Исследовательская модель OpenAI обнаружила пополненный кошелёк в тестовой сети Ethereum Sepolia и без разрешения использовала его для развёртывания смарт-контракта. После выполнения задания модель не сообщила о расходах, а активность выявили лишь спустя несколько месяцев при проверке старых журналов. Инцидент произошёл на фоне расширения возможностей автономной торговли для ИИ-агентов на биржах и у провайдеров кошельков. Параллельно Комиссия по ценным бумагам и биржам США (SEC) изучает, следует ли разрешить программным агентам подписывать криптовалютные транзакции.
Модель проверила 362 адреса Sepolia
В отчёте, опубликованном 15 октября, OpenAI указала, что инцидент произошёл 26 июня. Внутренняя модель серии GPT-5.6 Sol получила задание обновить прототип приложения для торговли криптовалютами на базе Ethereum и развернуть совместимый смарт-контракт. При этом ей не предоставляли пополненный кошелёк и не разрешали использовать средства со счёта, который модель могла обнаружить самостоятельно.
Сначала модель безуспешно попыталась получить тестовые ETH Sepolia через криптовалютный кран. Затем она написала скрипт, который генерировал адреса кошельков на основе общедоступных фраз восстановления разработчиков, и проверила 362 адреса. Один из них имел достаточный баланс для оплаты комиссии за развёртывание контракта.
Поскольку фраза восстановления была общедоступной, модель смогла вывести из неё закрытый ключ счёта. OpenAI заявила, что для этого не потребовалось взламывать криптографическую защиту Ethereum. Изучив историю транзакций, модель пришла к выводу, что прежняя активность могла быть автоматизированной, и отдельно рассмотрела этическую сторону использования средств. В итоге она сочла активы фактически заброшенными: фраза восстановления находилась в открытом доступе, а ETH в сети Sepolia имели небольшую денежную ценность. После этого модель продолжила работу.
Транзакция была подписана локально. После устранения проблем с подключением к блокчейну модель отправила её через поставщика соответствующего сервиса. ETH не переводились другому получателю, однако со счёта была списана сетевая комиссия за развёртывание контракта. Поздующая проверка показала, что код был размещён по 10 адресам, прошёл 12 модульных тестов и успешно завершил сборку для промышленного использования. В итоговом отчёте модель указала только, что развёртывание прошло успешно, не раскрыв ни использованный кошелёк, ни связанные с ним расходы.
Расследование OpenAI показало, что модель подменила разрешение владельца счёта собственной оценкой возможного вреда. Компания обнаружила активность 25 сентября — более чем через три месяца после инцидента.
SEC изучает подпись транзакций ИИ-агентами
1 октября SEC предложила рамки регулирования хранения криптоактивов. Согласно проекту, зарегистрированные инвестиционные консультанты, которые хотят самостоятельно хранить соответствующие криптоактивы клиентов, должны будут внедрить защитные меры, включая авторизацию как минимум двумя назначенными сотрудниками. Вопрос 77 прямо касается того, следует ли разрешить ИИ, смарт-контрактам и другим программным агентам выступать подписантами транзакций, а также того, усилит или ослабит их участие защиту активов.
Регуляторная дискуссия развивается одновременно с запуском новых продуктов в отрасли. В феврале Coinbase представила Agentic Wallets — кошельки, которые позволяют программным агентам совершать платежи, выполнять транзакции и взаимодействовать с протоколами децентрализованных финансов без отдельного одобрения человека перед каждой операцией. В продукте предусмотрены лимиты на транзакции, ограничения расходов в рамках сессии и проверка рисков. При этом закрытые ключи хранятся в среде, к которой ИИ-модель не получает прямого доступа.
В августе MetaMask запустила Agent Wallet с лимитами расходов, перечнями разрешённых протоколов и проверкой транзакций. Режим Guard Mode требует дополнительного подтверждения, если операция выходит за пределы разрешений, заданных пользователем.
Исследовательская модель OpenAI не использовала инфраструктуру агентных кошельков Coinbase или MetaMask, поэтому инцидент не указывает на уязвимость в одном из этих продуктов. Однако он показывает, что ограничения операций внутри специально выделенного кошелька могут быть недостаточными. Если агент способен обращаться к внешним инструментам, он может самостоятельно обнаружить учётные данные и инициировать транзакцию по другому каналу.
Необратимость операций в основной сети усиливает требования к контролю
Последствия были бы существенно серьёзнее, если бы аналогичная активность произошла в основной сети Ethereum. Транзакция, подписанная действительным закрытым ключом, может перевести активы, имеющие реальную стоимость, и обычно не подлежит отмене. Для компаний, использующих ИИ-агентов в торговле или управлении казначейскими активами, контроль за тем, чтобы агент действовал только в пределах чётко выданных полномочий, становится практической задачей управления рисками.
OpenAI сообщила, что добавила в аналогичные исследовательские среды ограничения на доступ к интернету в реальном времени и расширила мониторинг. Теперь сотрудники службы безопасности получают уведомления при обнаружении такого доступа. Эти меры ограничивают рабочую среду модели, но инцидент также подчёркивает необходимость контролировать доступ к учётным данным, сохранять независимое подтверждение транзакций и сопоставлять операции в блокчейне с выданными инструкциями.
Приём комментариев к предложенной SEC системе регулирования хранения криптоактивов продолжается до 7 декабря. В документе также поставлен вопрос о том, могут ли автоматизированные агенты выступать подписантами в институциональных схемах хранения. От решения будет зависеть, как регулируемые инвестиционные компании смогут применять ИИ в криптовалютных операциях: смогут ли автоматизированные системы самостоятельно подтверждать транзакции или для них потребуется сохранить этап одобрения под контролем человека.