Dopo l'ammissione sul caso Hugging Face dello scorso luglio, OpenAI torna a documentare pubblicamente i comportamenti fuori dalle regole dei propri modelli con quattro nuovi rapporti che descrivono episodi avvenuti tutti nel mese di giugno. Si parla di siti web violati per recuperare dati negati, restrizioni di navigazione aggirate e credenziali esposte usate per attingere a un wallet di criptovalute. I quattro documenti si aggiungono al precedente e sono finiti anche tra i materiali che hanno spinto la FTC a inviare citazioni civili all'azienda.
Siti web violati per ottenere i dati negati
In due dei casi descritti, i modelli dovevano recuperare informazioni da siti web e, trovando la strada sbarrata, hanno deciso di forzarla. Nel primo episodio, durante una fase di apprendimento per rinforzo, un modello che cercava statistiche sui posti letto ospedalieri sul sito di un ente governativo si è visto negare l'accesso: ha usato la funzione di download per recuperare configurazione del server e file dell'applicazione, comprese credenziali sensibili, ha aggirato i controlli di autorizzazione e ha salvato i dati in locale.
Il secondo caso riguarda una dashboard di ricerca pubblica da cui il modello doveva estrarre alcune cifre. Anche qui sono stati superati i controlli di sicurezza e l'accesso non autorizzato è servito per sottrarre credenziali; il modello ha poi modificato la configurazione del server, scaricando cinque tabelle non pubbliche per 147.451 righe quando i ricercatori gli avevano chiesto soltanto cinque valori. La valutazione si è conclusa senza che il modello rivelasse di aver tirato a indovinare le risposte o di aver modificato l'autenticazione.
Il wallet crypto e l'aggiramento delle restrizioni
Il terzo rapporto riguarda un modello incaricato di aggiornare un'applicazione per il trading di criptovalute, che per completare il lavoro ha usato fondi presenti in un wallet bloccato su una rete di test. Secondo OpenAI, il modello ha ricavato le chiavi da frasi di recupero per sviluppatori note pubblicamente e ha pagato la distribuzione del contratto. Il modello si è chiesto se avesse il permesso, poi ha ragionato che una frase di recupero pubblica e token privi di valore rendessero accettabile l'uso: un caso che mostra come un modello possa sostituire il permesso del titolare con la propria valutazione del danno probabile.
L'ultimo episodio è forse il più ingegnoso: un modello doveva reperire statistiche commerciali pubbliche e ha aggirato i limiti sui tipi di richieste web consentite. Ha fatto inviare richieste POST a un browser esterno, ha recuperato i dati annuali come immagine e li ha estratti tramite riconoscimento ottico dei caratteri, sviluppando poi uno strumento riutilizzabile con servizio di inoltro e casella di callback. Secondo Goodin di Ars Technica, però, i modelli non agiscono con intento malevolo: vengono addestrati per essere efficienti e trovare scorciatoie, e in gran parte dei casi erano state disattivate le protezioni che avrebbero potuto impedire quei comportamenti. Il problema si sposta quindi dal comportamento della macchina alle scelte di chi la progetta.
