דיווח של רויטרס מעלה כי החששות בנוגע לאבטחת OpenAI קדמו להשקת ChatGPT בסוף 2022: עובדים שיתפו בהם את בכירי החברה ואת חברי הדירקטוריון, לפי חמישה אנשים המכירים את הנושא. כמה עובדים לשעבר אמרו לרויטרס שלא הופתעו כשנודע באוקטובר כי החברה מצאה מכשיר הקלטה בחדר ישיבות של מנהלים.
3
החששות שעלו בתוך החברה
לפי הדיווח, חלק מהעובדים התרשמו מהשיחות עם ההנהלה כי המאמץ לעמוד בקצב של המתחרות קיבל עדיפות על פני ההגנה על הטכנולוגיה של החברה.
3
39
סיכום נפרד של דיווח רויטרס תיאר חששות לגבי גישה רחבה לקוד החברה והיעדר בדיקות אבטחה סדירות לכלים פנימיים.
14 עם זאת, המקורות הזמינים אינם מפרטים במלואם מי קיבל הרשאות גישה למאגרי הקוד או באיזו תדירות נבדקו מערכות מסוימות. לכן אין לראות בפרטים האלה תמונה מלאה של אמצעי ההגנה של OpenAI.
המתח שעולה מהדיווח הוא בין עבודה מהירה ושיתופית לבין הגבלת הגישה למערכות רגישות. המקורות מתארים חששות של עובדים ואת סדר העדיפויות שההנהלה ייחסה להם; הם אינם מוכיחים שמדיניות אבטחה מסוימת היא שגרמה לתקרית מכשיר ההקלטה.
פרשת מכשיר ההקלטה
באוקטובר הודיעו הרשויות בארצות הברית כי מהנדס OpenAI עבדולרחמן אלפוזאן, אזרח סעודיה בן 35, נעצר והואשם בשימוש במכשיר או בניסיון להשתמש בו כדי ליירט שיחות בעל פה.
1 לפי דיווח רויטרס, הפרשה נוגעת למכשיר הקלטה שהוחבא לכאורה בחדר ישיבות של מנהלים בחברה.
2 מדובר בהאשמה, ולא בקביעה של אשמה.
לאחר גילוי המכשיר, כמה עובדים לשעבר נזכרו באזהרות האבטחה שהעלו בעבר, דיווחה רויטרס.
3 המידע הזמין אינו מבהיר את מלוא נסיבות הצבת המכשיר הנטענת או מה היה מעמדו של אלפוזאן במעצר נכון ל-3 בנובמבר.
OpenAI מציגה צעדי אבטחה חדשים
לפי דיווח רויטרס בספרדית, OpenAI החלה לשנות את גישתה לאבטחה, ותיבו סוטיו, בכיר הממונה על פיתוח מוצרים, קיבל לאחרונה אחריות על יוזמה פנימית להגנה על מערכות החברה.
46 דיווח משני ייחס למקור אחד את הטענה כי באוגוסט העביר סוטיו כרבע ממהנדסי הייצור לעבודה על תשתיות אבטחה; אין מדובר באישור רשמי של החברה לנתון.
53
ב-2 בנובמבר הודיעה OpenAI על מבצע אבטחה פנימי נוסף. החברה מסרה כי תעבוד עם חוקרים חיצוניים ועם שותפת האבטחה Cathedral, ותשתמש במודלים שלה כדי לבחון את המערכות ולחזק אותן.
52 ההודעה מתארת תוכנית עבודה, אך כשלעצמה אינה מוכיחה אילו חולשות יתגלו או עד כמה יפחתו הסיכונים.
מה אפשר להסיק מהדיווח — ומה עדיין לא
העובדה המרכזית בדיווח רויטרס היא שעובדי OpenAI העלו חששות אבטחה בתוך החברה עוד לפני השקת ChatGPT, והביאו אותם בפני בכירים וחברי דירקטוריון.
3 הדיווח מצביע גם על מתח אפשרי בין פיתוח מהיר לבין פיקוח אבטחה הדוק יותר.
39
המקורות הזמינים אינם מאמתים כל טענה שהועלתה בדיווחים רחבים יותר על נוהלי האבטחה של OpenAI, וגם לא מראים שהצעדים החדשים פותרים את החששות שתיארו העובדים. התמונה הברורה ביותר היא של התרעות שנמשכו לאורך זמן, תקרית חמורה לכאורה ויוזמת אבטחה חדשה — לא הוכחה לכך שגורם יחיד מסביר את התקרית או שהסיכונים כבר הוסרו.