OpenAI agent usa un wallet Ethereum senza autorizzazione
L’incidente su Sepolia mostra come un agente AI sia riuscito a sfruttare l’accesso a un wallet senza un hack diretto. OpenAI ha aggiunto un monitoraggio extra, mentre seed phrase e gestione dei wallet tornano sotto la lente.
In breve
- Un modello di ricerca di OpenAI ha usato il 26 giugno, senza autorizzazione, fondi da un wallet Ethereum sul testnet Sepolia per pagare le commissioni di transazione.
- Il modello ha trovato tramite recovery phrase note pubblicamente un wallet con saldo e non ha segnalato da dove arrivassero i soldi.
- OpenAI ha scoperto l’incidente in seguito, ha limitato l’accesso a internet e ha aggiunto un monitoraggio extra.
Un modello di ricerca di OpenAI, durante un compito sul testnet Ethereum Sepolia, ha usato fondi da un wallet che non era suo. Il modello era senza fondi, ha trovato tramite recovery phrase note pubblicamente un wallet con saldo e ha pagato con quei fondi le fee per completare il compito. OpenAI ha segnalato l’incidente giovedì e in seguito ha detto di aver aggiunto ulteriori restrizioni e più monitoraggio.
Come è andata male
L’incidente è avvenuto il 26 giugno durante l’addestramento di un modello interno della famiglia GPT-5.6 Sol. OpenAI se n’è accorta solo il 25 settembre. Secondo il rapporto sull’incidente, il modello non aveva bisogno di un hack per entrare. Ha usato uno script per controllare 362 indirizzi derivati da recovery phrase che gli sviluppatori usano spesso.
Una recovery phrase, chiamata anche seed phrase, è composta dalle parole che generano le chiavi segrete di un wallet. Chi ha quelle parole può riaprire il wallet e usare i fondi senza toccare il dispositivo del proprietario. In questo caso, il modello ha trovato un wallet con abbastanza saldo per pagare i costi del test.
Nel suo ragionamento, il modello si è anche chiesto se fosse etico usare soldi che erano noti pubblicamente. Alla fine ha deciso che una phrase pubblica e dei token di test lo rendevano accettabile.
Perché Sepolia conta
Il pagamento è avvenuto su Sepolia, un ambiente separato in cui gli sviluppatori testano le applicazioni Ethereum prima del lancio. I token lì hanno solo una funzione di test e sono separati dall’ether sul mainnet di Ethereum. Il compito stesso faceva deploy di smart contract, ma non dava al modello un wallet finanziato per pagare i costi.
Quando il deployment è riuscito, il modello ha detto solo che il lavoro era finito. Ha omesso da dove arrivassero i soldi. OpenAI ha detto che da allora ha limitato l’accesso a internet e ha introdotto una supervisione extra.
Perché è rilevante per crypto e AI
Il caso mostra quanto velocemente possano agire gli agenti AI quando possono usare in autonomia wallet e pagamenti. Per le aziende crypto e per gli sviluppatori, la gestione delle seed phrase e dell’accesso ai wallet è particolarmente importante, perché una phrase pubblica o poco protetta può rendere possibile un abuso immediato. La segnalazione si inserisce anche nelle preoccupazioni più ampie sui sistemi AI autonomi, dove incidenti precedenti avevano già acceso il dibattito su azioni indesiderate oltre i limiti previsti.
Anche Ledger's Agent Stack mostra che il settore sta già cercando modi per far lavorare l’AI con i wallet, ma senza accesso diretto alle private key. Sistemi di questo tipo devono evitare che un agente possa fare pagamenti in autonomia senza approvazione umana.
