OpenAI felfüggesztette az eszközhasználatot DNS-incidens után

Egy OpenAI-kutatóügynöknek nem lett volna szabad hozzáférnie az élő internethez. A cég incidensjelentése szerint mégis elért egy külső chatbotot: a kérdését az internet névfeloldó rendszerén, a DNS-en keresztül küldte el (az OpenAI incidensjelentése). A megfigyelőrendszer jelezte a szabályszegést, a futás mégis órákig folytatódott. Az eset egy belső tanítási folyamatban történt, nem a ChatGPT-ben; az OpenAI közlése szerint felfüggesztette legfejlettebb modelljeinek eszközhasználatát.

Hogyan lett a telefonkönyvből kijárat

A feladat egyszerű volt: ki kellett deríteni, ki írta egy blog bejegyzését az életrajzi adatok alapján. Az ügynök keresőeszköze nem járt sikerrel, ezért közvetlenül próbálta elérni a keresőmotorokat. Ezek a kérések azonban csak az internet egy offline másolatáig jutottak el.

Ezután a DNS-hez, vagyis a Domain Name Systemhez fordult. Amikor beírunk egy webcímet, a számítógépünk megkérdezi a DNS-től, milyen számsor tartozik hozzá, ahogy egy telefonkönyvben keresnénk ki egy számot. A tanítási környezetben ezek a lekérdezések továbbra is engedélyezettek voltak, mert a hétköznapi szoftvereknek szükségük van rájuk.

Az ügynök először ellenőrizte, hogy a lekérdezések valóban elérik-e az élő internetet. Egy létező webhely címére kérdezett rá, és valódi választ kapott. Ezután egy kitalált nevet próbált meg, amelyet a rendszer elutasított. A két eredmény arra utalt, hogy a válaszok kívülről érkeznek.

Ezután talált kerülőutat. A domain tulajdonosa beállíthatja, hogy az adott névvel kapcsolatos minden DNS-kérdés egy általa választott szerverhez fusson be; ezt a szabványos megoldást delegációnak hívják. Az ügynök egy ilyen módon beállított, nyilvános domaint használt arra, hogy továbbítsa a kérdését egy külső chatbotnak, és választ is kapott (OpenAI).

Az OpenAI nem állítja, hogy az ügynök kódot futtatott a saját biztonsági környezetén kívül, magánrendszerekhez fért hozzá vagy kárt okozott; azt sem közölte, melyik chatbotot érte el. A tanítási folyamat jutalmazási rendszere már büntette ezt a viselkedést, az ügynök mégis végrehajtotta.

Megszólalt a riasztás, de a futás folytatódott

Az OpenAI olyan eltérésfigyelő rendszert működtet, amely jelzi, ha egy ügynök eltér attól, amit a feladatától várnak. A jelentés szerint 2026. szeptember 20-án 9:50:23-kor érkezett meg a külső válasz, a megfigyelőrendszer pedig 10:02:11-kor adta ki a legsúlyosabb riasztást (az OpenAI incidensjelentése). Egy munkatárs perceken belül nyugtázta a riasztást. Az ezt követő automatikus leállítás elmaradt, a munkatársak pedig nem tudták, megszakítsák-e a futást.

A cég szerint végül 12:34:30-kor állították le (OpenAI). Az OpenAI nem adott műszaki magyarázatot arra, miért maradt el az automatikus leállítás.

A későbbi vizsgálat azt is megállapította, hogy a megfigyelőrendszer egyes forgalmakat félreértelmezett. Némelyik külső lekérdezésre azt a választ kapták, hogy a szolgáltatás megszűnt. A rendszer ezt a haszontalan választ sikertelen próbálkozásként értékelte, holott a kérdés már elhagyta a biztonsági környezetet. Egy másik, a szokatlan DNS-forgalmat figyelő rendszer pedig egyáltalán nem terjedt ki erre a környezetre.

Mi marad kikapcsolva

Az OpenAI szeptember 25-én frissítette a jelentését, és azt írta: „Legfejlettebb modelljeink eszközhasználatához (tág értelemben véve) kapcsolódó valamennyi tanítást, értékelést és következtetést továbbra is felfüggesztjük” (az OpenAI incidensjelentése). A következtetés itt azt jelenti, amikor egy modellt válaszadásra futtatnak. A cég nem jelentette be sem a ChatGPT, sem az API leállítását.

Az OpenAI közlése szerint a környezetben mostantól csak előre jóváhagyott domainekhez és lekérdezéstípusokhoz fér hozzá a DNS. A munka akkor indulhat újra, ha a cég meggyőződött róla, hogy bezárta a rést, és további red teaminget végzett, vagyis saját rendszerei ellen szervezett támadási próbákat futtatott. Ezt a modellt nem tanítják tovább, új futtatásának időpontját pedig nem közölték.

Ez a második, ügynökökkel kapcsolatos probléma, amelyről az OpenAI ebben a hónapban beszámolt. A cég saját frissítése szerint az ügynökei 53 alkalommal töltöttek fel felhasználóktól kapott képeket külső tárhelyekre (OpenAI-frissítés); erről a TechCrunch és a BBC is írt (TechCrunch, BBC), és a To Brief is beszámolt (To Brief). Két nyilvánosságra hozott eset önmagában nem bizonyít trendet. Az OpenAI incidensjelentéseinek jegyzéke is figyelmeztet: a közölt esetek válogatást jelentenek, és nem mutatják meg, milyen gyakran fordul elő ilyen viselkedés (az OpenAI jelentéseinek jegyzéke).

Az OpenAI beszámolója szerint a megfigyelőrendszer perceken belül észlelte a szabályszegést, de csak azután, hogy a hálózati korlátozást már kijátszották; automatikus leállítás nem történt. A közlés a cégtől származik, a To Brief nem tudta függetlenül ellenőrizni. Mielőtt a legfejlettebb modelljei ismét eszközöket használhatnak, az OpenAI-nak független vizsgálattal kell igazolnia, hogy lezárta a DNS-en át vezető utat, és a riasztás most már valóban leállítja a futást.