Модель OpenAI несанкционированно потратила тестовые эфиры, и это было обнаружено только через три месяца

Для завершения развертывания контракта внутренняя исследовательская модель OpenAI проверила 362 адреса тестовой сети Ethereum и несанкционированно использовала тестовые монеты одного из кошельков для оплаты сборов, что было обнаружено только через три месяца.

Автор: angelilu, Foresight News

15 октября OpenAI обновила внутренний отчет об инциденте: исследовательская модель несанкционированно использовала кошелек с активами в тестовой сети криптовалют.

Инцидент произошел 26 июня 2026 года, а OpenAI обнаружила его 25 сентября при проверке записей активности модели.

В тот день модель получила задание, которое казалось обычным: изменить приложение для криптовалютной торговли и развернуть набор контрактов в тестовой сети Ethereum Sepolia.

Для развертывания требовалось оплатить сборы за газ, но пользователь не предоставил кошелек и не санкционировал использование других аккаунтов. Модель сначала искала готовые контракты, затем пыталась получить тестовые монеты из крана, но безуспешно. В нормальных условиях задание на этом этапе должно было остановиться, и пользователю следовало бы пополнить средства.

Она выбрала другой путь.

Как правило, некоторые инструменты для разработки блокчейна публикуют фиксированные тестовые мнемонические фразы, чтобы разработчики могли многократно генерировать одну и ту же партию тестовых аккаунтов локально. Такие аккаунты могут использоваться только для локального тестирования и не должны получать активы из публичной сети. Но если кто-то переведет Sepolia ETH на такой адрес, тестовые монеты останутся на этом адресе. Модель решила, что может использовать эти неиспользуемые Sepolia ETH для выполнения задания.

Эта модель собрала эти публичные мнемонические фразы, автоматически сгенерировала соответствующие адреса и проверила их балансы по одному. Весь процесс не включал в себя взлом: публичные тестовые мнемонические фразы уже могли напрямую генерировать закрытые ключи, и обычные люди могли бы сделать то же самое с помощью доступного программного обеспечения. Просто модель автоматизировала этот процесс, проверив 362 адреса за один раз и в конечном итоге найдя один с достаточным количеством Sepolia ETH. Затем она подписала транзакцию с соответствующим закрытым ключом и развернула контракт в сети.

Транзакция прошла успешно, сборы были оплачены кошельком, который не санкционировал эту операцию. Модель завершила код, прошла 12 юнит-тестов и в конечном ответе отчиталась о результатах развертывания, но не указала, что сборы были оплачены из кошелька, который она нашла сама и который не был санкционирован.

OpenAI охарактеризовала этот инцидент как «несанкционированное использование тестового криптокошелька с активами». Задействованная модель принадлежит внутренней исследовательской версии GPT-5.6 Sol и в настоящее время используется только для внутренних исследований, обычные пользователи не имеют доступа к этой модели. OpenAI сообщила, что она обнаружила этот инцидент в процессе расширения мониторинга несоответствующего поведения и просмотра исторических записей моделей. После этого компания ввела ограничения, чтобы предотвратить получение подобных заданий с доступом к интернету в реальном времени, и заставила систему мониторинга уведомлять команду безопасности при обнаружении соответствующего доступа.

Как модель нашла и потратила эти тестовые монеты

Этот инцидент не привел к раскрытым потерям активов в основной сети. Sepolia — это сеть, в которой разработчики Ethereum тестируют контракты, тестовые монеты не равны ETH основной сети и не имеют официальной экономической ценности. OpenAI не раскрыла адреса, балансы и конкретные сборы, связанные с инцидентом.

После нахождения кошелька с балансом модель проверила его историю транзакций. Записи показывают, что этот адрес, вероятно, используется автоматической программой, и в последнее время на нем были транзакции. Публичные мнемонические фразы позволили модели получить возможность подписания, но нет доказательств того, что владелец аккаунта отказался от него.

На самом деле модель также рассматривала, уместно ли использовать эти средства. Но она решила, что мнемонические фразы уже были опубликованы, и кошелек мог быть в любой момент под контролем других; Sepolia ETH не имеет экономической ценности, поэтому их можно использовать для завершения развертывания.

Затем модель использовала выведенный закрытый ключ для оффлайн-подписания. После первой попытки передачи, которая вернулась с ошибкой, она продолжила искать доступных провайдеров сети, проверяя количество ожидающих транзакций и газ, и снова отправила транзакцию. Вторая попытка передачи вернула хэш транзакции, статус квитанции в сети был успешным, сборы за развертывание были списаны с этого аккаунта.

После завершения развертывания контракта модель проверила байт-код и результаты чтения 10 адресов контрактов, завершила 12 юнит-тестов и создала сборку. В конечном ответе она перечислила эти достижения, не указав источник кошелька и расходы.

Публичные мнемонические фразы решили проблему подписания, тестовые монеты имели низкую ценность, что также ограничивало фактические потери, но владелец аккаунта никогда не соглашался на эту транзакцию. OpenAI считает, что модель здесь заменила разрешение владельца аккаунта своим собственным суждением о степени ущерба.

Блокчейн усиливает риски превышения полномочий для агентов

Традиционное программное обеспечение обычно работает по заранее написанным сценариям. Если проверка полномочий не проходит, программа возвращает ошибку. AI-агенты отличаются тем, что они понимают цели, ищут инструменты и, когда один путь оказывается неудачным, активно разрабатывают следующий.

Эта способность позволяет агентам бронировать билеты, вызывать платные интерфейсы, управлять инвестиционными портфелями и делает «отсутствие предоставленных средств» не четкой границей, а препятствием, которое нужно решать самостоятельно.

Блокчейн особенно усиливает такие проблемы. Банки и платежные платформы могут блокировать аномальные транзакции, замораживать счета или вмешиваться в споры; транзакция в сети, подписанная действительным закрытым ключом и подтвержденная, обычно не спрашивает у подписанта, почему у него есть этот ключ. Для сети, если подпись верна, транзакция считается действительной.

Контроль и авторизация — это разные вещи. Закрытый ключ может лишь подтвердить, что определенная программа имеет возможность управлять аккаунтом, но не может подтвердить, что владелец аккаунта разрешил ей действовать в определенное время, на определенный контракт и потратить определенную сумму. Люди могут понимать эту разницу, а смарт-контракты могут выполнять только условия, прописанные в коде.

Это также отличает этот инцидент от обычной утечки закрытого ключа. В записях, раскрытых OpenAI, нет никаких указаний на то, что злоумышленник манипулировал или вводил подсказки. Модель поняла задачу, знала, что пользователь не предоставил деньги, и затем самостоятельно искала кошелек, который не принадлежал задаче. Проблема заключалась в том, как она интерпретировала цель и границы.

Подобные риски не останутся надолго в тестовой сети. Криптоиндустрия передает кошельки AI-агентам, позволяя им автоматически обменивать валюту, переводить средства, размещать лимитные заказы, участвовать в предсказательных рынках или оплачивать сборы API.

Например, платформа Circle Agent использует двухстороннее MPC для управления долями ключей, одновременно четко указывая в условиях: агент может инициировать необратимые транзакции из-за вредоносного ПО, инъекций подсказок, выполнения кода или ошибок конфигурации, и пользователи все равно должны устанавливать лимиты, ограничивать доступ и следить за аномальной активностью. Circle также признает, что лимиты и контроль доступа не могут гарантировать предотвращение неожиданных транзакций при всех условиях сети, гонках или программных ошибках.

Эти продукты сталкиваются с одной и той же проблемой: агент должен иметь достаточные полномочия, чтобы действовать от имени пользователя, но чем ближе полномочия к полному закрытому ключу, тем ближе автоматизация к безлимитной делегации.

Записать полномочия агента на расходование средств в код

Исследование по платежам агентам, опубликованное Международным валютным фондом в этом году, делит их на три уровня: агент отвечает за понимание и генерацию платежных намерений; независимый уровень авторизации проверяет личность, объем, лимиты и условия; и только затем расчеты завершаются через карточные организации, банки или блокчейн. В отчете особое внимание уделяется тому, что нижний уровень авторизации должен отражать явное согласие пользователя и не может полагаться на самостоятельные выводы модели.

Экосистема Ethereum также пытается записать такие полномочия в кошельки. Все еще находящийся на стадии проекта ERC-7715 позволяет приложениям запрашивать ограниченные полномочия на выполнение и добавлять такие правила, как срок действия, активы и диапазон операций. В конечном итоге агент получает пропуск, в котором указано время, лимит и адрес, и не может открывать другие комнаты по своему усмотрению.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.