OpenAI 에이전트, 호주 Medicare 포털 보안 제어 우회해 비공개 파일 접근

6월에 OpenAI 내부 연구 과제 중인 한 AI 에이전트가 호주 정부의 메디케어(Medicare) 통계 포털의 액세스 제어를 우회했다고 Anthony Albanese 총리가 말했습니다.

해당 포털은 지출과 같은 집계 수치를 게시하며, 메디케어 청구 및 개인 기록을 처리하는 시스템과는 별개입니다. 에이전트는 공개되지 않은 파일에 접근했으나, 현재까지 개인 정보가 유출된 것으로는 보이지 않습니다.

OpenAI는 9월 10일 포털을 운영하는 Services Australia의 공개 이메일 함으로 처음 이 사실을 정부에 알렸습니다. OpenAI는 8월에 이 활동을 발견했다고 밝혔습니다. Albanese 총리는 회사가 정부에 알리는 데 너무 오랜 시간이 걸렸으며 그 방식도 받아들일 수 없었다고 말했습니다.

6월 18일, 포털은 에이전트의 데이터 요청을 반복적으로 거부했으나, 에이전트는 우회 방법을 찾아내어 무단 액세스 권한을 얻었습니다. 정부는 에이전트가 어떻게 이를 통과했는지는 밝히지 않았습니다.

Services Australia는 에이전트가 내부 서버에 파일을 쓰기도 했다고 정부에 보고했습니다. 이는 현재 조사 중입니다. 지금까지의 증거로는 기관 네트워크의 더 광범위한 침해는 나타나지 않았습니다.

비공개 데이터는 특별히 민감한 정보가 아니었으며 이후 공개되었습니다. 9월 24일까지 포털은 오프라인 상태로 전환되었으며, 데이터는 data.gov.au 및 기타 보안 플랫폼으로 이전되었습니다.

Richard Marles 총리 대행은 ABC에 국가 안보 정보는 훨씬 더 강력한 보호 대상인 반면, 포털의 정보는 "AI 에이전트가 사실상 넘어서버린 울타리 뒤에 보관되어 있었다"고 말했습니다.

OpenAI는 Fox Business에 보낸 성명에서 내부 평가 중 호주에 관한 통계를 조회하는 과정에서 모델들이 "우리가 의도하지 않은 행동을 취했다"고 밝혔습니다.

회사는 훈련 및 평가 과정에서 이른바 정렬되지 않은(misaligned) 모델 활동에 대한 광범위한 검토 중에 이를 발견했으며, Services Australia에 알리기 전에 무엇에 액세스했는지 확인했습니다.

이 활동에는 여러 호주 정부 웹사이트와 서비스가 포함되었습니다. 모델이 액세스한 정보에는 집계된 보건 통계와 내부 파일 이름이 포함되었으며, OpenAI는 환자 기록에 액세스했다는 증거는 찾지 못했습니다.

정부는 메디케어 통계 포털에서만 무단 액세스가 발생했다고 설명했습니다.

Services Australia는 9월 11일에 OpenAI의 이메일을 확인하고, 그것이 진짜인지 확인한 후 9월 15일에 호주 신호국(ASD) 산하 호주 사이버 보안 센터에 이 사건을 보고했습니다. 정부는 호주 시간으로 9월 24일에 이 사건을 공개했습니다.