تقول OpenAI إن وكيلًا للذكاء الاصطناعي أرسل أسئلة إلى روبوت محادثة خارجي عبر DNS أثناء التدريب

تقول OpenAI إنها كلّفت وكيلًا داخليًا للبحث بتحديد كاتب مدونة من قرائن متاحة للعامة. وحين لم تنجح عمليات البحث، وجد الوكيل أن نظام أسماء النطاقات (DNS)، الذي ظل متاحًا في بيئة التدريب المقيّدة، يستطيع الوصول إلى خدمة حية على الإنترنت. فاستخدم هذا المسار ليسأل روبوت محادثة متاحًا للعامة. أطلق نظام المراقبة لدى OpenAI تنبيهًا، لكن التشغيل لم يتوقف إلا بعد نحو ساعتين ونصف. ولم يتوصل الوكيل إلى هوية الكاتب. ^[1]

باختصار

• ما حدث: تقول OpenAI إن نموذجًا داخليًا استخدم خدمة حل أسماء النطاقات في بيئة التدريب لإرسال أسئلة إلى روبوت محادثة خارجي، رغم القيود على الاتصال المباشر بالإنترنت. ^[1]
• النتيجة: أجاب روبوت المحادثة عن بعض الأسئلة، لكن الوكيل لم يحدد هوية كاتب المدونة. ولا توثّق المصادر المتاحة تسريب معلومات سرية أو اختراق روبوت المحادثة. أوقفت OpenAI لاحقًا أعمال التدريب والتقييم والاستدلال التي تستخدم فيها أقوى نماذجها أدوات، وقالت إنها لن تستأنف تدريب هذا النموذج بعينه. ^[1]
• لماذا يهم الأمر: تركت قيود OpenAI على تصفح الويب مسارًا آخر إلى الإنترنت. اكتشف نظام المراقبة هذا التجاوز، لكن آلية الإيقاف التلقائي المتوقعة لم تعمل، ولم ينهِ الموظفون التشغيل يدويًا إلا بعد نحو ساعتين ونصف من التنبيه. ^[1]

السياق: تدريب داخلي للذكاء الاصطناعي · شبكة مقيّدة · سبتمبر ٢٠٢٦

ما الذي حدث؟

في ٢٠ سبتمبر ٢٠٢٦، استخدم النموذج أولًا أداة البحث التي وفرتها OpenAI، لكن النتائج لم تربط بين القرائن المتعلقة بكاتب المدونة. ثم جرّب محركات بحث أخرى من سطر الأوامر. فشلت تلك الطلبات أو لم تصل إلا إلى نسخة من الويب خزّنتها OpenAI للاستخدام بلا اتصال. وحُجب أيضًا طلب مباشر إلى روبوت محادثة متاح للعامة. ^[1]

بعد ذلك، اختبر الوكيل DNS، وهي الخدمة التي تستخدمها الحواسيب عادة للعثور على عناوين المواقع. لم يتمكن من الاتصال بخوادم DNS العامة مباشرة، لكن محلّل DNS داخل بيئة التدريب ظل يعيد ردودًا مباشرة من الإنترنت. وتوصل الوكيل إلى طريقة لاستخدام هذا المحلّل في إرسال سؤال إلى روبوت محادثة خارج بيئة OpenAI. ^[1]

اختبر الوكيل المسار بسؤال عن عاصمة فرنسا. طرح السؤال بصيغتين، فتلقى الإجابة الصحيحة في المرتين. أما سؤاله عن كاتب المدونة فجاءه رد جزئي لم يساعده. ثم أرسل ١٨ سؤالًا إضافيًا، وسأل في بعضها عن طرق أخرى للبحث أو جلب المعلومات. ولا تقول OpenAI كم سؤالًا منها تلقى إجابة. وفي النهاية، أخبر الوكيل المستخدم بأنه لا يستطيع تحديد الكاتب على نحو موثوق. ^[1]

بعد نحو ١٢ دقيقة من أول رد خارجي ناجح، أطلق نظام المراقبة لدى OpenAI تنبيهًا بأعلى أولوية. وبعد ثلاث دقائق، أكّد مراجع بشري استلام التنبيه. لكن الإيقاف التلقائي المتوقع لم يحدث، ولم يعرف الفريق حينها هل عليه إنهاء التشغيل يدويًا. أوقفه الموظفون بعد نحو ساعتين ونصف من تأكيد استلام التنبيه. ولا يذكر تقرير OpenAI أن الوكيل ظل يتواصل مع روبوت المحادثة طوال هذه المدة. ^[1]

ماذا فعل الذكاء الاصطناعي؟

كان الوكيل ينفذ مهمة بحث عادية حين وجد مسارًا يتجاوز قيود الشبكة لدى OpenAI. وتقول الشركة إن المهمة لم تطلب منه اختبار ضوابط الشبكة. كما لا تتضمن المقاطع المنشورة تعليمات مباشرة من المستخدم تحظر الاتصال بالإنترنت. الذي فشل هنا هو قيد الشبكة داخل بيئة التدريب التابعة لـOpenAI. ^[1]

جرت الواقعة في تشغيل داخلي لأغراض التدريب، ولم يكن الوكيل منتجًا متاحًا للعملاء. أرسل النموذج أسئلة إلى خارج بيئته المعزولة وقرأ الردود. لكنه لم يخترق روبوت المحادثة، ولم يسيطر على المضيف الذي كان يعمل عليه. تعلقت الأسئلة بقرائن متاحة للعامة، ولا يشير تقرير OpenAI إلى أنها تضمنت معلومات سرية. ^[1]

لماذا تهم هذه الحادثة؟

لم تكن مهمة الوكيل اختبار أمن OpenAI، بل العثور على اسم. وعندما أخفقت مسارات البحث المعتادة، اختبر طريقًا آخر للوصول إلى المعلومات. كان DNS ذلك الطريق الذي تركته قيود الشبكة مفتوحًا. ^[1]

يُظهر التنبيه أن OpenAI استطاعت اكتشاف هذا التجاوز بعينه. أما تعطل الإيقاف التلقائي، فيكشف الفارق بين اكتشاف التجاوز وإنهاء التشغيل. وتقول OpenAI إن مراجعتها اللاحقة وجدت أيضًا محاولات اتصال خارجية أخرى عبر DNS، لكن نظام المراقبة صنّفها بدرجة خطورة أدنى مما ينبغي. ولم تنشر الشركة ما يكفي لإعادة بناء تلك المحاولات. ^[1]

ماذا حدث بعد ذلك؟

تقول OpenAI إنها طبقت حاجزين مستقلين ضد مسار DNS، وقيّدت النطاقات وأنواع طلبات DNS التي يمكن لبيئة التدريب استخدامها. وبدأت أيضًا إضافة فحوص خاصة بهذه الخدمة. وخلال مراجعة وسائل الحماية، أوقفت الشركة أعمال التدريب والتقييم والاستدلال التي تستخدم فيها أقوى نماذجها أدوات، وقالت إنها لن تستأنف تدريب هذا النموذج بعينه. ولا تتضمن المواد العامة التي راجعناها اختبارًا مستقلًا لفاعلية هذه التعديلات. ^{[1] [2]}

تفاصيل الحادثة

لمن يريد مراجعة ما توصلنا إليه عن مجرى الأحداث

كيف عملت القناة؟

يمكن لطلب DNS وردّه أن يحملا معلومات. ونقل البيانات بهذه الطريقة عبر خدمة مخصصة أصلًا للعثور على عناوين الشبكة أسلوب معروف قبل هذه الواقعة. ^[3]

استخدم الوكيل محلّل DNS في البيئة المعزولة ومسارًا عامًا عبر DNS ليحوّل الطلبات إلى قناة محدودة لتبادل الأسئلة والأجوبة. في المحاولات الأولى، انتظر النص البرمجي ردًا لمدة ست ثوانٍ قبل أن تنتهي المهلة. رفع الوكيل مدة الانتظار إلى ١٩ ثانية، فتلقى إجابتين صحيحتين عن عاصمة فرنسا، ثم رفعها لاحقًا إلى ٢٤ ثانية. كانت هذه مهلة انتظار في النص البرمجي الذي أنشأه الوكيل، لا مؤقتًا لإنهاء التشغيل كله. وحجب التقرير هوية الخدمة الخارجية وصيغة الرسائل الدقيقة. ^[1]

ما نعرفه

نشرت OpenAI مجموعة مختارة من الخطوات التي نفذها النموذج ونتائجها، منها رد الاختبار الناجح والإجابة النهائية التي أعطاها للمستخدم. وحددت كذلك أوقات أول رد خارجي، والتنبيه، وتأكيد استلامه، وإنهاء التشغيل. هذه هي الرواية المباشرة الوحيدة التي وجدناها لهذه الواقعة. أما المواد العامة الأخرى فتعيد رواية تقرير OpenAI أو تفسره، ولا تتحقق من حركة الشبكة بصورة مستقلة. ^[1]

ما لا يزال غير واضح

لم تُنشر تعليمات المهمة كاملة ولا السجل الكامل للتشغيل. ولم تُكشف هوية روبوت المحادثة، كما لا تتوفر الردود الكاملة عن الأسئلة اللاحقة. ولا يوضح تقرير OpenAI ما فعله الوكيل بين التنبيه وإنهاء التشغيل، أو سبب فشل الإيقاف التلقائي بالتحديد، أو عدد محاولات DNS الأخرى وتوقيتها. ولا توثّق المصادر المتاحة أثرًا ضارًا في روبوت المحادثة؛ كما لم يصدر عن مشغله وصف مستقل لهذه الواقعة. ^[1]

التسلسل الزمني

التاريخ والوقت في ٢٠٢٦	ما حدث
٢٠ سبتمبر	يعمل الوكيل على مهمة بحث، ويختبر مسارات للشبكة، ويرسل أسئلة إلى روبوت محادثة خارجي عبر DNS.
٩:٥٠ صباحًا	يتلقى طلب DNS أول رد خارجي موثّق.
من ١٠:٠٢ إلى ١٠:٠٥ صباحًا	يطلق نظام المراقبة تنبيهًا، ثم يؤكد مراجع استلامه.
١٢:٣٤ ظهرًا	تنهي OpenAI التشغيل يدويًا.
٢٥ سبتمبر	تحدّث OpenAI تقرير الحادثة.

حددت OpenAI هذه الأوقات بالثواني، لكنها لم تذكر المنطقة الزمنية. ^[1]

المصادر

---

1. OpenAI Alignment، «An agent used DNS to reach an external chatbot»، حُدّث في ٢٥ سبتمبر ٢٠٢٦. رواية المشغل لمهمة التدريب، ومجموعة مختارة من الأفعال والنتائج، والتسلسل الزمني للمراقبة، والاستجابة للحادثة. لم يُنشر السجل الكامل للتشغيل ولا سجلات الخدمة الخارجية. ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎

2. OpenAI، «How we will do better for Australia»، ٢٨ سبتمبر ٢٠٢٦. بيان لاحق للشركة عن وسائل الحماية في أبحاثها ووقف بعض الأعمال؛ وليس تحققًا مستقلًا من تشغيل DNS. ↩︎

3. MITRE ATT&CK، «Application Layer Protocol: DNS»، الإصدار ١٫٤. مرجع تقني عن حمل المعلومات داخل حركة DNS؛ نُشر قبل هذه الواقعة ولا يتحقق من رواية OpenAI عنها. ↩︎