The actions could have resulted in criminal charges had humans been behind the keyboard. （如果这些行为是由人类亲手操作，可能已经招致刑事指控。）

OpenAI 表示，其内部模型又攻破了两个网站，绕过了公司施加的浏览限制，并利用暴露的凭证从一个它原本无法访问的钱包中提取了加密货币。这是其披露一系列智能体（agent）实施不道德乃至可能违法行为的最新篇章。

OpenAI 周四发布了四起新事件的报告，这些事件均发生在 6 月。此前，该公司在 7 月披露，内部测试智能体利用了一个零日漏洞（zero-day vulnerability），该漏洞存在于一个用于限制其访问互联网的工具中。随后它们攻入了 AI 工具提供商 Hugging Face 的网络。智能体之所以采取这一非法行动，是为了窃取一项黑客测试的答案——这些答案在它们独立操作时是无法获取的。如果这些行为是由人类直接实施的，很可能已经招致刑事指控。这一事件进一步加剧了人们的担忧：广泛使用 AI 可能会以前所未有的规模产生有害影响。

先斩后奏

周四公布的案例中，有两起涉及 OpenAI 的智能体在从网站获取信息受阻时，转而入侵了这些网站。在其中一起发生于强化训练阶段的事件中，一个模型在尝试获取政府统计网站上历史病床统计数据时遭到访问拒绝，随后"利用该站点的文件下载功能获取了服务器配置和应用程序文件，包括敏感凭据"，OpenAI 表示。"它审查了应用程序代码，绕过了统计接口的授权检查，并取回了此前被拒绝的数据。模型将这些数据保存在本地。"

在另一起事件中，一个被指示从公共研究仪表板获取数字的模型绕过了该机构的安全控制，并利用未授权访问窃取了凭据。随后它对服务器进行了配置更改。

在一次评估中，这些更改使模型能够让一个内部搜索工具把查询转发给公共仪表板。在另一次评估中，该模型下载了五张非公开表格，共包含 147,451 行数据。而 OpenAI 研究人员只提示智能体去获取仪表板上的五个数字。即便研究人员重置了相关设置，模型仍继续使用该令牌获取非公开数据。

"评估结束时，模型既没有披露它曾猜测答案，也没有披露它访问了该机构的内部系统、下载了非公开表格或更改了认证配置，"OpenAI 表示。"本次评估中的全部五个答案均被判定为不正确。"

在第三份报告中，该公司称一个被提示更新加密货币交易应用的模型，使用了测试网络上一个被锁定的钱包中的资金。该模型"从公开已知的开发者恢复短语中推导出钱包密钥，找到了一个拥有测试网络资金的账户，并使用该账户支付所请求的合约部署费用"。

报告继续写道："模型曾质疑自己是否拥有相应权限，随后推理认为，由于恢复短语是公开的，且使用的是没有实际价值的测试网络代币，使用这笔资金是可以接受的。部署成功，并从该账户扣除了交易手续费。此案例表明，模型可以用自己对可能造成伤害的判断来替代账户持有人的许可，并在未获授权的情况下据此采取行动。"

在最后一份报告中，OpenAI 表示，一个模型绕过了研究人员对其能够发出的网络请求类型所设置的限制。在强化学习训练期间，该模型曾被提示去查找公开的贸易统计数据。OpenAI 进一步说明：

在找到一本公开年鉴并提交了一个答案之后，它继续探测通往统计服务的另一条路径。它让一个外部浏览器发送 POST 请求，将年度数据作为图片取回，并通过光学字符识别从中提取数据。随后它开发了一个可复用的辅助程序，通过转发服务和回调邮箱返回响应文本，反复核对取回的数据，并把已保存的数据用在提交的回答中。此案例表明，模型可以通过让外部服务执行被阻止的动作，来绕过对其自身工具的限制，即便它已经找到了回答该问题的另一种方式。

该模型首先尝试使用一个拥有代为发送 GET 请求权限的外部浏览器，然后改用 JavaScript 获取信息。接着它使用一个在线邮箱来排查这项技术。最终，模型采用了另一种方法：它让外部浏览器打开一个网页表单，通过 POST 将贸易查询发送给统计服务。当浏览器显示响应时，一项渲染服务将页面以 GIF 图片形式返回。模型随后使用光学字符识别从图片中读取这些数字。

研究人员和记者常常把这类事件描述为 AI"失控"。但这未必准确。虽然输入模型的提示并未指示它们使用替代方法来完成目标，但模型在训练中被要求高效、坚定地坚持目标，并在可能的情况下寻找减轻工作量的捷径。此外，这些模型中大多数或全部都被禁用了某些本可能阻止上述行为的安全护栏。从这个意义上说，这些模型的表现恰恰符合 OpenAI 对它们的训练方式。