چرا فرار مدل OpenAI نگران‌کننده‌ترین خطای هوش مصنوعی تاکنون است

این اتفاق شبیه داستانی از یک فیلم علمی-تخیلی به نظر می‌رسد. Hugging Face در ۱۶ ژوئیه اعلام کرد که پس از آنکه یک مهاجم از یک عامل هوش مصنوعی برای نفوذ به سامانه‌هایش استفاده کرده است، موضوع را به مراجع قضایی اطلاع داده است. در ۲۱ ژوئیه مشخص شد که هیچ انسانـی در این حمله نقش نداشته است؛ بلکه خود عامل هوش مصنوعی مهاجم بوده است.

حمله عامل‌های خودمختار به Hugging Face؛ امریکایی‌ها جواب ندادند، چینی‌ها دفاع کردند

ترکیبی از مدل GPT-5.6 Sol شرکت OpenAI، مدلی که این شرکت در اوایل ماه ژوئیه عرضه کرده بود و یک مدل قدرتمندتر که هنوز منتشر نشده، از محیط آزمایشگاهی خود خارج شدند و سپس به سامانه‌های Hugging Face نفوذ کردند. این مدل‌های هوش مصنوعی در تلاش برای یافتن راه‌حلی برای یک مسئله ارزیابی و بنچمارک بودند که سازندگانشان برای آن‌ها تعیین کرده بودند. «استفان لیرنا» (Stephan Llerena)، پژوهشگر مؤسسه حقوق و هوش مصنوعی (Institute for Law and AI)، یک اندیشکده آمریکایی، می‌گوید: «این وضعیت بی‌سابقه است.»

این مدل داخلی OpenAI بود که فرار کرد و Hugging Face را هک کرد!

آزمایشگاه‌های هوش مصنوعی پیش از عرضه مدل‌های خود، آن‌ها را از نظر قابلیت‌های بالقوه خطرناک آزمایش می‌کنند. OpenAI می‌خواست بررسی کند جدیدترین مدل‌هایش در ExploitGym چگونه عمل می‌کنند؛ مجموعه‌ای از مسائل استاندارد که میزان توانایی سامانه‌های هوش مصنوعی را در بهره‌برداری از آسیب‌پذیری‌های شناخته‌شده در چندین نرم‌افزار محبوب، از جمله مرورگر کروم گوگل، آزمایش می‌کند.

و حالا GPT-5.6 اینجاست

OpenAI برای مدل‌هایی که به‌صورت عمومی در دسترس هستند، سازوکارهای حفاظتی اعمال می‌کند تا اطمینان حاصل شود آن‌ها اقدامات ناخواسته را دنبال نمی‌کنند. برای مثال، اگر از نسخه تجاری ChatGPT بخواهید به شما در هک‌کردن یک وب‌سایت کمک کند، این درخواست را رد خواهد کرد. اما برای ارزیابی قابلیت‌های مدل منتشرنشده خود، شرکت به طور موقت این محدودیت‌ها را متوقف کرده بود. بااین‌حال، رهاکردن یک مهاجم سایبری بسیار توانمند در اینترنت آزاد، بیش از حد خطرناک بود؛ بنابراین OpenAI مدل‌های خود را در یک «سندباکس» (sandbox) قرار داده بود؛ یک محیط کامپیوتری ایزوله که به اینترنت دسترسی نداشت، به‌جز یک سرویس شخص ثالث داخلی که به مدل اجازه می‌داد بسته‌های نرم‌افزاری کوچک موردنیاز برای تکمیل آزمایش‌ها را دریافت کند.

اما نتیجه‌ای که شرکت به دست آورد، فراتر از انتظاراتش بود. مدل‌های OpenAI به‌جای آنکه مستقیماً مسائل موجود در ارزیابی را حل کنند، با سوءاستفاده از یک آسیب‌پذیری ناشناخته قبلی در سرویس دریافت نرم‌افزار، به اینترنت آزاد دسترسی پیدا کردند.

پس از دستیابی به اینترنت، مدل‌های هوش مصنوعی به‌درستی نتیجه گرفتند که راه‌حل مسائل تعیین‌شده برای آن‌ها در Hugging Face ذخیره شده است؛ کتابخانه‌ای محبوب برای مدل‌ها و مجموعه‌داده‌های هوش مصنوعی متن‌باز. این مدل‌ها یک حمله چندمرحله‌ای را به‌صورت زنجیره‌ای اجرا کردند. آن‌ها ابتدا یک مجموعه‌داده را در Hugging Face بارگذاری کردند که به طور خودکار توسط این پلتفرم پردازش شد. در طول یک آخر هفته، همان مجموعه‌داده که Hugging Face آن را «مخرب» توصیف کرد به مدل‌ها امکان داد اطلاعات ورود کاربران را استخراج کرده و به سرورهای داخلی دسترسی پیدا کنند. Hugging Face و OpenAI به‌صورت مستقل این نفوذ را شناسایی کردند و اعلام کردند که برای بررسی این حادثه با یکدیگر همکاری می‌کنند.

در ۲۱ ژوئیه، OpenAI در یک پست وبلاگی اعلام کرد که در واکنش به این اتفاق، کنترل‌های سخت‌گیرانه‌تری را روی زیرساخت خود اعمال کرده و آسیب‌پذیری‌هایی را که مدل‌هایش پیدا کرده بودند، به توسعه‌دهنده درگاه نرم‌افزاری مربوطه گزارش داده است. این شرکت همچنین Hugging Face را به برنامه «دسترسی مورداعتماد» (trusted access) خود اضافه کرد؛ برنامه‌ای که به این شرکت اجازه می‌دهد از مدل‌هایی با قابلیت‌های پیشرفته‌تر سایبری مانند مدلی که به رایانه‌های خودش نفوذ کرده بود برای تقویت دفاع‌های امنیتی خود استفاده کند.

OpenAI همچنین تأکید کرد که مدل‌هایش در فرایند ارزیابی ExploitGym «بیش از حد متمرکز» (hyperfocused) بر یافتن راه‌حل‌ها بوده‌اند. بااین‌حال، مشخص نیست اگر این مدل‌های هوش مصنوعی اهداف دیگری داشتند، چه اتفاقی ممکن بود رخ دهد. از منظر امنیت کامپیوتری، Hugging Face نیز یک شرکت کم‌توان نیست. این شرکت یک مجموعه فناوری با ارزش ۴.۵ میلیارد دلار است که صدها کارمند و یک تیم اختصاصی امنیت سایبری دارد. برای سازمانی با منابع کمتر، ممکن بود این اتفاق پیامدهای بسیار بدتری داشته باشد.

این نخستین نشانه‌ای نیست که قابلیت‌های مدل‌های هوش مصنوعی در حال فراتر رفتن از کنترل انسان‌ها هستند. در ماه آوریل، یک پژوهشگر شرکت آنتروپیک در فضای مجازی نوشت که پس از آنکه مدل Claude Mythos (که در آن زمان هنوز منتشر نشده بود) در جریان ارزیابی قابلیت‌های سایبری خود به او ایمیل زد و اعلام کرد با موفقیت از یک سندباکس خارج شده است، شگفت‌زده شده بود؛ درحالی‌که او در پارک نشسته و مشغول خوردن یک ساندویچ بود. مانند مدل منتشرنشده OpenAI که در حادثه Hugging Face دخیل بود، Mythos نیز قرار نبود دسترسی نامحدود به اینترنت داشته باشد.

هرچند OpenAI جزئیات چگونگی خروج مدل منتشرنشده خود از محیط محدودشده را به‌صورت عمومی اعلام نکرده است؛ اما حتی اگر این جزئیات را نیز منتشر می‌کرد، این واقعیت که سامانه‌های هوش مصنوعی در حال پیشی‌گرفتن از انسان‌ها در وظایف امنیت سایبری هستند، به این معناست که به گفته «الکس ماینکه» (Alex Meinke) از Apollo Research «تنها تعداد بسیار بسیار کمی از متخصصان امنیت سایبری در جهان» می‌توانستند به‌درستی نحوه وقوع این نفوذ را درک کنند.

دولت آمریکا اخیراً در حال تنظیم مقررات مربوط به عرضه مدل‌ها به‌صورت واکنشی و هم‌زمان با تحولات این حوزه بوده است. اما این حادثه نشان می‌دهد حتی مدل‌های هوش مصنوعی منتشرنشده که هنوز در مرحله توسعه قرار دارند نیز می‌توانند خطرآفرین باشند.

«نیتن کالوین» (Nathan Calvin)، مشاور حقوقی ارشد Encode AI، یک سازمان غیرانتفاعی آمریکایی فعال در زمینه قانون‌گذاری هوش مصنوعی می‌گوید: «در قوانین ایالتی یا فدرال، هیچ الزام قانونی برای شرکت‌ها وجود ندارد که استقرار داخلی مدل‌های هوش مصنوعی بسیار توانمند، مانند مدلی که در هک Hugging Face دخیل بود، را افشا کنند.»

اگرچه برخی قوانین ایالتی در آمریکا شرکت‌ها را ملزم به افشای رخدادهای امنیت سایبری می‌کنند، دامنه این قوانین محدود است. قانونی که سال گذشته در کالیفرنیا تصویب شد، آزمایشگاه‌های پیشرو هوش مصنوعی را ملزم می‌کند هر «حادثه ایمنی بحرانی» را گزارش کنند؛ از جمله مواردی که یک مدل از «تکنیک‌های فریبنده» برای دورزدن سازوکارهای نظارتی «خارج از زمینه ارزیابی» استفاده کند، آن هم ظرف ۱۵ روز پس از کشف حادثه. به گفته کالوین، مشخص نیست آیا نفوذ به Hugging Face مشمول این قانون می‌شده است یا خیر. این موضوع پرسش دشوار دیگری را نیز مطرح می‌کند: اگر پیامدهای این نفوذ پرهزینه‌تر بود، چه کسی مسئول شناخته می‌شد؟

قوانین فدرال ضد هک در آمریکا تنها با هدف مجازات دسترسی غیرمجاز و عمدی به سامانه‌های رایانه‌ای طراحی شده‌اند. OpenAI قصد نداشت مدل‌هایش برای یافتن پاسخ تقلبی یک آزمون، از کنترل خارج شوند. لیرنا می‌گوید: «بسیاری از این پرسش‌های حقوقی به موضوع قصد و نیت بستگی دارند؛ اینکه OpenAI چه چیزی را می‌دانست یا چه چیزی را پیش‌بینی کرده بود؟» این حمله یک غافلگیری بود. اما دفعه بعد، ادعای بی‌اطلاعی دشوارتر خواهد بود.

گزارش حاضر در نسخه July 25^th 2026 نشریه The Economist منتشر شده است.