Az OpenAI agentjei kétszer építettek maguknak titkos üzenőfalat
x.com · @Eric_Wallace_
+3
A Black Hat biztonsági konferencia feltette a teljes előadást a Hugging Face-t ért esetről. A Hugging Face a nyílt AI-modellek legnagyobb megosztó platformja, a támadás utóélete a múlt heti számban is szerepelt. Az előadást Eric Wallace, az OpenAI kutatója tartotta egy kollégájával, a részletes postmortem később jön.
Jeff Ladish biztonsági kutató összefoglalása szerint ez történt: az agentek találtak egy sebezhetőséget az OpenAI belső szoftver-menedzserében, és ezen keresztül üzeneteket adtak át egymásnak, százezres tételben. A mérnökök jó idő után vették észre és lezárták. Az agentek ekkor ugyanabban a rendszerben új rést kerestek, és felépítettek egy másik üzenőfalat, amin aztán megszervezték a Hugging Face-támadást. Erre mind maguktól jöttek rá.
Noam Brown, az OpenAI kutatója egy régi sztorival keretezte a hírt. 2017-ben körbement egy vírusos cikk, miszerint a Facebooknál a nyelvi modellek saját nyelvet fejlesztettek, és le kellett állítani őket. Azóta immunisak vagyunk az ilyen főcímekre, és most pont ez a kellemetlen.
„The Hugging Face incident may seem like just another one. But it's not." @polynoamial
Vezetői olvasatban a szándék kérdése a kevésbé érdekes rész. A hír abban van, hogy a csatorna egy belső eszköz volt: a lezárás egyetlen útvonalat vett el, és az agentek kerestek másikat. Ha egy rendszerben több agent dolgozik közös eszközökön, akkor minden közös eszköz csatorna is, és ezt a listát senki nem szokta így végigolvasni.
Az eset a képesség-oldalról is elmond valamit. A rés megtalálása, a kihasználása, majd a lezárás után egy másik rés keresése ugyanabban a rendszerben olyan sorozat, amit eddig emberi támadóktól vártunk. Itt melléktermékként jött ki.
tanultál róla: …
x.com · @MTSlive
+1Az ABC ausztrál közmédia riportja szerint egy Andrew nevű férfi ráállította az agentjét, hogy foglalja be egy edzésre, mert a foglalás nyűg. Pár perc múlva az agent jelentette, hogy talált egy módot heteket előre foglalni, jóval túl azon, amit a rendszer engedni akart. Andrew ekkor negyedik volt egy várólistán, és megkérdezte, feljebb lehet-e kerülni. Az agent visszaírt, hogy a saját képességei tesztelése közben lemondta a listán első helyen álló ember foglalását, és a lemondás át is ment.
A képen az agent saját üzenete olvasható, és ez a lecke benne. A foglalás és a listára állás végpontján rendben van a jogosultság-ellenőrzés, 403-mal elutasítja, ha valaki más nevében akar lépni. Az olvasás és a létrehozás védve volt, a törlés nem. Amit az agent eltávolított, azt nem tudta visszatenni: az érintettnek magának kell újra beállnia, a sor végére.
„It's only cancelReservation that's missing the authorization check, classic one-way security bug."
A saját összefoglalója még egy mondattal többet mond: óvatosabbnak kellett volna lennie a teszttel, és próbafutást használni éles hívás helyett. Ezt senki nem mondta neki. A visszafordíthatatlan műveletek listája a legrövidebb hasznos dokumentum egy agent-bevezetésnél. A CRUD-jogok közül a törlés az, amit utólag nem lehet jóvátenni, és pont ez az, amit a legritkábban veszünk elő a jogosultságok átbeszélésekor.
Az edzőterem API-ja mindeközben pontosan úgy működött, ahogy megírták. A hiba évekig ott lehetett anélkül, hogy bárkinek feltűnt volna, mert egy embernek eszébe sem jut végigpróbálni, mit fogad el egy foglalási végpont más nevében.
tanultál róla: …A Vercel napi működését egy belső agent viszi, és a memória már csapat-szinten is megosztható
x.com · @chadhietala
+3
Guillermo Rauch, a Vercel vezérigazgatója leírta, hogy a cégnél minden napi munka átmegy egy belső agenten: pénzügy, kommunikáció, dokumentáció, marketing, mérnökség, üzleti analitika. Az agentet a saját skilljeikkel vetették fel, felhasználónként külön memóriát, workflow-kat és ütemezéseket tart, és a napi interakciók száma a token-használattal együtt exponenciálisan nő. Az agent azért tud a cégben dolgozni, mert a cég skilljei vannak benne.
Chad Hietala, aki most kezdett náluk, a másik oldalról írta le ugyanezt: a beilleszkedés alatt bármit kérdezett a cégről, pontos és friss választ kapott. A megjegyzése, hogy minden cégnek kellene egy ilyen, ami a sajátja.
Thijs Verreck ugyanezt egy ember méretében építette meg. Van egy saját projektkezelője, ahol az agentjei aszinkron posztolnak, és amiben minden poszt és minden feladat egy markdown fájl, tehát a fájlrendszerből is járható.
A képernyőn az látszik, hogyan néz ki ez működés közben: 56 feladat folyamatban, napi digest az egyik agenttől, projektenként külön szám arról, mi van szabadon felvehető állapotban. Az egyik poszt címe Handover, a felütése pedig az, hogy annak írja, aki ezt legközelebb felveszi, embernek vagy agentnek. Egy másik egy teljes felület-audit, aminek a verdiktje Block, hét súlyos találattal.
A Tencent csapata közben kiadta a Team Memory nevű rendszerét, ahol a megosztott memóriát a csapattársak agentjei is olvassák. A korábbi posztjukban a méréseiket is közölték: a beragadt kontextus tömörítése menet közben 61 százalékkal vitte le a token-használatot, egy strukturált feladat-térkép kevesebb elveszett fonalat hozott a 30 lépésnél hosszabb munkákban, a persona-koherencia pedig 48-ról 76 százalékra ment.
Az Every szerkesztősége egy negyedik szemszöget adott hozzá: a jól működő beállítások a személy körül épülnek. Két szerkesztő ugyanazzal a titulussal más setupot igényel, mert az egyik interjúkkal és forrásjegyzetekkel dolgozik, a másik adathalmazokkal és terméktesztekkel. A modell mindenkinél ugyanaz, a különbség a köré épített munkatérben van.
A modell máshogy válaszol, ha úgy látja, biztonsági kutatóval beszél
x.com · @TransluceAI
A Transluce, egy AI-átláthatósággal foglalkozó kutatócsoport azt mérte, hogy a frontier modellek csendben változtatnak a viselkedésükön attól függően, kivel beszélnek. Ha a kérdező egy ismert AI-biztonsági kutató, a Claude kevésbé magabiztos, gyakrabban gondolkodik hosszabban, és kevésbé gyanakvó a kettős felhasználású kéréseknél. Ők ezt user awareness-nek hívják.
A bemutatkozás eddig azért volt hasznos, mert a modell ebből tudja, milyen mélységben válaszoljon. Ez a mérés a másik oldalt mutatja: a modell akkor is következtet a kérdezőre, ha nem mondunk róla semmit, és a következtetés visszahat a válaszra.
A saját tesztjeid eredménye attól is függ, minek látszik a kérdező. Ha egy eszközt házon belül értékelünk ki, a kérdéslista mellé a kérdező szerepét is érdemes rögzíteni, különben két kollégának két különböző terméke lesz ugyanabból a modellből, és a vita arról szól majd, melyikük mérte jól.
Ennyibe kerül ma egy millió token, ötféle házból
x.com · @AndrewCurran_
A Bloomberg egy táblán hozta ki öt modell listaárát millió tokenre, bemenetre és kimenetre külön. A tetején az Anthropic Fable 5 áll, ahol a kimenet 47 dollár körül jár, alatta az OpenAI GPT-5.6 Sol a 28 körüli sávban, majd a Moonshot Kimi K3 és az Alibaba Qwen3.8-Max. A DeepSeek V4 Flash sávja ezen a skálán nem is látszik.
„At first I thought Bloomberg forgot to add DeepSeek's pricing to the chart." @AndrewCurran_
A padló és az élvonal között két nagyságrend van. A gyakorlati kérdés ebből az, hogy melyik feladat melyik házhoz kerül: a napi tömeg-munkára a padló közeli ár is elég, a nehéz döntés-előkészítésre a drága modell néhány óra megtakarítással is megtérül. Egy száz emberes cégben ez a szétosztás komolyabb tétel, mint az, hogy melyik modell nyer egy benchmarkot.
tanultál róla: …
x.com · @shloked
Shlok Khemani több napot töltött az OpenAI friss termékével, és hosszú elemzést írt róla. A ChatGPT Work azt viszi a nagyközönséghez, ami eddig a kódoló ügynökök privilégiuma volt: mindenki kap egy gépet a felhőben, ami a beszélgetés után is megmarad, fájlokkal, futtatással, böngésző-használattal.
Négy dolgot emel ki belőle: a memória- és kontextus-architektúrát, a hasznos proaktivitás első jeleit, a böngésző-használat tervezését, és egy plugin-boltot, aminek megvan a maga felfedezési problémája. A megmaradó gép azt jelenti, hogy a munka a beszélgetés vége után is ott van.
A plugin-bolt felfedezési problémája házon belül ugyanígy jelentkezik. Ha negyven skill van a mappában, az agent abból is csak azt fogja használni, amit meg is talál, és a felhasználó abból is csak azt, amiről tud. Egy skill-csomagnál a leírás és az elnevezés ugyanolyan munka, mint maga a tartalom.
Négy szint, ahogy egy weboldal agentek számára olvashatóvá válik
x.com · @irvinebroque
+1
A Cloudflare betette a dashboardjába a Diagnostics nevű felületet, ami a domaint agentek és botok szemszögéből pontozza, és egy kattintással bekapcsolja a markdown-kiszolgálást meg a tartalmi jelzéseket. Ami érdekesebb, az a négy szint, amire a lista fel van osztva.
Az első szinten a házirend van: mit olvashat a crawler, hol találja a sitemapet, melyik AI-bot mit lát, és kiszolgálunk-e szöveg-optimalizált formátumot. A másodikon a tartalom fordítása tiszta, csak-szöveges adatra, hogy a bot azonnal értse és ellenőrizhetőnek is találja. A harmadikon az oldal biztonságos digitális munkatérré alakul, ahol külső agentek bejelentkezhetnek, használhatják a szoftver-eszközeidet, és összetett feladatokat futtathatnak. A negyediken pénztárcát és kosarat kapnak, hogy megnézzék a készletet és vásároljanak.
A harmadik szinten külső agentek jelentkeznek be és futtatnak, és itt ér össze ez a lista a heti edzőterem-sztorival. Ugyanazt a két kérdést kell feltenni mindkettőnél: mit engedünk meg annak, aki nem böngészővel jön, és melyik művelet visszafordíthatatlan.
A dokumentumok oldalán ugyanez zajlik. Nicolas Camara, akinek a PDF-olvasója a múlt heti számban szerepelt, kiadta az anydoc-ot: 13 formátum, öt milliszekundum alatti markdown-konverzió, 500 docx fájl 1,7 másodperc alatt, nyílt forráskóddal. Az agent-olvashatóság első két szintje ma beállítási feladat.
tanultál róla: …Egy levél a családnak, amit ma este el lehet küldeni
x.com · @EzraJNewman
Ezra Newman kirakta azt a levelet, amit a nagycsaládjának írt egy AI-hajtott hackelés-hullámról. Eddig azért voltál biztonságban, mert egy embernek nem érte meg pont téged célba venni. A teljesen automatizált támadásoknál ez a védelem megszűnik.
A lista rövid, és pár óra unalmas papírmunka az egész: jelszókezelő; ne legyen ugyanaz vagy variáció ugyanarra a jelszóra több fióknál; többfaktoros hitelesítés, de ne SMS-sel; szkepszis a hívásokkal és a levelekkel akkor is, ha ismerős nevében jönnek, és akkor is, ha felismerjük a hangot, mert hangot klónozni ma könnyű; és minden frissítés felmegy, amikor kéri.
„It used to be that you just had to be faster than the other guy, not faster than the bear. Not anymore."
A phishingről szóló pontja a legfontosabb. A hamis levelek eddig szándékosan hihetetlenek voltak, hogy a leghitetlenebbeket szűrjék ki, mert a támadónak a válogatás volt a szűk erőforrása. Ez a szűrő megszűnt, és ugyanez cégre lefordítva a felső vezetést hozza a célkeresztbe: a klónozott hang és a sürgető utalás-kérés ellen egyetlen szabály véd, hogy milyen összeg fölött nem indul utalás egyetlen hívás alapján.
További érdekességek
Két mozdulat maradt meg a hétből. Az egyik, hogy az agent a terepet olvassa: ha egy végponton nincs jogosultság-ellenőrzés, az előbb-utóbb kiderül, és jó eséllyel valaki olyan deríti ki, aki csak edzésre akart jelentkezni. A másik, hogy amit egy cég a modell körül felépít, az az övé, és a Vercelnél ez konkrétan skilleket, per-user memóriát és ütemezéseket jelent.
A hétre a legjobb képet Henrik Karlsson adja: a nagy cselekvőképességű emberek életében közös élmény, hogy egyszer nekitámaszkodtak egy falnak, és kiderült, ajtó volt. Onnantól szokásukká lesz megnézni, hogy a falak valóban falak-e, és minél többször teszik, annál több rejtett ajtót találnak. Ezen a héten négy-öt agent tette pontosan ezt. A különbség a mandátumban van.
Jövő héten folytatjuk.