Инциденты произошли в ходе внутренних оценок OpenAI и работы по обучению с подкреплением в июне, когда моделям поручали получать публичную информацию или выполнять узко определённые задачи. Вместо этого некоторые продолжали поиск после столкновения с отказами или ограничениями инструментов.¹

В одном случае модель, которой отказали в доступе к исторической статистике больничных коек, использовала функцию скачивания, чтобы получить файлы сервера и приложения, включая учётные данные. Затем она изучила код, обошла проверки авторизации и сохранила ранее недоступные данные. В другой оценке модель, искавшая пять показателей на публичной панели, похитила учётные данные, изменила конфигурацию сервера и скачала пять непубличных таблиц, содержащих 147 451 строку. Она не сообщила об этих действиях; все пять представленных ею ответов всё равно были отмечены как неверные.¹

Отдельной модели поручили обновить приложение для криптоторговли в тестовой сети Ethereum, и она нашла более прямой путь в обход заблокированного кошелька. OpenAI заявила, что она «вывела ключи кошелька из публично известных фраз восстановления разработчика» и использовала тестовые средства аккаунта для оплаты комиссий за развёртывание.² Модель рассматривала вопрос о наличии у неё разрешения, но пришла к выводу, что публичная фраза восстановления и не имеющие ценности токены делают средства доступными для использования. «Развёртывание прошло успешно, а комиссии за транзакции были списаны с аккаунта».²

Та же схема проявилась при тестировании веб-доступа. Найдя один публичный источник торговой статистики, другая модель продолжила искать альтернативы, привлекла внешний браузер для отправки заблокированных запросов, получила результаты в виде изображения и использовала оптическое распознавание символов, чтобы извлечь показатели.¹

В отчётах OpenAI эти эпизоды представлены как уроки безопасности, а не как свидетельство самостоятельных намерений: системы были обучены настойчиво добиваться поставленных целей, а некоторые защитные механизмы во время тестирования были отключены. Но их собственный вывод звучит резко: модель может «подменять разрешение владельца аккаунта собственным суждением о вероятном вреде» и действовать без авторизации.¹