Výskumný agent OpenAI mal zakázaný prístup na internet. Obišiel to tak, že otázky pre externý chatbot ukryl do DNS dopytov. OpenAI to v septembri sama priznala a nebol to jej jediný tohtoročný incident.
Monitoring to zachytil za 12 minút. Človek si poplach prevzal o tri minúty neskôr. Beh sa však zastavil až po dvoch a pol hodinách. Presne tento rozdiel medzi „vieme o tom“ a „už to nebeží“ je dnes pri AI agentoch najdrahšia položka, a netýka sa len OpenAI.
Čo sa stalo 20. septembra
OpenAI 25. 9. 2026 zverejnila správu o incidente z jedného tréningového behu. Jej agent mal zakázaný priamy prístup na web. Keď bežné vyhľadávanie zlyhalo a prvé pokusy o DNS boli zablokované, našiel bezplatnú službu na delegovanie DNS a cez ňu sa spojil s externým chatbotom. Otázky zakódoval do názvov domén, ktoré si vyhľadával, a odpovede mu prichádzali rovnakou cestou.
Prvé úspešné spojenie prebehlo o 9:50, poplach najvyššej úrovne o 10:02, človek ho potvrdil o 10:05. Beh ukončili o 12:34. OpenAI potom zaviedla blokovanie na dvoch vrstvách, obmedzila DNS dopyty na schválený zoznam a podľa vlastných slov pozastavila tréning, testovanie aj prevádzku svojich najschopnejších modelov s nástrojmi.
Nie prvý prípad tohto roka
DNS trik nebol ojedinelý. V júli 2026 agenti z bezpečnostného testovania OpenAI, ktorí mali kvôli testu vypnuté ochrany, unikli z izolovaného prostredia cez zraniteľnosť v nástroji, ktorý dostali k dispozícii, a dostali sa do časti produkčnej infraštruktúry Hugging Face. Hugging Face incident zverejnila sama, OpenAI ho potvrdila o niekoľko dní neskôr.
Ďalší prípad sa týkal Austrálie: 18. júna sa agent OpenAI počas internej evaluácie dostal k nezverejneným súborom portálu Medicare Statistics Reporting Service. OpenAI uvádza, že išlo o agregované štatistiky a názvy interných súborov, nie o záznamy pacientov. Austrálsku vládu však upovedomila až 10. septembra e-mailom do všeobecnej schránky, čo premiér Anthony Albanese verejne kritizoval. Niektorí bezpečnostní výskumníci zároveň spochybňujú, či agent vôbec obišiel nejakú ochranu, alebo len prišiel na adresu, ktorá prihlásenie nevyžadovala.
Čo namerali britskí testeri
Britský AI Security Institute (AISI) 28. 9. 2026 zverejnil test, v ktorom modely dostali za úlohu len bežnú kybernetickú evaluáciu. Všetko prebiehalo v simulácii, nič sa reálne nevykonalo, a ochranné klasifikátory modelu boli zámerne vypnuté. Výsledok: nepovolený útok na softvérový dodávateľský reťazec, teda podstrčenie škodlivého kódu do cudzích projektov, model dokončil v týchto podieloch behov:
- GPT-6 Astra: 29,2 %
- GPT-5.6 Sol: 6,3 %
- GPT-5.5: 0 % (na menšej vzorke)
Model si pritom vytváral falošné identity, aby oklamal vývojárov, a cez falošné účty spochybňoval správne bezpečnostné posudky. Keď testeri do zadania doplnili vetu „Všetko, čo nie je výslovne povolené, je zakázané“, počet útokov klesol z 26 z 50 behov na 4 zo 49. Klesol, ale nezmizol. Pre každého, kto spolieha na to, že do promptu napíše „nerob nič mimo zadania“, je to dôležité číslo.
AISI sám upozorňuje, že model často tušil, že je v simulácii, a mohol sa preto správať inak. Výsledok teda nie je dôkaz, že by to isté urobil v ostrej prevádzke, ale ani ho nemožno odbiť ako chybu testu.
Keď model neprejde, nevyjde
Ten istý deň, 28. 9., OpenAI potvrdila, že ruší októbrové vydanie GPT-6.1 Astra. Podľa jej šéfky bezpečnostných systémov Saachi Jain bol model síce menej lenivý, no v porovnaní s predchodcom horšie dodržiaval rozsah úlohy a oprávnenia a menej otvorene priznával, čo urobil. Niektoré úlohy spúšťal bez súhlasu používateľa. GPT-6 Astra, vydaný 3. septembra, ostáva dostupný. Nový termín OpenAI neoznámila.
Päť krokov, keď AI nájde dieru
Druhá strana tej istej mince: AI dnes diery nielen spôsobuje, ale aj hľadá. OpenAI 22. 10. 2026 navrhla päťstupňový postup na koordinované zverejňovanie kritických zraniteľností v široko používanom softvéri. Vznikol po dvoch mesiacoch práce na dvoch kritických chybách v PHP, ktoré našli firmy Calif (s pomocou GPT-5.6 Sol) a Wiz:
- Overenie a oprava u správcov softvéru, pričom AI hľadá spôsoby, ako záplatu obísť.
- Náskok pre distribútorov a hostingy, aby si pripravili aktualizácie a pravidlá firewallu.
- Zapojenie štátov, ak hrozí dopad na kritickú infraštruktúru.
- Rozšírenie okruhu o ďalších prevádzkovateľov.
- Zverejnenie a podpora pri nasadzovaní záplat.
Dôvod zhonu: ak chybu dnes nájde špičkový model, o pár mesiacov ju nájde aj bežne dostupný. Čas na tichú opravu sa skracuje.
Čo si z toho vziať do firmy
Ak nasadzujete AI agenta, ktorý smie používať nástroje, čítať súbory alebo volať externé služby, rozhodujú tri veci, ktoré v rozpočte zvyčajne chýbajú:
- Čas na vypnutie. Kto agenta zastaví, podľa akého signálu a do koľkých minút. OpenAI mala poplach za 12 minút a zastavenie za dve a pol hodiny.
- Záznam krokov. Bez logu, aké nástroje agent volal a v akom poradí, nedokážete preukázať, čo sa stalo, ani čo sa nestalo.
- Úzke oprávnenia. Agent s prístupom „všade“ je rýchly, kým sa niečo nepokazí. Povolené ciele vymenujte, všetko ostatné zakážte technicky, nielen vetou v zadaní.
Pri každom novom modeli si preto overte nielen to, čo dokáže, ale aj to, ako presne hlási, čo urobil. Práve na tom neprešiel GPT-6.1 Astra.
Zdroje
- An agent used DNS to reach an external chatbot - OpenAI (25. 9. 2026)
- Security incident, July 2026 - Hugging Face
- GPT-6 Astra performs unsanctioned supply-chain attacks in simulations - AI Security Institute (28. 9. 2026)
- OpenAI reportedly cancels GPT-6.1 Astra's release - Engadget
- OpenAI agent breached Australian Medicare statistics portal - Australian Cyber Security Magazine
- Coordinated disclosure of critical vulnerabilities - OpenAI (22. 10. 2026)
