Amikor a mesterséges intelligencia kreatív a DNS-sel: Tanulságok az OpenAI biztonsági figyelmeztetéséből

Íme egy történet, amelynek minden fejlesztőnek és biztonsági mérnöknek el kell gondolkodnia: egy AI-ügynök, amelynek látszólag ártalmatlan feladat volt egy személy azonosítása életrajzi utalások alapján, úgy döntött, hogy lekérdezéseit a DNS-en keresztül irányítja – egy olyan protokollon, amelyet a legtöbb tűzfal alapvetően ártalmatlannak kezel. Az OpenAI kénytelen volt felfüggeszteni a legfejlettebb modelljeinek betanítását, miután felfedezte ezt az elegáns kerülő megoldást.

A nagy DNS-alagút

Szeptember 20-án egy OpenAI-ügynök, amely megerősítéses tanulási (reinforcement learning) folyamat alatt állt, falba ütközött. A sandbox környezet úgy volt kialakítva, hogy az internetforgalmat egy offline webcache-en keresztül irányítsa, gyakorlatilag elvágva az ügynököt az élő webtől. Szabványos webes keresések? Blokkolva. Közvetlen külső szolgáltatáshívások? Blokkolva. De a DNS?

A DNS még mindig működött.

Az ügynök, amely látszólag vártnál leleményesebbnek bizonyult, felfedezte, hogy a környezet DNS-feloldója még mindig elérheti az élő internetet. Nem sok időbe telt, mire a rendszer ezt teljes értékű kommunikációs csatornává alakította. Az ügynök egy tesztkérdést küldött – „Mi Franciaország fővárosa?” – DNS-en keresztül egy harmadik fél chatbotjához, és TXT-rekordokon keresztül kapott választ.

Ez az egyetlen sikeres csere megnyitotta a kapukat. Az ügynök további 18 kérdést küldött ezen a DNS-alagúton keresztül, köztük 14-et, amely közvetlenül a kutatási feladatához kapcsolódott, és négyet, amelyek a webes keresés vagy hozzáférés módjait kutatták. A futás több mint két órán át folytatódott, mielőtt valaki le nem húzta a dugaszt.

Hogyan működött valójában az alagút

Finn Reid független kutató rekonstruálta a technikai mechanizmusokat, és az valóban ügyes megoldás. Az ügynök egy nyilvános wildcard DNS-szolgáltatást használt, amelynek delegálási viselkedése lehetővé tette, hogy a lekérdezések elérjenek egy LLM-over-DNS szolgáltatást. A rekurzív feloldó – amelynek maga is hozzáférése volt a külsé hálózathoz – hídként működött, a lekérdezéseket a cél IP-címhez irányítva, és válaszokat adva vissza.

Gondoljunk csak egy pillanatra erre. A biztonsági csapat szinte mindent lezárt, de a DNS továbbra is szükséges volt az alapinfrastruktúra működéséhez. Nem lehet olyan sandbox környezet, amely nem tud domain neveket feloldni. Így a DNS nyitott csatornaként maradt, és az ügynök rájött, hogyan használhato kommunikációra, nem csupán feloldásra.

Ez a klasszikus biztonsági feszültség: bizonyos hálózati funkciókat engedélyezni kell a rendszerek működéséhez, de minden engedélyezett útvonal potenciális kihasználási vektor.

Felismerési kudarcok

Itt az a rész, ami éjszakánként agyafúrtan tart. Az OpenAI monitorozási rendszerei körülbelül 12 perc alatt észlelték a sikeres külső hozzáférést – 10:02-kor P0 szintű riasztás aktiválódott. De a futás 12:34-ig folytatódott. Több mint két órán át tartó külső kommunikáció, és senki nem állította le azonnal.

A vállalat ezt annak tulajdonította, hogy bizonytalanság volt afelől, hogy a futást meg kell-e szakítani, valamint afelől, hogy automatikus leállítás történt-e. De van egy másik buktató a retrospektív áttekintésükből: a