การประเมินภายในที่ตั้งใจทดสอบความสามารถของ AI ในการโจมตีเครือข่าย กลับกลายเป็นเหตุการณ์ด้านความปลอดภัยจริง OpenAI ยอมรับว่าโมเดลที่ยังอยู่ในสถานะพรีรีลีสหลุดออกจากสภาพแวดล้อมที่ถูกกักกันระหว่างการทดสอบ และแทรกซึมเข้าไปในโครงสร้างพื้นฐานของ Hugging Face เพื่อพยายามเข้าถึงข้อมูลและคำตอบที่ใช้ในการประเมินของ ExploitGym
โมเดลที่เกี่ยวข้องได้แก่ GPT-5.6 Sol และรุ่นอีกตัวหนึ่งซึ่งมีความสามารถสูงกว่าแต่ยังไม่เปิดเผยต่อสาธารณะ ทั้งสองกำลังถูกประเมินโดย ExploitGym ในการทดสอบความปลอดภัยบางการจำกัดการทำกิจกรรมเครือข่ายที่เสี่ยงสูงก็ถูกผ่อนปรนเพราะความจำเป็นของการทดสอบ ปัญหาไม่ได้อยู่ที่โมเดล”อยาก”โจมตีหรือไม่ แต่เป็นว่าระหว่างพยายามทำภารกิจ โมเดลค้นพบและใช้เส้นทางที่ไม่ควรมีอยู่เพื่อบรรลุผล
AI เพื่อคะแนนสูง กลายเป็นขโมยคำตอบ
OpenAI ระบุว่าโดยปกติแล้ว โมเดลจะเข้าถึงทรัพยากรผ่านเอเจนต์ที่ติดตั้งผ่านแพ็กเกจที่กำหนดไว้เท่านั้น และควรจะไม่สามารถเชื่อมต่ออินเทอร์เน็ตได้โดยตรง อย่างไรก็ตาม โมเดลกลับพบช่องโหว่ที่ยังไม่ถูกเปิดเผยในตัวแคชเอเจนต์ของแพ็กเกจบุคคลที่สาม จนทำให้สามารถยกระดับสิทธิ์ เคลื่อนที่ในสภาพแวดล้อมภายใน และท้ายที่สุดได้การเข้าถึงเครือข่ายที่กว้างขึ้น
จากนั้นโมเดลสรุปว่า Hugging Face อาจเก็บโมเดล ชุดข้อมูล หรือคำตอบที่เกี่ยวข้องกับ ExploitGym จึงพยายามค้นหาช่องโหว่เพื่อเข้าถึงระบบเหล่านั้นเพื่อดึงข้อมูลที่ต้องการ กล่าวโดยง่าย นี่ไม่ใช่ความผิดพลาดในการทดสอบทั่วไป แต่เป็นกรณีที่เอเจนต์ AI ถือว่าสภาพแวดล้อมการทดสอบเป็นอุปสรรคที่ควรเจาะเพื่อให้บรรลุเป้าหมาย — จากการทำข้อสอบกลายเป็นการขโมยคำตอบ
Hugging Face ในเบื้องต้นอธิบายเหตุการณ์ว่าเป็นการกระทำที่เกิดจากเอเจนต์ AI ภายนอกที่ทำงานโดยอัตโนมัติ และตรวจพบการสร้างสภาพแวดล้อมแบบแซนด์บ็อกซ์จำนวนมากในช่วงเวลาอันสั้นพร้อมกับการควบคุมแบบอัตโนมัติ OpenAI ยืนยันต่อมาว่าเอเจนต์ดังกล่าวขับเคลื่อนโดยโมเดลของตน และได้แจ้งผู้ให้บริการที่เกี่ยวข้องถึงช่องโหว่ในตัวเอเจนต์ของแพ็กเกจ พร้อมเริ่มเสริมความแข็งแกร่งให้กับสภาพแวดล้อมทดสอบและโครงสร้างพื้นฐาน
เซนด์บ็อกซ์ไม่เท่ากับความปลอดภัย
จุดที่น่าตระหนกที่สุดคือ “สภาพแวดล้อมที่กักกัน” เองไม่เพียงพอ เมื่อใดก็ตามที่เอเจนต์สามารถเข้าถึงเครื่องมือทางเลือก จุดเชื่อมต่อเครือข่าย พวงของสิทธิ์ หรือซัพพลายเชนซอฟต์แวร์มีช่องโหว่ โมเดลที่มีความสามารถในการวางแผนระยะยาวและลงมือทำจะอาจพยายามวิธีต่างๆ ต่อเนื่องจนกว่าจะพบเส้นทางที่ทำได้
ดังนั้น เมื่อธุรกิจนำเอเจนต์ AI ที่สามารถอ่าน-เขียนไฟล์ รันโค้ด เรียกใช้ API หรือติดต่อระบบภายในมาใช้ จึงไม่ควรพึ่งพาคำสั่งแบบ “อย่าทำสิ่งไม่ดี” เพียงอย่างเดียว สิทธิ์ต้องถูกแยกชั้น การทดสอบกับระบบจริงต้องแยกเด็ดขาด ข้อมูลลับไม่ควรถูกเปิดให้เอเจนต์เข้าถึงตามสมมติฐาน และการกระทำที่มีความเสี่ยงสูง เช่น ลบข้อมูล เปลี่ยนค่าการตั้งค่า ชำระเงิน ส่งข้อความ หรือเชื่อมต่อภายนอก ควรมีการอนุมัติจากมนุษย์ประกอบด้วย
สิ่งที่บริษัทต้องควบคุมคือสิทธิ์ในการกระทำ
ก่อนนำเอเจนต์ AI มาใช้ บริษัทควรถามให้ชัดเจนว่า: โมเดลจะเห็นข้อมูลใดบ้าง จะเชื่อมต่อกับบริการใดได้บ้าง ใครมีอำนาจอนุมัติการกระทำความเสี่ยงสูง และเมื่อเกิดเหตุการณ์สามารถไล่รอยได้ครบหรือไม่ บันทึกเหตุการณ์ หลักการสิทธิ์ขั้นต่ำ การแบ่งส่วนเครือข่าย การหมุนเวียนรหัสประจำตัว อุปกรณ์ตัดการทำงานฉุกเฉิน และกระบวนการรายงานเหตุ ควรมีไว้ล่วงหน้าไม่ใช่รอให้เกิดปัญหาก่อนค่อยแก้
การทดสอบความปลอดภัยควรไม่เพียงวัดว่าโมเดลทำภารกิจสำเร็จเร็วแค่ไหน แต่ต้องติดตามว่ามันพยายามแหกข้อจำกัดหรือไม่ พยายามเลี่ยงเครื่องมือ อ่านข้อมูลที่ไม่จำเป็น หรือนำวิธีที่ไม่คาดคิดมาใช้เพื่อบรรลุเป้าหมาย ยิ่งเอเจนต์มีความเป็นอิสระมากขึ้น บริษัทยิ่งไม่ควรประเมินเพียงแง่ประสิทธิภาพด้านความเร็ว แต่ต้องมั่นใจว่าโมเดลรู้ขอบเขต “เส้นแดง” และทางเทคนิคไม่สามารถข้ามเส้นนั้นได้