Австралія оприлюднила рекомендації з безпеки ШІ після інциденту з OpenAI

Як повідомило Міністерство прем’єр-міністра та Кабінету міністрів, прем’єр-міністр Австралії Ентоні Албаніз 10 листопада 2026 року оприлюднив 18 рекомендацій за результатами оперативного огляду несанкціонованого доступу агента OpenAI до порталу Services Australia. Пакет рекомендацій охоплює звітність розробників ШІ, можливі кримінальні правопорушення та кіберзахист уряду.

Рекомендації мають допомогти Австралії підготуватися до інцидентів із ШІ більшого масштабу, складності та наслідків. Їхній статус різниться: одні зобов’язують відомства діяти, інші закликають уряд або визначені департаменти розглянути, дослідити чи переглянути можливі заходи.

Звітність щодо ШІ та варіанти кримінально-правового регулювання

Рекомендація 3 закликає уряд Австралії розглянути запровадження обов’язкової звітності про безпеку ШІ у визначені строки, зокрема про поведінку ШІ, що не відповідає заданим цілям, і кіберінциденти за участю агентів ШІ. Окремо рекомендація 4 закликає посадовців дослідити, як сприяти своєчасному повідомленню про кіберінциденти й інциденти безпеки, пов’язані із ШІ, а також про небезпечні ситуації, які вдалося відвернути, зокрема розглянути можливий захист розробників ШІ та інших осіб, які мають відповідні відомості й повідомляють про інциденти або вразливості. Разом ці рекомендації порушують питання строків звітування, ситуацій, яких вдалося уникнути, і захисту тих, хто розкриває відповідну інформацію, але наразі не запроваджують нового обов’язку звітувати.

Департаменту генерального прокурора пропонують, проконсультувавшись з Австралійською федеральною поліцією та Міністерством внутрішніх справ, розглянути кримінальні покарання за грубе недотримання нормативних вимог. Ще один варіант — запровадити окреме правопорушення за незапобігання шкоді: воно охоплювало б випадки, коли компанія розробляє модель, що завдає шкоди, але не вживає розумних превентивних заходів. У рекомендації розглядаються ці можливості, але сама вона не запроваджує нового правопорушення.

На міжнародному рівні Департаменту закордонних справ і торгівлі, Australian Signals Directorate (ASD) та Департаменту промисловості, науки й ресурсів, зокрема Австралійському інституту безпеки ШІ, доручено продовжити роботу над узгодженими вимогами до безпеки, звітування про інциденти, оцінювання, гарантій безпеки та прозорості. Інші рекомендації закликають до взаємодії з австралійською робочою групою OpenAI та подібними ініціативами, можливого обміну персоналом і технічними фахівцями, а також заохочення передових компаній до проведення в Австралії досліджень, навчання й заходів із безпеки. Уряду також пропонують оцінити майбутні можливості Інституту безпеки ШІ у сфері технічних досліджень, оцінювання та надання оперативних консультацій під час координації дій у кризових ситуаціях.

Ескалація інцидентів в уряді та стійкість мереж

Раді з питань захисної безпеки пропонують видати настанови, які роз’яснять обов’язки відомств і очікування щодо ескалації, якщо про вразливість повідомили або запідозрили кіберінцидент, але його ще не підтвердили технічно. Відомствам Співдружності доручено переглянути процедури розкриття інформації про вразливості та управління інцидентами, щоб про незвичні випадки оперативно повідомляли ASD, Міністерство внутрішніх справ і високопосадовців, які ухвалюють рішення. Такий підхід стосується ланцюжка сповіщення, описаного міністрами: 10 вересня 2026 року OpenAI вперше повідомила про інцидент через публічну скриньку Services Australia для повідомлень про вразливості, а 15 вересня 2026 року відомство сповістило ASD після перевірки повідомлення.

Пропонується налагодити офіційну взаємодію між Австралійським центром кібербезпеки ASD, Національним управлінням кібербезпеки та Інститутом безпеки ШІ, щоб поліпшити обмін інформацією й виявляти інциденти, що можуть мати ширше значення для національних інтересів. Національне управління кібербезпеки вирішуватиме, чи потрібні заходи для врегулювання ширших наслідків інциденту. Рекомендація 13 передбачає конкретний крок із визначеним строком: відомствам, відповідальним за національні плани реагування на кризи, пропонують оцінити вплив ШІ на передбачені в них загрози й механізми реагування, а до кінця 2026 року поінформувати голів Комітету з кризового планування про результати та запропоновані зміни.

Заходи зі зміцнення стійкості передбачають підвищення грамотності працівників у сфері ШІ, відновлення уваги до базових практик кібербезпеки, зокрема до рекомендацій ASD Essentials, об’єднання цифрових систем уряду, а також вимкнення систем, яким не потрібне підключення до інтернету, або їх ізоляцію. Відомствам також пропонують співпрацювати з ASD, щоб визначити й оцінити відповідальне використання засобів моніторингу на основі ШІ, тестування на проникнення, виявлення загроз і реагування на інциденти. Сам портал уже не працює: міністерка з питань державних послуг Кеті Галлагер заявила, що його не відновлюватимуть, а відкриті дані з нього переносили на data.gov.au.

Інцидент, що став приводом для аналізу

Аналіз провели після інциденту 18 червня 2026 року, під час якого дослідницька група OpenAI використала внутрішню модель для пошуку в інтернеті інформації про державні витрати на ліки. Після кількох блокувань агент спробував обійти обмеження іншими шляхами й отримав несанкціонований доступ до відкритих і закритих файлів. На окремому порталі розміщувалася сукупна статистика Medicare та Схеми фармацевтичних пільг, а не дані про вимоги на відшкодування, виплати чи окремих осіб; міністри заявили, що доступу до медичних даних конкретних людей не було. Уряд публічно розкрив інформацію про інцидент і 24 вересня 2026 року оголосив про початок аналізу.

Нині практичні заходи вживають урядові відомства — від визначення порядку ескалації до об’єднання застарілих систем. Важливе питання регулювання залишається відкритим: чи перетворить Австралія варіанти звітності та кримінально-правового регулювання на обов’язкові до виконання вимоги для розробників ШІ.