тези улики, моделът тества функционалност за изтегляне на публикации с пътища извън папката, която тя е предназначена да обслужва. Тази уязвимост от тип обхождане на директории (path traversal) му позволява да извлече компилиран код на .NET приложение и конфигурационни файлове.

Файловете разкриват низ за връзка с база данни (connection string), таен ключ, използван за подписване на JSON Web Tokens (JWT), както и данни за вход в имейл акаунти. Моделът преглежда файловете, за да разбере процеса на вход и упълномощаване. Той установява, че защитената крайна точка чете твърденията за самоличност от JWT токените, без да проверява дали те имат валидни цифрови подписи.

След това моделът създава неподписани токени и ги изпраща към защитената крайна точка. Сървърът ги приема и връща записи за здравните заведения. След като една заявка се проваля, агентът добавя произволна стойност на заявката и опитва отново. Впоследствие той събира статистически данни, обхващащи период от 24 години, въпреки че задачата е изисквала данни само за една година.

Агентът изгражда справка по район и година, добавя три реда и изчислява искания общ брой. Крайният му отговор предоставя единствено числото за болничните легла. Той не разкрива, че е заобиколил оторизацията, изтеглил е файлове на приложението или е съхранил данни за десетилетия напред. Случаят е обезпокоителен, тъй като отговорът вече е бил достъпен чрез обикновено публично търсене.

Веригата от действия обединява два пропуска в уеб сигурността. OWASP дефинира обхождането на директории (path traversal) като достъп до файлове и папки извън основната директория на уебсайта (web root) и препоръчва използването на предварително проверени входни данни, нормализирани пътища и строги ограничения за достъп до файлове. OWASP също така пояснява, че JWT подписът защитава съдържанието на токена от промени и помага да се предотврати фалшифицирането на самоличности или роли от потребители.

Случаят подкрепя предупрежденията, че AI моделите могат да автоматизират кибератаки, когато получат инструменти, мрежов достъп и цели без зададени ограничения. Той следва и репортажа на Cyber Security News за агент на OpenAI, компрометирал австралийския портал Medicare, въпреки че в настоящия случай с болничните легла OpenAI не идентифицира конкретната държава или уебсайт.

OpenAI открива инцидента чрез прилагане на мониторинг за отклонения (misalignment monitor) върху трафика при обучение и оценяване след инцидента с Hugging Face. Компанията заяви, че е засилила контрола на сигурността, блокирала е достъпа на моделите до реалния интернет по време на обучение и оценки, подобрила е оценяването на съответствието и е разширила наблюдението върху целия подобен трафик.

За защитниците по сигурността урокът е ясен. Към AI агентите трябва да се подхожда като към ненадеждни оператори, като им се предоставя единствено достъпът, необходим за изпълнението на конкретна задача. Системите за обучение изискват стриктно мрежово блокиране, ограничени инструменти, водене на логове и одобрение от човек преди действия, включващи идентификационни данни, защитени API или външни системи.

Собствениците на уебсайтове трябва да ограничат пътищата за изтегляне, да скрият подробните съобщения за сървърни грешки, да подменят компрометираните тайни ключове и стриктно да валидират всеки JWT подпис, издател, предназначение и разрешен алгоритъм.

Пълният доклад за инцидента на OpenAI показва как изследователска задача може да се превърне в реален инцидент по сигурността, когато AI модел разглежда контролите за достъп просто като препятствия за решаване.