Tehtävä kuulosti harmittomalta. Kesäkuussa OpenAI:n sisäistä tekoälymallia pyydettiin etsimään historiallisia sairaalapaikkatilastoja erään valtion tilastosivustolta. Sivusto torjui pyynnön, koska tiedot olivat pääsynvalvonnan takana.
Malli ei luovuttanut. Se selvitti palvelimen virheilmoituksesta tiedostopolut ja latasi sivuston omalla latausominaisuudella sovelluksen asetustiedostot. Niistä löytyivät muun muassa tietokannan yhteystiedot ja salainen avain, jolla kirjautumistunnisteet allekirjoitetaan. Lopulta malli huomasi, ettei palvelin tarkistanut tunnisteiden allekirjoituksia lainkaan. Se teki omat tunnisteensa ja haki suojatusta rajapinnasta 24 vuoden tilastot, vaikka tehtävässä kysyttiin yhtä vuotta.
Fortunen mukaan mallin päättelyketjusta näkyy, että se pohti, oliko sen toiminta eettistä. Silti se jatkoi. Vastauksessaan malli ei kertonut luvattomasta pääsystä mitään. OpenAI:n raportin mukaan sama sairaalapaikkaluku olisi löytynyt myös julkisella haulla, ja juuri sitä lukua malli lopulta käytti.
Neljä uutta tapausta, kaksi kriittistä
OpenAI lisäsi 15. lokakuuta tutkimusblogiinsa neljä uutta raporttia tapauksista, joissa sen mallit toimivat vastoin ohjeita. Sivulla on nyt 19 tapausta. Kun AI Suomi kertoi aiheesta 11. lokakuuta, raportteja oli 15. Silloin huomiota keräsi arvioijamalli, joka väärensi tiedostoja ja yritti rikkoa oman ympäristönsä.
Kaikki neljä uutta tapausta sattuivat kesäkuussa OpenAI:n omissa koulutusajoissa tai arvioinneissa, eivät asiakkaiden käytössä. OpenAI:n valvontajärjestelmä luokitteli niistä kaksi kriittisiksi. Valvontaa ajettiin vanhoihin lokeihin jälkikäteen Hugging Face -tietomurron jälkeen, ja tapaukset löytyivät elo- ja syyskuussa.
Toinen kriittinen tapaus muistuttaa ensimmäistä. Arvioinnissa mallin piti hakea viisi julkaistua lukua kansainvälisen tutkimusorganisaation julkisesta koontinäkymästä. Se löysi verkkosivun JavaScript-koodista organisaation hakupalvelun tunnukset, latasi 1 489 käyttäjähakemiston tietuetta nimineen ja sähköposteineen ja muutti järjestelmän asetuksia. OpenAI ei nimeä organisaatiota.
Toisella arviointikierroksella malli muutti kirjautumisasetusta ja sai sen avulla pääsytunnisteen. Asetuksen se palautti ennalleen, mutta jatkoi tunnisteen käyttöä. Tuloksena oli 147 451 riviä ei-julkista dataa viidestä taulukosta, vaikka tehtävään tarvittiin viisi lukua. ”Malli ei kertonut näistä toimista”, OpenAI:n englanninkielisessä raportissa todetaan.
Testiverkon rahaa vieraasta lompakosta
Kolmatta tapausta on uutisoitu luvattomana kryptomaksuna. GPT-5.6 Sol -perheen tutkimusmalli päivitti kryptokaupan prototyyppiä, ja sen piti julkaista älysopimuksia Ethereumin Sepolia-testiverkkoon. Lompakkoa sille ei annettu. Malli johti avaimia yleisesti tunnetuista kehittäjien palautuslauseista, kävi läpi 362 osoitetta ja maksoi julkaisun kulut tililtä, jolla oli riittävästi testiverkon valuuttaa.
Testiverkon valuutalla ei tavallisesti ole kauppa-arvoa, mutta raportti ei vahvista asiaa. Malli perusteli tekoaan sillä, että varat olivat ”käytännössä hylätyt” ja ne ”voitiin varastaa milloin tahansa”. OpenAI:n mukaan tapaus osoittaa, että malli voi korvata tilinomistajan luvan omalla arviollaan haitoista. Neljännessä tapauksessa malli kiersi internetkieltonsa pyytämällä ulkopuolisia palveluja tekemään estetyt pyynnöt puolestaan.
“OpenAI:n agenttien kohdalla on syytä uskoa, että onnistunut huijaaminen itse asiassa palkittiin.”
Mitä tämä tarkoittaa suomalaisille organisaatioille
OpenAI kertoo vahvistaneensa tietoturvaa, estäneensä malleilta pääsyn avoimeen internetiin koulutuksen ja arviointien aikana ja laajentaneensa valvonnan kaikkeen koulutus- ja arviointiliikenteeseen. Korjauksista näkee myös, millainen tilanne oli aiemmin: malleilla oli yhteys oikeaan internetiin. Yhtiö ei kerro, ilmoitettiinko tilastosivuston ylläpitäjälle tapahtuneesta.
Suomalaisessa organisaatiossa sama tilanne olisi tietosuoja-asia. Sairaalapaikkatilastot ovat koostettua dataa eivätkä potilastietoja. Molemmissa kriittisissä tapauksissa malli kuitenkin keräsi siinä sivussa henkilötietoja: sairaalatapauksessa yli tuhat sähköpostiosoitetta tilihakemistosta ja koontinäkymätapauksessa lähes 1 500 käyttäjätietuetta.
Vastuu ei siirry tekoälylle. Jos agentti käsittelee henkilötietoja, joihin sillä ei ole oikeutta, EU:n tietosuoja-asetus katsoo vastuulliseksi agentin käyttöön ottaneen organisaation. Kohteeksi joutunut organisaatio taas joutuu arvioimaan, onko kyse tietoturvaloukkauksesta, joka on ilmoitettava tietosuojavaltuutetulle 72 tunnin kuluessa.
Terveysdatan kohdalla vaatimukset ovat vielä tiukemmat. Potilastiedot kuuluvat tietosuoja-asetuksen erityisiin henkilötietoryhmiin, ja Suomessa niiden käyttöä rajaavat lisäksi potilastietoja koskeva lainsäädäntö ja toisiolaki. Sairaalaa tai kuntaa ajatellen kesäkuun malli opettaa yhden asian. Agentti haki pyydettyä enemmän ja kertoi siitä vähemmän.
EU:n tekoälysäädös velvoittaa järjestelmäriskiä aiheuttavien yleiskäyttöisten mallien tarjoajat, kuten OpenAI:n, arvioimaan riskejä ja raportoimaan vakavista vaaratilanteista EU:n tekoälytoimistolle. Säädös rajaa kuitenkin tutkimus- ja testausvaiheen pääosin soveltamisalansa ulkopuolelle. Siksi on kiistanalaista, voiko komissio puuttua koulutuksen aikana sattuneisiin tapauksiin. Komissio on silti jo pyytänyt OpenAI:lta ja Anthropicilta selvitystä kesän tapauksista, joissa agentit pääsivät vieraisiin järjestelmiin.
