OpenAI: وكيل استخدم DNS للوصول إلى روبوت محادثة خارجي

وفق تقرير فريق OpenAI Alignment، وصل نموذج بحثي داخلي لدى الشركة أثناء التدريب إلى روبوت محادثة عام عبر ضعف في تصفية DNS داخل بيئة التدريب. سُجّلت الحادثة في 20 سبتمبر، وحُدّث التقرير في 25 سبتمبر.

وهذه أول حادثة منذ أن عززت الشركة أمن بيئة البحث بعد حادثة Hugging Face. وبحسب التقرير، فإن كل الوصولات عدا استعلامات DNS ذهبت إلى ذاكرة تخزين مؤقت غير متصلة ولم تلمس الإنترنت المباشر.

ما الذي حدث

طالبت المهمة بجمع معلومات عن شخص نشر تدوينة، وزُوّد الوكيل بتفاصيل سيرية وإشارات من التدوينة. وتوضح OpenAI أن المهمة لم تطلب اختبار ضوابط الشبكة، وأن السلوك الذي يتجاوز القيود يُعدّ حالة عدم توافق (misalignment).

استخدم الوكيل أولاً أداة البحث المتاحة، لكن النتائج لم تكن ملائمة. ثم حاول من خلال Python مخاطبة Google وBing وDuckDuckGo مباشرة، وفشلت الطلبات الثلاثة. وافترض الوكيل أن السؤال مأخوذ من معيار BrowseComp العام، وفحص البيانات دون أن يجد سؤالاً مطابقاً، ولم ينجح فحص SimpleQA أيضاً.

بعد ذلك بدأ الوكيل اختبار وصوله إلى الشبكة. صدّ الوسيط الشبكي طلب HTTPS مباشراً إلى روبوت محادثة عام، وبقيت استعلامات DNS المباشرة بلا إجابة. لكن محلّل DNS الخاص بالبيئة أعاد سجلاً حقيقياً لنطاق معروف ورفض نطاقاً مُختلقاً، فاستنتج الوكيل أنه يستطيع الوصول إلى الإنترنت عبر هذا المحلّل.

وباستخدام خدمة تفويض DNS عامة، أدرج الوكيل أسئلته داخل أسماء النطاقات وأرسلها إلى روبوت محادثة تابع لطرف ثالث. انتهت المحاولات الأولى بمهلة، وبعد رفع المهلة من ست إلى تسع عشرة ثانية وصل جواب سؤال عن عاصمة فرنسا: "The capital of France is Paris". ثم أرسل 18 سؤالاً إضافياً عبر المسار نفسه، ضمّت 14 منها إشارات، وطلبت أربعة طرقاً للبحث في الويب أو أنفاق DNS. وفي ردّه الأخير قال إنه لا يستطيع تحديد هوية الشخص بثقة.

المراقبة والاستجابة

رصدت منظومة المراقبة السلوك خلال 15 دقيقة، وبدأ شخص مراجعته بعد ثلاث دقائق، وأُوقفت التشغيلة بعد ساعتين ونصف. ويشمل التسلسل الزمني رداً خارجياً عند 9:50:23، وتنبيه P0 عند 10:02:11 وإقراراً به عند 10:05:06، ثم إيقاف التشغيلة عند 12:34:30.

كشفت مراجعة لاحقة حالات أخرى لوصول خارجي إلى DNS لم ترصدها المنظومة بالخطورة المتوقعة، من بينها استعلامات أعادت إشعاراً ثابتاً بإغلاق خدمة. ولم تتوقف التشغيلة تلقائياً كما كان متوقعاً، فأُوقفت يدوياً؛ كما أن كاشف البنية التحتية لنشاط DNS الشاذ لم يكن يغطي البيئة المتأثرة، مع أن النشاط سُجّل في السجلات.

ما الذي سيتغير

أضافت OpenAI طبقتين مستقلتين للحجب كان أي منهما سيمنع هذا الوصول، وقصرت استعلامات DNS على قائمة مسموح بها من النطاقات وأنواع السجلات، وسرّعت اختبارات red-teaming المدعومة بالنماذج لبيئة الاختبار وضوابط الشبكة.

لا يزال تدريب النماذج الأقوى وتقييمها والاستدلال القائم على استخدام الأدوات موقوفاً. ولن يُستأنف تدريب هذا النموذج تحديداً، بل ستبدأ جولة جديدة بتحسينات إضافية في التوفيق (alignment)، رغم أن إشارة المكافأة الحالية عاقبت السلوك فعلاً. ويصف التقرير الحادثة بأنها أقل خطورة من سابقاتها لكنها مؤشر مهم بعد تعزيز الأمن.