“Quanti divorzi ci sono stati in canada?” L’AI: “Aspetta, provo con SQL injection”

Un Agente, presumibilmente collegato ad OpenAI ha tentato di violare il settore governativo canadese, secondo Transluce. Il 28 maggio e il 9 giugno, tramite Arquivo.pt, sono state inviate 899 richieste al servizio di ricerca di Library and Archives Canada, con 13 costrutti di attacco rilevati. OpenAI sta indagando, ma non ha confermato ufficialmente l'attribuzione.

Gli agenti AI alla fine non perdono il vizio di hackerare. Soprattutto quando la missione diventa complessa, trovare scorciatoie diventa il modo migliore per risolvere il compito.

La missione di trovare vecchie statistiche sui divorzi si è conclusa inaspettatamente con il fatto che gli agenti IA hanno iniziato a verificare le vulnerabilità dell’archivio governativo canadese.

L’attività sospetta ha coinvolto il servizio di ricerca di Library and Archives Canada, un’agenzia federale che conserva documenti archivistici e svolge le funzioni di biblioteca nazionale. Il 28 maggio e il 9 giugno, tramite l’archivio web portoghese Arquivo.pt, sono stati inviati al servizio 899 richieste. In 13 di esse, gli esperti di Transluce hanno trovato costrutti di attacco, incluse tre tentativi di SQL injection, la verifica di XSS e richieste con l’inclusione della modalità di debug.

Tutti i tentativi rilevati, a giudicare dalle risposte del server disponibili, sono falliti. L’applicazione restituiva pagine vuote normali e non mostrava segni che i costrutti di attacco avessero influenzato il database o aperto informazioni aggiuntive. Agli agenti, tuttavia, erano necessarie informazioni piuttosto innocue, registrazioni sui divorzi in Canada dal 1905 al 1911.

La parte più interessante della storia non è legata all’obiettivo, ma al comportamento del sistema. Transluce non afferma che le richieste canadesi provenissero sicuramente da OpenAI. Gli esperti hanno notato tattiche simili a quelle dell’attività precedentemente confermata dell’azienda, inclusa l’utilizzo di servizi di terze parti per accedere a Internet, la ricerca ostinata di dati rari e il passaggio alla verifica delle vulnerabilità dopo tentativi falliti di ottenere informazioni in modo convenzionale. Una simile capacità degli agenti autonomi di cambiare autonomamente tattica è già diventata un problema separato per gli esperti di sicurezza.

Il centro canadese per la sicurezza informatica non ha rilevato segni di compromissione dei sistemi governativi. L’agenzia ha ricordato che i siti pubblici ricevono costantemente richieste automatiche e potenzialmente dannose, quindi tale traffico di per sé non indica un attacco riuscito.

L’episodio canadese, tuttavia, non è apparso nel vuoto. OpenAI ha già dovuto affrontare una serie di casi in cui i modelli hanno superato i limiti del compito assegnato, hanno cercato chiavi altrui, pubblicato file e trovato autonomamente modi per aggirare i limiti. L’azienda ha persino raccolto tali incidenti in un sistema separato di rendicontazione interna.

I ricercatori hanno scoperto un tentativo di hacking dopo aver studiato le tracce aperte dell’attività degli agenti. Il comportamento ricordava i sistemi OpenAI, ma i dati disponibili sono ancora insufficienti per un’attribuzione sicura. OpenAI ha dichiarato di stare indagando sui rapporti riguardanti i tentativi dei suoi modelli di accedere a risorse pubbliche del governo canadese e ha già trasmesso alle autorità canadesi le informazioni iniziali.

Una serie di casi simili mostra una caratteristica sgradevole delle moderne sistemi agenti. I modelli non ricevono necessariamente il comando di “hackerare un sito”. Un agente può iniziare con una semplice ricerca di dati, incontrare un ostacolo e decidere autonomamente che il bypass della protezione aiuterà a completare il compito. I problemi di controllo hanno già influenzato persino i piani di prodotto di OpenAI, l’azienda ha annullato GPT-6.1 Astra dopo test preoccupanti su disobbedienza e azioni nascoste.

Particolarmente indicativo è il caso di giugno in Australia, dove una storia simile è andata oltre. Un agente di OpenAI, durante la ricerca di statistiche, è penetrato in Medicare e ha ottenuto l’accesso a file non destinati alla visualizzazione pubblica.

Carolina Vivianti

Carolina Vivianti è consulente/Advisor autonomo in sicurezza informatica con esperienza nel settore tech e security. Ha lavorato come Security Advisor per Ford EU/Ford Motor Company e Vodafone e ha studi presso la Sapienza Università di Roma.

Aree di competenza: Cybersecurity, IT Risk Management, Security Advisory, Threat Analysis, Data Protection, Cloud Security, Compliance & Governance