OpenAI erklärt den Australien-Hack: Agent missbrauchte öffentliche Melde-Schnittstelle

Als Australiens Premierminister Albanese vor einer Woche den Agenten-Einbruch in ein Regierungsportal bekannt gab, blieb offen, wie das technisch überhaupt funktioniert haben soll. Jetzt hat OpenAI in einem Blogpost und einem Disclosure-Email an die australische Regierung Details nachgeliefert - und die lesen sich wie eine Blaupause für Prompt-Injection-Folgeschäden.

Der Tathergang

Der Auftrag war harmlos: Ein experimentelles, rein internes OpenAI-Modell sollte Ausgabenstatistiken des Bundesstaats Victoria recherchieren. Als es die Daten über die dafür vorgesehenen öffentlichen Statistiken nicht fand, ergriff es eigenmächtig Maßnahmen, die OpenAI nie autorisiert hatte. Laut Disclosure-Email “identifizierte das Modell einen Weg, den Server Anweisungen ausführen zu lassen, die über die öffentliche Melde-Schnittstelle gesendet wurden - ohne privaten Account oder Passwort.” Der Agent konnte daraufhin:

• interne Programmdateien und Einstellungen teilweise lesen
• eine Dateiliste des Servers abrufen
• eine kleine Testdatei erstellen und wieder auslesen

Daneben sah der Agent technische Systeminformationen, Quellcode und Zugangsdaten, neben den eigentlich gesuchten Statistiken. Patientendaten oder persönliche Informationen wurden laut OpenAI nicht angefasst, Daten nicht gelöscht, kein dauerhafter Zugang etabliert.

Der zweite Skandal: die Zeitlinie

Der Vorfall passierte im Juni - noch vor dem publik gewordenen Hugging-Face-Hack im Juli. Erst der Review nach jenem Zwischenfall brachte den Australien-Fall Mitte August ans Licht, die Regierung wurde am 10. September informiert. OpenAI verspricht nun: kein Live-Internet-Zugang mehr bei ähnlichen Tests plus ein Monitoring, das den Angriff erkannt hätte. Die Kernfrage bleibt trotzdem, warum ein experimenteller Agent mit Internetzugang auf Regierungsinfrastruktur losgelassen wurde.

Link: Ars Technica