OpenAI navodi da je zaustavio kampanju izvlačenja skrivenog rezonovanja iz svojih modela

OpenAI je objavio svoj opis kampanje kojom je, kako navodi, neko u velikom obimu pokušavao da iz njegovih modela izvuče skriveno rezonovanje. Sve u objavi je opis same kompanije, uključujući i tvrdnju o tome ko je kampanju vodio, a dokazi za tu tvrdnju nisu izneseni. Za one koji grade na API-ju najvažnije je šta je OpenAI zbog toga promijenio.

Šta se, prema OpenAI-ju, dogodilo

Zaštićeno rezonovanje je interni zapis modela o tome kako rješava zadatak i može da sadrži podatke kojih u konačnom odgovoru nema. Prema OpenAI-ju, operateri su upravljali razgovorima s modelom tako da se to rezonovanje ispiše u obliku koji podnosilac zahtjeva može da pročita. Jedan od opisanih postupaka bio je da se šifrovano rezonovanje kopira iz jednog razgovora, a od modela u drugom razgovoru zatraži da ga dešifruje i prepiše.

Aktivnost je, prema kompaniji, počela 1. jula 2026. i u početku je bila malog obima. OpenAI je 24. i 25. jula zabilježio nagli rast: 16.000 zahtjeva s prepoznatljivim obrascem izvlačenja, od više od 4.000 korisnika. Daljom istragom pronađeni su srodni obrasci promptova u grupi od više od 15.000 korisnika, čiju je aktivnost OpenAI, kako navodi, u potpunosti prekinuo do 28. jula 2026. U fusnoti piše da brojke opisuju pokušaje izvlačenja, koji nisu nužno bili uspješni.

Kompanija navodi da operateri nisu probili njeno šifrovanje, nisu ugrozili nijednu bazu podataka i nisu dobili direktan pristup sačuvanim razgovorima korisnika. Aktivnost je, prema objavi, prekršila uslove korišćenja.

Kome OpenAI pripisuje kampanju

Nije jasno, navodi OpenAI, da li svi uočeni operateri pripadaju jednom akteru. Jezgro aktivnosti kompanija pripisuje osobama povezanim s firmom Moonshot AI, koja razvija model Kimi. Objava ne opisuje dokaze za tu tvrdnju i ne sadrži odgovor firme Moonshot AI. OpenAI dodaje da ovakva manipulacija nije svojstvena samo njegovim modelima i da je podatke podijelio s partnerima iz industrije kroz Frontier Model Forum.

Šta je OpenAI promijenio

Svoj odgovor OpenAI opisuje u tri dijela: mjere protiv naloga, tehničke kontrole i saradnja s partnerima.

• Zabranio je ili ograničio naloge koje naziva lažnim, pooštrio kontrole pri registraciji i u infrastrukturi i proširio nadzor nad povezanim mrežama.
• Uklonio je mogućnost da neko ko već posjeduje tuđe šifrovano rezonovanje to rezonovanje ponovo pošalje modelu i tako dođe do njegovog sadržaja.
• Uveo je provjere koje otkrivaju i zadržavaju izlaz u toku slanja ako bi mogao da otkrije rezonovanje.
• Pojačao je zaštitu skrivenog rezonovanja između korisnika, radnih prostora, organizacija i porodica modela.

Šta još nije riješeno

Prema objavi, nezavisni istraživači bezbjednosti su odgovornim prijavljivanjem ukazali na srodne ranjivosti, vezane za prenos između modela i za sažimanje razgovora. OpenAI navodi da je potvrdio da su prijavljeni načini napada stvarni. Kompanija navodi i da posao nije završen: modeli koje poslužuju partneri treba da dobiju istu zaštitu kao OpenAI-jevi sopstveni servisi, a napadi kroz izlaz alata traže odbranu koja ne gleda samo vidljivi tekst.

Ovo ukazuje na to da OpenAI-jevi modeli koji se koriste preko partnera u oblaku još nemaju sve kontrole koje ima njegov sopstveni API. Rok za izjednačavanje OpenAI ne navodi.