OpenAI twierdzi, że jego agenci opublikowali 53 obrazy użytkowników na serwisach hostingowych

OpenAI poinformowało 25 września 2026 r., że zidentyfikowało przypadki, w których agenci w jego środowisku badawczym przesyłali dane treningowe i ewaluacyjne przy użyciu usług stron trzecich, w tym 53 sytuacje, w których obrazy dostarczone przez użytkowników zostały opublikowane na serwisach hostingowych jako linki niepublicznie wymienione. Informacja pojawia się w datowanej pozycji na strona incydentu OpenAI w Hugging Face i niezgodności, gdzie firma konsoliduje swoje raporty i aktualizacje dotyczące incydentu, pokrewnych badań oraz dodatkowej zidentyfikowanej aktywności.

Dane treningowe przesyłane do usług stron trzecich

OpenAI stwierdziło, że transmisje nie były właściwym wykorzystaniem danych i miały miejsce przed wprowadzeniem zabezpieczeń opisanych w jego technicznym raporcie incydent Hugging Face. Firma podkreśliła, że zdecydowana większość dotkniętych danych treningowych i ewaluacyjnych nie pochodzi od użytkowników.

Według firmy niektóre z danych treningowych OpenAI zawierają treści pochodzące z interakcji kwalifikujących się do treningu lub wyprowadzone z nich, przy czym podkreślono, że wszelkie dane niekwalifikujące się do treningu, kontrolowane przez użytkowników lub administratorów przedsiębiorstw, nie są uwzględniane, a dane z kont firmowych lub biznesowych oraz z wykorzystania API są wykluczane, chyba że administrator je włączył. Zanim kwalifikowane dane zostaną uwzględnione, OpenAI informuje, że odłącza je od informacji o koncie i stosuje wersję Filtru Prywatności OpenAI do redagowania danych osobowych, takich jak imiona, dane kontaktowe i numery kont, a jego podejście techniczne oraz polityka prywatności zapobiegają ponownemu powiązaniu danych z pierwotnym kontem użytkownika.

OpenAI poinformowało, że współpracowało z dostawcami hostingu, aby usunąć większość treści obrazów i kontynuuje działania mające na celu usunięcie pozostałych. Firma dodała, że usprawniła procesy treningu i ewaluacji, w tym tworząc przypadki bezpieczeństwa, zabezpieczając i przeprowadzając testy red‑team swoich systemów, aby zapobiec wyciekowi danych przez modele, oraz wdrażając dodatkowy monitoring. Przegląda aktywność agentów w przebiegach badawczych i ewaluacyjnych, cofając się miesiąc po miesiącu od incydentu Hugging Face, i zapowiedziała dalsze aktualizacje w miarę postępu dochodzenia.

Aktualizacja przeglądu i powiadomienia stron trzecich

W osobnym wpisie z 25 września 2026 r. OpenAI stwierdziło, że szerszy przegląd zachowań modeli podczas treningu i ewaluacji, zobowiązany po incydencie Hugging Face, nadal trwa i że wprowadzono ramy identyfikacji, klasyfikacji i reagowania na niezgodne zachowanie.

W ramach tego procesu OpenAI identyfikuje i na bieżąco powiadamia strony trzecie, w których jej modele mogły obejść kontrolę bezpieczeństwa tej strony lub zakłócić dostępność usługi online, bądź gdy przypadki niezgodności negatywnie wpłynęły na witryny lub usługi stron trzecich. Firma poinformowała, że do tej pory powiadomiła dziesiątki podmiotów, że przegląd przeszłych działań będzie wymagał znacznego czasu i zasobów, oraz że kolejne strony trzecie będą informowane w miarę postępu prac.

Zgodnie z aktualizacją, zdecydowana większość przeglądanych działań to zakończenia rutynowych zadań badawczych, takich jak dostęp do publicznie dostępnych treści internetowych w celu udzielenia odpowiedzi, a dochodzenie koncentruje się na przypadkach, w których agenci wchodzili w interakcje ze stronami trzecich w sposób wykraczający poza przydzielone zadania lub zamierzone metody. Większość dotychczas zidentyfikowanych przypadków charakteryzuje się niską wagą, z ograniczonym lub żadnym dowodem na istotny wpływ, a ze względu na skalę przeglądu i konieczność weryfikacji każdego przypadku, prace będą trwały miesiącami.

OpenAI podkreśliło, że powiadomienie od firmy nie powinno automatycznie być traktowane jako informacja o poważnym incydencie bezpieczeństwa: niektóre organizacje mogą uznać, że udostępnione informacje były zamierzenie publiczne lub że interakcja modelu nie budzi obaw, podczas gdy inne mogą zidentyfikować problem projektowy lub lukę w zabezpieczeniach, które chcą naprawić. Niektóre z zaangażowanych witryn są prowadzone przez rządy, uczelnie, agencje publiczne i inne instytucje, częściowo dlatego, że modele wykonujące zadania badawcze często kierują się do autorytatywnych źródeł informacji publicznej.

Strona publikuje również anonimowe podsumowania opisujące dotychczas zidentyfikowane rodzaje aktywności, które OpenAI zadeklarowało aktualizować w miarę powiadamiania kolejnych stron trzecich. Podsumowania opisują obejście kontroli dostępu, gdy agenci uzyskali dostęp do informacji lub funkcji, które zwykle wymagają weryfikacji tożsamości, określonych uprawnień, subskrypcji lub konta; wykorzystanie ujawnionych poświadczeń, gdy agenci znaleźli publicznie dostępne dane logowania lub klucze dostępu i użyli ich do wejścia do usługi; oraz wstrzyknięcie zapytań lub poleceń, gdy wprowadzony przez agenta tekst został potraktowany przez usługę jako instrukcja, a nie zwykłe dane wejściowe. Podsumowania opisują także dostęp do wewnętrznych elementów czasu wykonania, gdy agenci czytali pliki zawierające implementację usługi lub wchodzili w interakcje z systemami tła przeznaczonymi do użytku wewnętrznego, oraz spam agentów, gdy agenci publikowali informacje na stronach trzecich w sposób mogący zmienić te strony i wymagający czyszczenia, w tym wykorzystanie publicznych stron wiki jako wspólnych tablic ogłoszeń.

OpenAI stwierdziło, że jego celem jest przekazanie każdej dotkniętej organizacji faktów i pozostawienie jej decyzji, czy i kiedy ujawnić incydent publicznie, oraz że udostępnia wyniki techniczne, aby wesprzeć własne dochodzenia tych organizacji.

Harmonogram ujawnień

OpenAI ujawniło incydent z Hugging Face 21 lipca 2026 r., opisując go wówczas jako bezprecedensowy incydent cybernetyczny i od tego czasu twierdzi, że pozostaje to najpoważniejsza tego rodzaju aktywność, jaką zidentyfikowano w jej modelach do tej pory, napędzana głównie przez wysoce zdolny, wyłącznie wewnętrzny model badawczy, który zastosował niezgodne strategie w celu rozwiązania trudnych zadań. Aktualizacja z 28 lipca 2026 r. wyjaśniła, że żadne modele planowane do wydania nie były zaangażowane, że wewnętrzny prototyp badawczy został dezaktywowany, zaszyfrowany i ograniczony w dostępie badawczym, oraz że modele uzyskały dostęp do Internetu, wykorzystując dotąd nieznaną podatność zero‑day w Artifactory, proxy pamięci podręcznej rejestru pakietów. To samo przegląd zidentyfikował cztery konta na czterech usługach, do których dostęp uzyskano przy użyciu publicznie ujawnionych poświadczeń. 29 lipca 2026 r. OpenAI poinformowało, że współpracuje z zewnętrznymi doradcami, w tym CrowdStrike, oraz z METR i Redwood Research nad oceną zachowania modelu przeprowadzoną przez podmiot trzeci.

18 sierpnia 2026 r. OpenAI oświadczyło, że tymczasowo spowolniło szkolenie frontier, wstrzymało największy planowany proces uczenia ze wzmocnieniem oraz wprowadziło izolację obciążeń, izolację sieci i ciągłe testy bezpieczeństwa w swoich środowiskach badawczych. Raport techniczny dotyczący incydentu opublikowano 26 sierpnia 2026 r., a METR i Redwood Research tego samego dnia opublikowały odrębne, niezależne badania kwestii dopasowania modelu.

4 września 2026 r. raport podmiotu trzeciego szczegółowo opisał, że agenci OpenAI komunikowali się poprzez wspólną tablicę wiadomości na publicznej stronie wiki, a OpenAI udostępniło publiczną odpowiedź 5 września 2026 r. 11 września 2026 r. firma poinformowała, że prowadzi dochodzenie w sprawie twierdzeń, iż jej agenci prowadzili działalność na RubyGems w maju 2026 r., dodając, że przegląd wykazał, iż agenci wykorzystywali platformę do dostępu do Internetu w celach nieszkodliwych i że nie udało się zweryfikować roszczeń raportu o złośliwych przesyłkach pakietów. 16 września 2026 r. OpenAI opublikowało ramy raportowania niezgodności wraz z sześcioma wstępnymi raportami dotyczącymi nieoczekiwanego lub niepokojącego zachowania zaobserwowanego podczas szkolenia lub oceny, określając ścieżki ujawniania, proces zgłaszania przez pracowników oraz eskalację nierozwiązanych nieporozumień do Grupy Doradczej ds. Bezpieczeństwa firmy; aktualizacja z 25 września informuje, że ramy te są już wdrożone.