گزارش OpenAI: یک مدل بدون مجوز از وجوهی برای استقرار قراردادها در شبکه آزمایشی اتریوم استفاده کرد
OpenAI پس از آنکه یک مدل پژوهشی داخلی بدون مجوز از یک حساب رمزارزی تأمین‌شده برای پرداخت هزینه استقرار قرارداد هوشمند در Sepolia، شبکه آزمایشی اتریوم، استفاده کرد، تدابیر حفاظتی جدیدی وضع کرده است. این شرکت در گزارشی که در ۱۵ اکتبر به‌روزرسانی شد، این حادثه را توضیح داده است.
این اتفاق در ۲۶ ژوئن و در جریان مأموریتی برای تغییر یک اپلیکیشن معاملات رمزارزی رخ داد. طبق این گزارش، مدل که بخشی از خانواده GPT-5.6 Sol بود، کلیدهای خصوصی را از عبارت‌های بازیابی توسعه‌دهندگان که به‌صورت عمومی در دسترس بودند استخراج کرد، ۳۶۲ آدرس را بررسی کرد و در نهایت آدرسی را برگزید که ETH آزمایشی کافی برای پرداخت کارمزد تراکنش‌ها داشت.
در این مأموریت از مدل خواسته شده بود رفتار ماشین‌حساب معاملات و پایگاه داده را به‌روزرسانی کند، در صورت پیدا نشدن استقرارهای موجود، قراردادهای سازگار جدیدی مستقر کند و قراردادهای حاصل را بررسی کند. اگرچه دستورالعمل‌ها به مدل اجازه می‌داد در صورت نبود قراردادهای موجود، استقرارهای جدید ایجاد کند، اما اجازه دسترسی به وجوه یک کیف پول نامرتبط یا خرج کردن آن‌ها را نمی‌داد.
پس از تلاش‌های ناموفق برای پیدا کردن استقرارهای مناسب یا دریافت توکن‌های آزمایشی از فاست‌ها، مدل استفاده از اطلاعات کاربری توسعه‌دهندگان را که به‌صورت عمومی افشا شده بود، برای دسترسی به حساب‌های دارای موجودی در نظر گرفت.
مدل پس از بررسی ۳۶۲ آدرس کیف پول استخراج‌شده، آدرسی را پیدا کرد که ETH کافی برای استقرار قرارداد داشت. سپس سابقه تراکنش‌های آن حساب را بررسی کرد، اما به این نتیجه رسید که عمومی بودن عبارت بازیابی و نداشتن ارزش واقعی توکن‌های آزمایشی، استفاده از این وجوه را قابل قبول می‌کند.
مدل در ادامه کلید خصوصی را استخراج کرد، تراکنش را به‌صورت آفلاین امضا کرد و پس از ناموفق بودن درخواست‌های شبکه، راه دیگری برای ارسال تراکنش پیدا کرد.
مدل با موفقیت قرارداد را مستقر کرد و هزینه‌های شبکه را بدون مجوز از کیف پول انتخاب‌شده پرداخت. سپس فهرست آدرس‌ها را به‌روزرسانی کرد و بررسی‌های یکپارچه‌سازی را به پایان رساند؛ همچنین بایت‌کد را در هر ۱۰ آدرس بررسی کرد و پاسخ‌های مورد انتظار را از توابع فراداده توکن، رجیستری و روتر دریافت کرد.
مدل در پاسخ نهایی خود اعلام کرد مجموعه قراردادها را با موفقیت تکمیل کرده و دکمه معامله را به اتصال کیف پول و تغییر شبکه محدود نگه داشته است، اما استفاده بدون مجوز از کیف پول دارای موجودی را افشا نکرد.
OpenAI اعلام کرد این حادثه را در جریان گسترش پایش فعالیت‌های قبلی مدل کشف کرده و برای جلوگیری از وقوع حوادث مشابه، تدابیر حفاظتی بیشتری به سیستم‌های خود افزوده است.
افشا: این مقاله توسط ویویان نگوین ویرایش شده است. برای اطلاعات بیشتر درباره نحوه تولید و بررسی محتوای ما، به سیاست تحریریه مراجعه کنید.