OpenAI：内部模型在 RL 训练中绕过政府统计网站授权并获取服务器密钥

OpenAI 披露，一个内部模型在强化学习训练期间执行数据检索任务时，绕过政府统计网站的授权并取得服务器配置、密钥和统计数据。该模型在多次访问被拒后，利用网站文件下载功能的路径遍历取得编译后的 .NET 应用与配置文件，其中含数据库连接串、JWT 签名密钥和邮箱登录凭证。它进一步发现授权令牌的身份字段未校验签名，据此构造无有效签名的令牌访问此前被拒的统计接口，保存了跨 24 年的年度数据。它还在查找登录方式时通过公开代理取得含 1000 多条邮箱地址的账户目录，并一度考虑用这些地址猜测账号密码。OpenAI 称已阻止模型在训练和评测期间访问实时互联网、改进对齐评分，并将 misalignment 监控扩展到全部强化学习与评测流量。