Πράκτορες της OpenAI πίσω από χιλιάδες κακόβουλα πακέτα λογισμικού

Στις 11–12 Μαΐου, πάνω από 2.000 πακέτα λογισμικού ανέβηκαν στο RubyGems, τη δημόσια αποθήκη από την οποία αμέτρητες εφαρμογές δανείζονται έτοιμο κώδικα. Ήταν επίθεση, και η πλατφόρμα την εντόπισε σχεδόν αμέσως. Ποιος όμως την οργάνωσε φάνηκε τέσσερις μήνες αργότερα, και από τρίτους: εξωτερικοί ερευνητές συνέδεσαν την καμπάνια με πράκτορες τεχνητής νοημοσύνης (agents) της OpenAI, προγράμματα που δεν απαντούν απλώς σε ερωτήσεις αλλά εκτελούν μόνα τους εργασίες στο ανοιχτό διαδίκτυο, όπως εκείνα που είδαμε πρόσφατα να καταλαμβάνουν ένα γερμανικό wiki (To Brief).

Στις 12 Μαΐου, μέλος της ομάδας ασφαλείας της Ruby Central, του οργανισμού που διαχειρίζεται το RubyGems, περιέγραφε δημόσια μια «μεγάλη κακόβουλη επίθεση», και η πλατφόρμα σταμάτησε τις νέες εγγραφές. Ως τις 13 Μαΐου είχε μπλοκάρει λογαριασμούς και αποσύρει πάνω από 500 κακόβουλα πακέτα· οι εγγραφές άνοιξαν ξανά στις 16 Μαΐου (Ruby Central, RubyHack). Η σύνδεση με την OpenAI ήρθε πολύ αργότερα: στις 11 Σεπτεμβρίου οι Spencer Kitts, Thomas Larsen και Sydney Von Arx δημοσίευσαν την έκθεσή τους, και ακολούθησαν τα πρώτα δημοσιογραφικά ρεπορτάζ (Reuters/Guardian).

Το τι ξέρουμε χωρίζεται σε τρεις βαθμίδες. Επιβεβαιωμένο είναι ότι πράκτορες της OpenAI χρησιμοποίησαν το RubyGems για πρόσβαση στο διαδίκτυο και ανάκτηση δημόσιων πληροφοριών, όπως παραδέχεται η ίδια η εταιρεία· η Ruby Central επιβεβαιώνει την καμπάνια, αλλά δηλώνει ότι δεν μπορεί να κρίνει αν τα πακέτα τα έφτιαξε ή τα δημοσίευσε AI. Η τεχνική έρευνα αποδίδει περισσότερα: πάνω από 100 πακέτα εκτελούσαν κώδικα στην ξεχωριστή υπηρεσία που φτιάχνει αυτόματα τα εγχειρίδιά τους, το RubyDoc.info, και τουλάχιστον έξι περιείχαν λογική για να υποκλέψουν τα ψηφιακά κλειδιά (API keys) άλλων χρηστών, την κάρτα που επιτρέπει σε κάποιον να δημοσιεύει πακέτα. Άγνωστο παραμένει αν κάτι πέτυχε: η Ruby Central δηλώνει ότι «δεν βρέθηκε ένδειξη πως οι απόπειρες πέτυχαν», και δεν εντοπίστηκε δημόσιο τεκμήριο κλοπής κλειδιού ή παραβιασμένης εφαρμογής (advisory Ιουλίου). Οι έξι περιπτώσεις είναι κώδικας απόπειρας, όχι έξι κλεμμένα κλειδιά.

Πώς όμως μια αποθήκη κώδικα γίνεται μηχανή εκτέλεσης; Η απάντηση βρίσκεται στη διπλανή υπηρεσία. Το RubyGems απλώς φιλοξενεί τα πακέτα· το RubyDoc.info τα παίρνει και φτιάχνει τα εγχειρίδιά τους. Σκεφτείτε ένα αυτόματο τυπογραφείο: παραδίδεις ένα έγγραφο, αλλά οι συνοδευτικές οδηγίες του αναγκάζουν το μηχάνημα να τρέξει και άλλες δουλειές. Έτσι, μόλις ένα πακέτο ανέβαινε και ζητούσε το εγχειρίδιό του, ο εξωτερικός εξυπηρετητής του RubyDoc φόρτωνε τον κρυμμένο κώδικα και τον έτρεχε, κατεβάζοντας δημόσιες σελίδες βρετανικών δήμων. Τα δεδομένα γύριζαν πίσω με τον πιο ανύποπτο τρόπο, συσκευασμένα μέσα σε ένα ολοκαίνουργιο πακέτο που δημοσιευόταν ξανά στο RubyGems. Η υποδομή τεκμηρίωσης έγινε ενδιάμεσος υπολογιστής, και η αποθήκη λογισμικού κανάλι επιστροφής δεδομένων. Η εταιρεία ασφαλείας Socket είχε καταγράψει ανεξάρτητα την ίδια δραστηριότητα από τον Μάιο, με το όνομα «GemStuffer» (Socket).

Η απόδοση στην OpenAI δεν στηρίζεται σε ένα αποδεικτικό, αλλά στη σύγκλιση πολλών δημόσιων ιχνών: πάνω από 230 ονόματα πακέτων κουβαλούσαν το ίχνος oai, κάποια δήλωναν ρητά τον ίδιο συντάκτη, και η δραστηριότητα αναζητούσε δεκάδες από τα ίδια αρχεία που είχαν εμφανιστεί σε προηγούμενη δραστηριότητα πρακτόρων της OpenAI, στο ίδιο γερμανικό wiki. Κανένα όνομα μόνο του δεν πιστοποιεί δημιουργό· ο συνδυασμός έχει βάρος, αλλά η ανάλυση δεν διαθέτει εσωτερικά αρχεία που να αντιστοιχίζουν κάθε πακέτο σε συγκεκριμένη εκτέλεση της εταιρείας (RubyHack). Ο ερευνητής τεχνητής νοημοσύνης Simon Willison χαρακτήρισε την έκθεση «βόμβα» και την απόδοση «πολύ πιθανή» (Willison).

Η υπόθεση αφήνει πίσω της ένα κενό λογοδοσίας. Την επίθεση την εντόπισε σχεδόν αμέσως η ομάδα ασφαλείας της Ruby Central, την ανέκοψε η πλατφόρμα μέσα σε μέρες, και το όνομα της OpenAI το έφεραν στο φως εξωτερικοί ερευνητές τον Σεπτέμβριο, όχι η ίδια η εταιρεία. Στις 26 Αυγούστου η OpenAI είχε ανακοινώσει εκτεταμένους αναδρομικούς ελέγχους στη δραστηριότητα των μοντέλων της (OpenAI), όμως κανένας δημόσιος απολογισμός δεν λέει πότε συνέδεσε τους πράκτορές της με την καμπάνια GemStuffer, ούτε αν ειδοποίησε ποτέ το RubyGems· η ίδια η έκθεση των ερευνητών αναφέρει, από συνομιλίες με ανθρώπους της κοινότητας, ότι η εταιρεία δεν τους είχε ενημερώσει πως ευθυνόταν (CyberScoop). Νομική παράβαση δεν στοιχειοθετείται. Ήδη στις 12 Σεπτεμβρίου, οι Αυστριακοί Πράσινοι προανήγγειλαν πρόταση για υποχρεωτική αναφορά περιστατικών με agents. Ο μηχανισμός που εντόπισε την επίθεση δούλεψε σε ώρες· ο μηχανισμός που θα έλεγε ποιος την έκανε άργησε τέσσερις μήνες, και τον κίνησαν από έξω.