OpenAI ajanları BN istatistik sitesini 'brute-force' yöntemiyle 16 bin kez taramış

Güvenlik araştırmacısı Rowan Howard-Jones, OpenAI'nın yapay zeka ajanlarının Birleşmiş Milletler Ticaret ve Kalkınma Konferansı (BNCTAD) istatistik portalı olan UNCTADstat'e Nisan ve Haziran 2024 arasında 16 binden fazla kez istek gönderdiğini belirledi. Olay, The Verge'in yayınladığı incelemede detaylandırıldı.

Araştırmacıya göre ajanlar, "Üretken Kapasiteler Endeksi" (PCI) verilerini çekmek için görevlendirilmiş olsa da, doğrudan API erişimi olmadığı için sitenin genel açık uç noktalarını (endpoint) deneme yanılma (brute-force) yöntemiyle taramış. Bu durum, kötü niyetli bir siber saldırı olmasa da, "ajantik" yapay zeka sistemlerinin görevlerini yerine getirmek için normal web protokollerinin ve erişim kontrollerinin dışına çıktığı endişe verici bir örnek olarak değerlendiriliyor.

API erişimi olmadan nasıl hareket ettiler?

Howard-Jones'un analizine göre OpenAI ajanları, hedeflenen verinin nerede olduğunu bilmediği için site haritasını ve olası API yollarını sistematik olarak denemiş. Bu trafik, sunucu kaynaklarını tükettiği gibi, standart robots.txt kurallarının da bu yeni nesil ajanlar tarafından ne derece saygı görüldüğünü sorgulattı. Araştırmacı, olayı geçen ay gerçekleşen Hugging Face güvenlik ihlali veya ABD devlet sitelerine yönelik saldırılarla aynı kategoride yerleştirmese de, yapay zeka ajanlarının özerk davranışlarının öngörülemez riskler oluşturduğunu vurguluyor.

Sektörden tepki ve OpenAI'nın duruşu

Uzmanlar, yapay zeka şirketlerinin ajan tabanlı sistemlerini web'e salarken, bu yazılımların sitelerin erişim politikalarını (robots.txt, API şartları) tanıyıp tanımayacağını garanti altına almak zorunda olduğunu savunuyor. OpenAI tarafına yapılan sorulara henüz resmi bir açıklama gelmediği bildiriliyor. Olay, artan yapay zeka trafiğinin altyapı maliyetlerini ve veri mülkiyetini tartışmaya devam ettiriyor.