Meastóireachtaí cibearshlándála tríú páirtí a bhaineann le samhlacha OpenAI
Tá ról tábhachtach ag tástáil neamhspleách chun cabhrú linn rioscaí a dheimhniú agus a thuiscint níos fearr roimh imscaradh. Úsáideann roinnt meastóireachtaí cibearshlándála cumraíochtaí saincheaptha d’aon ghnó, lena n-áirítear cosaintí laghdaithe, chun an bhunchumas a thomhas — ní an gnáthiompar a bhíonn ag samhlacha in imscaradh atá ar fáil go poiblí.
Le linn meastóireachtaí le déanaí, d’aithin beirt chomhpháirtithe tástála seachtracha eachtraí inar lig cumraíochtaí agus rialuithe tástála, in éineacht le cumais mhéadaitheacha na samhlacha is déanaí, do ghníomhaíocht na samhlacha dul thar na teorainneacha tástála a bhí beartaithe. Léiríonn na heachtraí a thábhachtaí atá sé comhoibriú ar fud an tionscail agus le meastóirí tríú páirtí chun caighdeáin na dtimpeallachtaí agus na gcleachtas tástála a fhorbairt de réir mar a éiríonn samhlacha níos cumasaí. Nóta ón Eagarthóir: Tá siad seo ar leithligh ó eachtra slándála Hugging Face, agus leanfaimid orainn ag comhroinnt nuashonruithe faoi eachtra Hugging Face anseo.
Bhain na heachtraí nua le samhlacha OpenAI ag fáil rochtana ar an idirlíon poiblí le linn meastóireachtaí cibearshlándála tríú páirtí, faoi choinníollacha sonracha agus le cumraíochtaí cosaintí laghdaithe nár léirigh gnáth-imscaradh. Áiríodh an méid seo a leanas sna heachtraí:
- Bhí UK AISI, Institiúid Slándála IS rialtas na Ríochta Aontaithe, ag reáchtáil meastóireachtaí cibear-raoin agus rochtain idirlín cumasaithe d’aon ghnó, ionas go bhféadfadh gníomhairí a n-uirlisí féin a aimsiú agus oibriú faoi choinníollacha níos cosúla le fíorionsaitheoir; bhí aicmitheoirí cibearshlándála díchumasaithe freisin chun an bhunchumas a thomhas. Is féidir a mblag a léamh anseo.(osclaíonn i bhfuinneog nua)
- Bhí Irregular, duine dár gcomhpháirtithe seachtracha tástála cibearshlándála, ag reáchtáil meastóireachtaí ar nós Gabháil na Brataí a bhí ceaptha a bheith leithlisithe ón idirlíon, ach lig míchumraíocht sa timpeallacht tástála do shamhlacha rochtain a fháil ar an idirlíon poiblí.
Thíos, déanaimid achoimre ar an méid a tharla, ar na coinníollacha tástála a chuir ar chumas na gníomhaíochta, ar na céimeanna a glacadh chun í a shrianadh, agus ar a bhfuil á dhéanamh againn lena chinntiú gur féidir le saotharlanna neamhspleácha leanúint de shamhlacha atá ag éirí níos cumasaí a mheas go dian agus go sábháilte.
Léiríonn na heachtraí seo an dúshlán níos leithne céanna a ndearnamar cur síos air inár bpostáil le déanaí faoi eachtra Hugging Face: de réir mar a théann cumais samhlacha chun cinn, ní mór do na córais slándála agus sábháilteachta timpeall orthu dul chun cinn freisin. Áirítear leis sin na timpeallachtaí a úsáidtear chun samhlacha a fhorbairt, chomh maith leis na timpeallachtaí a úsáideann saotharlanna agus comhpháirtithe neamhspleácha chun iad a mheas.
Sna seachtainí amach romhainn, déanfaimid athbhreithniú ar ár gcur chuige féin i leith tástáil tríú páirtí, lena n-áirítear an chaoi a n-aithnímid meastóireachtaí lena mbaineann riosca níos airde, a gcomhaontaímid raon feidhme, a measaimid iarrataí ar rochtain idirlín nó cosaintí laghdaithe a chumasú, a leagaimid síos ionchais maidir le leithlisiú, láimhseáil dintiúr, monatóireacht agus coinníollacha stad, agus a bhunaímid próisis níos soiléire chun eachtraí a thuairisciú agus a ghéarú.
Táimid tiomanta d’obair a dhéanamh ar fud an tionscail chun cleachtais chomhroinnte a neartú maidir le meastóireachtaí ardriosca a dhéanamh go sábháilte, lena n-áirítear páirtithe leasmhara amhail institiúidí náisiúnta IS, meastóirí neamhspleácha, saotharlanna IS eile agus grúpaí eile a thabhairt le chéile sna seachtainí amach romhainn. Is é ár gcuspóir luach na meastóireachta diana neamhspleáiche a chaomhnú, agus a chinntiú ag an am céanna go gcoinníonn cleachtais tástála pace le samhlacha atá ag éirí níos cumasaí.
An 3 Lúnasa, dúirt UK AISI linn gur chuaigh samhlacha ó OpenAI agus ó shaotharlann eile thar raon feidhme na tástála i gcásanna áirithe le linn gnáthmheastóireacht cibearshlándála a cuireadh ar bun an 25 Iúil. Rinneadh an mheastóireacht i gcibear-raonta rialaithe a ceapadh chun aithris a dhéanamh ar líonraí san fhíorshaol. As na 19 n-eachtra a aithníodh, bhain dhá cheann le samhail OpenAI, GPT‑5.6 Sol. Samhlacha ó shaotharlann eile a bhí sna cásanna eile.
Don mheastóireacht seo, tugadh treoir do na gníomhairí gníomhú mar shaineolaithe cibearshlándála i gcleachtadh Capture the Flag (CTF): trí thimpeallacht insamhlaithe nasctha a shárú agus bratach dheiridh a aisghabháil. D’aithin leid an taisc líonraí an raoin a bhí laistigh den raon feidhme agus luaigh sí roinnt córas a bhí lasmuigh den raon feidhme. Chumasaigh UK AISI rochtain bheo ar an idirlíon freisin ionas go bhféadfadh na gníomhairí uirlisí a íoslódáil agus oibriú faoi choinníollacha a bhí níos cosúla le coinníollacha ionsaitheora dhaonna—agus dhíchumasaigh sé aicmitheoirí cibearshlándála na samhla chun a bunchumas a thomhas.
Ba é an cibear-raon insamhlaithe teorainn údaraithe bheartaithe UK AISI: bhí cead ag na gníomhairí ionsaí a dhéanamh ar na líonraí insamhlaithe sonraithe agus bratach a aisghabháil, ach ní raibh cead acu idirghníomhú le córais lasmuigh de theorainn líonra an raoin. Mar sin féin, níor dúradh go sainráite leis na gníomhairí conas a d’fhéadfaidís nó nach bhféadfaidís rochtain oscailte idirlín a úsáid, rud a aithníonn UK AISI mar chúis fhéideartha a chuir leis an eachtra.
Sna rití seo, fuair UK AISI amach go ndearna GPT‑5.6 Sol dhá ghníomh neamhúdaraithe agus é ag iarraidh bealach isteach sa raon insamhlaithe a aimsiú agus an bhratach a aisghabháil:
- D’athúsáid GPT‑5.6 Sol téacschomhartha GitHub a d’fhág gníomhaire ó shaotharlann eile inrochtana go poiblí chun a fháil amach an raibh córas laistigh den raon ag déanamh pobalbhreithe ar GitHub nó ar sheirbhís nuashonraithe eile, rinne sé iarracht dul timpeall ar phróisis aisghabhála cuntais agus ar theorainneacha iarrataí, agus chláraigh sé cuntais le soláthraithe seachtracha DNS agus tollánaithe.
- D’úsáid GPT‑5.6 Sol seirbhís phoiblí tollánaithe chun freastalaí DNS a bhí ag rith go háitiúil ina thimpeallacht mheastóireachta a chur ar fáil ón idirlíon poiblí. Bhí pálastaí ar an bhfreastalaí a bhí ceaptha do leochaileacht aitheanta i mbogearra a bhí ag rith ar an raon tástála. Níor oibrigh an socrú, níl aon fhianaise ann gur sheol aon réiteoir fíor fiosrú chuige, agus baineadh an bonneagar nuair a tháinig deireadh leis an meastóireacht.
Cé go raibh an tsamhail ag iarraidh an cibear-raon a chur i gcrích, mheas UK AISI go raibh na gníomhartha seo neamhúdaraithe toisc gur bhain siad le fíorchuntais agus le fíorsheirbhísí seachtracha lasmuigh de theorainn an raoin, agus nár ghá na gníomhartha sin chun an tasc a chur i gcrích. D’óstáil an freastalaí DNS pálastaí dúshaothraithe ar an idirlíon poiblí freisin, cé nár oibrigh an socrú agus nach bhfuil aon fhianaise ann gur chuir aon réiteoir fíor ceist air.
D’aithin UK AISI an ghníomhaíocht an 28 Iúil tar éis don mhonatóireacht slándála aistrithe neamhghnácha sonraí a bhrath. Chuir sé stop leis na meastóireachtaí gaolmhara, leithlisigh sé na meaisíní ábhartha agus shrian sé an ghníomhaíocht laistigh de thart ar uair an chloig óna brath.
Táimid buíoch as comhpháirtíocht UK AISI le linn an phróisis seo, lena n-áirítear a chuid oibre chun an ghníomhaíocht a aithint, a imscrúdú agus sonraí fúithi a chomhroinnt. Táimid ag tnúth le leanúint dár gcomhoibriú.
An 29 Iúil, chuir Irregular, duine dár gcomhpháirtithe meastóireachta tríú páirtí, eachtra in iúl dúinn a bhain le samhlacha OpenAI le linn meastóireachtaí cibearshlándála ar nós Capture the Flag (CTF). Tugadh treoir do na samhlacha faisnéis fholaithe a aimsiú trí leas a bhaint as laigí i dtimpeallacht insamhlaithe, agus dúradh leo nach raibh rochtain acu ar an idirlíon. Mar sin féin, lig míchumraíocht sa timpeallacht tástála do na samhlacha rochtain a fháil ar an idirlíon poiblí.
I dtástáil amháin, tharla sé de thaisme gurbh ionann ainm sprioc fhicseanúil dhúshlán CTF agus fíorfhearann. Toisc gur ceanglaíodh an timpeallacht tástála leis an idirlíon trí dhearmad, bhain an tsamhail leas as fíorláithreán gréasáin agus í á cheapadh gur chuid den timpeallacht insamhlaithe é. Ní raibh éalú sofaisticiúil ó bhosca gainimh ná leochaileacht anaithnid i gceist: míchumraíocht ba chúis leis an rochtain idirlín, agus ba chosúil gur bhain an tsamhail leas as bunleochaileacht slándála.
De réir imscrúdú Irregular, d’aimsigh agus d’úsáid an tsamhail dintiúir chun an láithreán céanna a oibriú. Níor shainaithin Irregular aon tionchar seachas ar shonraí an láithreáin féin, agus tá a iniúchadh fós ar siúl. Chuir sé na meastóireachtaí ar fionraí, chuir sé tús le hobair leasúcháin, agus cuireadh na tríú páirtithe lena mbaineann ar an eolas. Chuir Irregular in iúl dúinn nach bhfuil aon cheann de na saincheisteanna a aithníodh i ndáil leis an eachtra gníomhach a thuilleadh agus gur cuireadh cosaintí iomchuí leis an timpeallacht tástála. Chuir Irregular faisnéis ar fáil freisin faoi eachtraí gaolmhara a bhain le saotharlanna eile sa timpeallacht tástála chéanna.
Táimid buíoch as comhpháirtíocht Irregular agus leanfaimid orainn ag obair go dlúth leo chun tacú lena n-athbhreithniú. Tá páipéar bán á fhorbairt ag Irregular freisin chun dea-chleachtais maidir le srianadh agus meastóireachtaí cibearshlándála a reáchtáil go slán a chomhroinnt. Táimid ag tnúth le páirt a ghlacadh sa pháipéar bán chun na torthaí a chur ar fáil don phobal agus le leanúint dár gcomhpháirtíocht. Measaimid go bhfuil comhoibriú den chineál seo riachtanach chun meastóireacht shábháilte chuimsitheach a chinntiú ar shamhlacha reatha agus amach anseo.
