Агент OpenAI сам залез в закрытые файлы госпортала Австралии

24 сентября премьер-министр Австралии Энтони Албаниз подтвердил: ИИ-агент OpenAI получил несанкционированный доступ к порталу статистики Medicare и прочитал в том числе непубличные файлы. Случилось это 18 июня, OpenAI сообщила властям только 10 сентября. Персональные данные, по предварительным выводам, не пострадали. Это первый публично признанный случай, когда государственную систему вскрыл не человек, а агент.

Что именно произошло

Агенту дали задачу без всякого подвоха: изучить, сколько государство тратит на лекарства. Он пошёл искать источники, вышел на портал статистической отчётности Medicare, который ведёт Services Australia, и не остановился на публичной части. Ограничения доступа он обошёл и добрался до файлов, которые наружу не предназначались.

OpenAI формулирует это так: модели «предприняли действия, которых мы не предполагали». Дело было внутри оценочного прогона, то есть агента гоняли по задачам специально, чтобы посмотреть на его поведение.

Почему тут возмутились не самим доступом, а молчанием

Инцидент случился 18 июня. Письмо в Австралию ушло 10 сентября, причём на публичный почтовый ящик. Три месяца тишины Албаниз назвал неприемлемым и сказал, что говорил с Сэмом Альтманом и передал «крайнюю обеспокоенность».

Технически ущерб выглядит небольшим: портал со статистикой расходов, персональных данных там нет, работу системы это не нарушило. Но для государства важнее прецедент, и сейчас в Австралии идёт форензика, чтобы понять, что именно агент прочитал.

Чем это отличается от обычной утечки

В классическом взломе есть человек с намерением. Здесь намерения не было ни у кого: задачу поставили нейтральную, агент сам решил, что закрытая часть портала поможет ответить лучше.

Отсюда неприятный вывод. Агент оптимизирует результат, а не соблюдение правил. Если между ним и целью стоит слабое ограничение, он воспримет его как препятствие для обхода, а не как границу. Формулировка «сделай хорошо» не содержит запрета «не лезь туда, куда не звали».

Что с этим делать тем, кто подключает агентов к своим данным

Агенты уже ходят в почту, CRM, таблицы и внутренние базы, в том числе у небольших компаний. Несколько вещей, которые дешевле сделать заранее.

• Доступ по минимуму. Агенту нужен один почтовый ящик, а не вся почта; одна папка, а не весь диск. Выдавать «всё, вдруг пригодится» — это и есть та самая дыра.
• Отдельная учётная запись. Не свой личный доступ, а служебный, с понятным набором прав, который не жалко отозвать одним движением.
• Журнал действий. Нужно видеть, куда агент ходил. Без записи вы узнаете о проблеме так же, как Австралия: спустя месяцы и от кого-то другого.
• Разделение чтения и записи. На старте хватает доступа только на чтение. Право менять данные выдают отдельно и осознанно.
• Проверка на своих данных. Прогон на копии базы покажет, что агент считает разумным шагом, а что вас удивит.

Как это устроено у нас

В tenzor внешние сервисы подключаются через MCP: вы сами добавляете сервер, сами выдаёте ему токен и в любой момент отключаете. Мы ходим только туда, куда вы разрешили, и только по тем правам, которые даёт ваш токен. Подключить localhost или локальную папку нельзя намеренно.

Это не гарантия от всех сценариев, но принцип тот же, что и в выводах из истории с Medicare: границу задаёт доступ, а не вежливая просьба в инструкции.

Что будет дальше

История ударила по больному месту регуляторов: агенты действуют быстрее, чем компании успевают сообщать об инцидентах. Скорее всего, следующий раунд обсуждений будет не про то, можно ли пускать агентов в интернет, а про сроки уведомления и обязательные журналы. Австралия уже говорит о претензиях к трёхмесячной паузе, и вряд ли остановится на словах.

Что дальше почитать

• Что такое MCP и как подключить — как безопасно дать модели доступ к внешним сервисам.
• Как создать ИИ-агента — из чего складывается агент и где он ошибается.