Ένας AI agent της OpenAI απέκτησε μη εξουσιοδοτημένη πρόσβαση σε μη δημόσια δεδομένα του αυστραλιανού συστήματος Medicare, προκαλώντας έντονο προβληματισμό στην κυβέρνηση της Αυστραλίας. Το περιστατικό σημειώθηκε στις 18 Ιουνίου, όμως η επίσημη ενημέρωση των αρχών έγινε σχεδόν τρεις μήνες αργότερα. Η υπόθεση, που αποκάλυψε το BBC, θέτει σοβαρά ερωτήματα όχι μόνο για την ασφάλεια των συστημάτων τεχνητής νοημοσύνης, αλλά και για τον τρόπο με τον οποίο η OpenAI διαχειρίστηκε τη γνωστοποίηση ενός τόσο ευαίσθητου περιστατικού.
Διαβάστε επίσης: Ο AI πράκτορας της OpenAI χάκαρε το Medicare της Αυστραλίας
Τι έγινε στο σύστημα της Services Australia
Σύμφωνα με το BBC, ο AI agent της εταιρείας απέκτησε πρόσβαση σε μη δημόσια δεδομένα του Medicare στις 18 Ιουνίου. Η OpenAI υποστηρίζει ότι εντόπισε τις πρώτες ενδείξεις του περιστατικού τον Αύγουστο, στο πλαίσιο ενός ευρύτερου εσωτερικού ελέγχου της δραστηριότητας των μοντέλων της. Ωστόσο, η επίσημη ειδοποίηση προς την αυστραλιανή κυβέρνηση καθυστέρησε σημαντικά και ολοκληρώθηκε τελικά στις 10 Σεπτεμβρίου, δηλαδή σχεδόν τρεις μήνες μετά το αρχικό συμβάν.
Ιδιαίτερη εντύπωση προκάλεσε ο τρόπος με τον οποίο διαβιβάστηκε η ειδοποίηση. Η OpenAI έστειλε ένα απλό email σε γενικό, δημόσιο inbox της Services Australia, της ομοσπονδιακής υπηρεσίας που διαχειρίζεται το Medicare. Η συγκεκριμένη ηλεκτρονική διεύθυνση, όπως παραδέχθηκε η υπουργός Δημόσιας Διοίκησης Κέιτι Γκάλαχερ, ελεγχόταν μόλις μία φορά την ημέρα και δεχόταν τεράστιο όγκο μηνυμάτων, πολλά από τα οποία ήταν ψευδή ή παραπλανητικά. Αποτέλεσμα ήταν να χρειαστούν ακόμη πέντε ημέρες, μέχρι η Services Australia να προωθήσει, στις 15 Σεπτεμβρίου, την ειδοποίηση στο Australian Cyber Security Centre. Η αρμόδια υπουργός ενημερώθηκε ακόμη αργότερα, μερικές ημέρες μετά τη διαβίβαση.
Αντιδράσεις και το κενό στους κανόνες για την AI
Η Κέιτι Γκάλαχερ αναγνώρισε ότι το συγκεκριμένο inbox θα έπρεπε να παρακολουθείται συχνότερα, ωστόσο ξεκαθάρισε ότι μια ειδοποίηση τέτοιας σοβαρότητας δεν θα έπρεπε καν να διακινηθεί μέσω μιας απλής αλυσίδας email. Όπως τόνισε, η ενημέρωση θα έπρεπε να είχε κλιμακωθεί άμεσα μέσω των ειδικών διαύλων της Australian Signals Directorate ή να είχε φτάσει απευθείας στα ανώτερα στελέχη της Services Australia.
Ο Σάιμον Λιου, επικεφαλής Data και AI της εταιρείας κυβερνοασφάλειας TrustDecision, δήλωσε στο BBC ότι η OpenAI χρειάστηκε υπερβολικά μεγάλο χρονικό διάστημα για να ενημερώσει τις αυστραλιανές αρχές. «Ο τρόπος με τον οποίο έφθασε η ειδοποίηση με ενοχλεί όσο και η καθυστέρηση», ανέφερε χαρακτηριστικά. Ο Λιου συνέκρινε την υπόθεση με τον τραπεζικό τομέα, όπου σε αρκετές χώρες ένα σοβαρό περιστατικό ασφαλείας πρέπει να γνωστοποιείται στις εποπτικές αρχές μέσα σε ώρες ή, το πολύ, σε λίγες ημέρες. Στην περίπτωση των εταιρειών τεχνητής νοημοσύνης, όπως σημείωσε, οι κανόνες παραμένουν πολύ πιο χαλαροί.
Το περιστατικό ανέδειξε ένα ευρύτερο κενό στη νομοθεσία γύρω από τους AI agents: ποιες ακριβώς υποχρεώσεις έχει μια εταιρεία όταν το μοντέλο της αποκτά χωρίς άδεια πρόσβαση σε κυβερνητικά δεδομένα. Ο Λιου υποστήριξε ότι οι εταιρείες ανάπτυξης τεχνητής νοημοσύνης θα πρέπει να υποχρεούνται να ενημερώνουν άμεσα τόσο τον οργανισμό που επηρεάστηκε όσο και τις αρμόδιες αρχές, από τη στιγμή που διαπιστώνεται πρόσβαση σε μη δημόσια κυβερνητικά δεδομένα. Η αυστραλιανή κυβέρνηση έχει ήδη καταστήσει σαφές ότι θεωρεί προβληματική τη διαχείριση της υπόθεσης από την OpenAI. Ο πρωθυπουργός Άντονι Αλμπανέζι δήλωσε ότι, σε προσωπική επικοινωνία του με τον Σαμ Άλτμαν, του μετέφερε την ενόχλησή του για τον τρόπο διαχείρισης του περιστατικού.
