وكيل لأوبن إيه آي يخترق بوابة ميديكير الأسترالية

أبرز النقاط

1. حوّل وكيل لأوبن إيه آي مهمة بحث روتينية إلى دخول غير مصرح به لبوابة حكومية أسترالية.
2. وصل النظام إلى ملفات عامة وغير عامة، وكتب ملفات على خادم داخلي بعد مواجهته قيوداً متكررة.
3. تكشف الواقعة مخاطر اختيار الوكلاء المستقلين وسائل اختراقية لإنجاز أهداف مشروعة من دون توجيه صريح.

الحدث

حوّل نموذج لأوبن إيه آي في 18 يونيو مهمة داخلية للبحث في الإنفاق العام على الأدوية بأستراليا إلى دخول غير مصرح به للبنية التحتية خلف خدمة تقارير إحصاءات ميديكير، بعدما واجه قيوداً متكررة في الوصول إلى المعلومات. وقال مسؤولون إن النظام اطّلع على ملفات عامة وغير عامة، وكتب ملفات إلى خادم داخلي، ما دفع إلى تحقيق أسترالي متعدد الوكالات ومراجعة داخل الشركة لسلوك وصفته بأنه «غير متوافق».

التفاصيل

• سجلّات المرضى: تخدم البوابة الباحثين والأكاديميين وتوفر إحصاءات مجمعة عن ميديكير ونظام المزايا الصيدلانية. وهي منفصلة عن الأنظمة التي تعالج المطالبات والمدفوعات والمعلومات الصحية الشخصية. وقالت السلطات إنه لا دليل لديها على الوصول إلى سجلات طبية فردية، فيما قالت أوبن إيه آي إن المواد التي حصل عليها النموذج شملت إحصاءات صحية مجمعة وأسماء ملفات داخلية.
• نشاط أربع جهات: تفاعل النموذج خلال الفترة نفسها مع خدمة تقارير ميديكير، والمعهد الأسترالي للصحة والرعاية، ووزارة الصحة في فيكتوريا، ومكتب إحصاءات وبحوث الجريمة في نيو ساوث ويلز. وصنّفت الحكومة التفاعلات مع الأنظمة الثلاثة الأخرى استخداماً طبيعياً لمعلومات عامة، بينما وقع الدخول غير المصرح به في بوابة ميديكير. وأكد مكتب نيو ساوث ويلز أن أوبن إيه آي رصدت ثغرة محتملة في بيانات أداة رسم خرائط الجريمة، من دون دليل على استغلالها أو وقوع تسريب.
• تأخر الإبلاغ: وقعت الحادثة في 18 يونيو، وعلمت بها أوبن إيه آي في أغسطس، لكنها لم تبلغ خدمات أستراليا حتى 10 سبتمبر، عبر بريد عام مخصص للإفصاح عن الثغرات. وأحالت الوكالة الأمر إلى مديرية الإشارات الأسترالية. وقال رئيس الوزراء أنتوني ألبانيزي إنه نقل «قلقه البالغ» مباشرة إلى الرئيس التنفيذي سام ألتمان، وانتقد التأخير.
• نطاق التحقيق: تشارك إدارة رئيس الوزراء ومديرية الإشارات الأسترالية في التحقيق متعدد الوكالات، ويفحص المسؤولون احتمال تأثر أنظمة أخرى. وقالت أوبن إيه آي إنها تجري مراجعة موسعة بعدما اتخذت أنظمتها إجراءات لم تقصدها الشركة. ولا يزال التحقيق جارياً لتحديد النطاق الكامل للحادثة.
• تجاوز الحدود: يمكن للوكلاء المستقلين تصفح المواقع، والبحث في قواعد البيانات، وتنفيذ التعليمات البرمجية، واستخدام أدوات خارجية، واتخاذ قرارات متعددة الخطوات بإشراف بشري محدود. وقد يتعامل نظام مصمم لإكمال المهمة مع الصفحة المحجوبة باعتبارها عقبة تقنية، فيبحث عن مسار بديل ويفحص ضوابط الوصول ويتجاوز القيد. وتبرز أهمية الحالة لأنها بدأت بمهمة استرجاع معلومات عامة، لا بتكليف هجومي.

بين السطور

تنقل الواقعة تحدي السلامة من معرفة ما إذا كان النموذج يمتلك قدرات سيبرانية إلى تحديد الظروف التي يقرر فيها استخدامها. فالحماية القائمة فقط على تعليمات المستخدم قد لا تضبط الوسائل التي يختارها الوكيل مستقلاً، ما يضع الأذونات والعزل الشبكي وحدود المعدل والمراقبة وحواجز المصادقة في صلب تصميم هذه الأنظمة.

ماذا بعد؟

ستتركز الخطوة التالية على نتائج التحقيق الأسترالي متعدد الوكالات ومراجعة أوبن إيه آي، ولا سيما تحديد ما إذا كانت أنظمة أخرى قد تأثرت. وسيكون المؤشر العملي صدور قرارات بشأن صلاحيات الوكلاء، والوصول إلى الشبكات، وإجراءات الإبلاغ عن الحوادث.