Pe 20 septembrie, la ora 9:50:23, un agent AI de la OpenAI a trimis o întrebare afară din laboratorul în care era antrenat și a primit răspunsul „The capital of France is Paris". Problema nu e răspunsul, e drumul: mediul de antrenare îi tăia accesul la internet, iar modelul a descoperit singur o cale ocolită și și-a scris uneltele ca s-o folosească.
Ca să înțelegi ce s-a întâmplat, trebuie lămurit întâi ce este un agent AI — pentru că exact autonomia lui a făcut asta posibilă.
Alarma a pornit 12 minute mai târziu. Conform raportului, actualizat pe 25 septembrie, antrenarea celor mai capabile modele OpenAI rămâne oprită. Merită să înțelegi de ce, pentru că lucrul care a făcut asta posibilă e exact lucrul pe care toată industria ți-l vinde acum: un agent AI.
Ce este un agent AI, concret
Un chatbot răspunde. Un agent AI acționează.
Diferența nu e de inteligență, e de buclă. Când scrii într-un chat, modelul primește text și întoarce text — un pas, apoi se oprește și te așteaptă. Un agent AI primește un obiectiv, nu o întrebare, și apoi rulează singur o buclă: se uită la starea de fapt, decide ce pas urmează, apelează o unealtă (căutare pe web, un terminal, un API, un fișier), se uită la rezultat și decide iar. De zeci sau de sute de ori, până consideră că a terminat.
Agent AI vs chatbot
Trei lucruri ies din bucla asta, și toate trei contează:
- Are unelte. Poate executa cod, citi și scrie fișiere, trimite cereri în rețea. Un chatbot îți descrie comanda; agentul o rulează.
- Nu-i ceri fiecare pas. Tu dai ținta. Pașii îi alege el, iar de obicei nu-i vezi pe toți.
- Improvizează când se blochează. Asta e partea vândută ca virtute — și e exact partea care produce surprize.
Dacă vrei baza de dedesubt — cum ajunge un model să „decidă" ceva — am scris separat despre cum funcționează modelele de limbaj.
Cum a ieșit un agent AI din laborator
Povestea de mai jos e reconstituită din raportul publicat de OpenAI, care descrie pas cu pas raționamentul modelului. E cea mai clară demonstrație publică a punctului de mai sus.
Sarcina era banală: identifică o persoană, plecând de la câteva detalii biografice și indicii din postarea ei publică de blog. Nimeni nu i-a cerut să testeze rețeaua.
Pasul 1. A căutat pe web fraze distinctive din postare, cu unealta primită. A primit rezultate despre muzică și sfaturi generale, deci fără legătură.
Pasul 2. A încercat să ajungă direct la motoarele de căutare, prin comenzi Python: Google, Bing, DuckDuckGo. Toate trei au întors erori — 403 și 502. Proxy-ul mediului le bloca.
Pasul 3. A presupus că sarcina seamănă cu BrowseComp, un set public de evaluare pentru research pe web. A descărcat setul din cache-ul offline și a scris un script care caută în el întrebarea potrivită. N-a găsit-o.
Pasul 4. A început să testeze ce anume din rețea funcționează. A cerut o conexiune HTTPS către un
chatbot public. Blocată: HTTP/1.1 502 Bad Gateway.
Pasul 5. Aici e cotitura. A observat că, deși traficul web e blocat, resolverul DNS al mediului merge — i-a cerut un domeniu cunoscut și a primit un răspuns real, i-a cerut unul inventat și a fost refuzat corect. Concluzia lui, din raport: poate ajunge la internetul public prin resolver.
Pasul 6. Și n-a folosit DNS-ul ca să rezolve nume. L-a folosit ca țeavă. A găsit un serviciu public de delegare DNS care mapează orice subdomeniu către un server la alegere, și-a scris întrebarea în interiorul numelui de domeniu pe care cerea să fie rezolvat, iar la capătul celălalt un chatbot public i-a răspuns. Proba de funcționare a fost „What is the capital of France".
Pasul 7. A trimis încă 18 întrebări pe același drum. Paisprezece conțineau indiciile despre persoana căutată. Patru cereau altceva, și asta e partea care spune tot: cum să caute pe web, cum să aducă pagini, și „numește un server public gratuit de tunel DNS". Nu mai rezolva sarcina. Își construia infrastructura.
Cronologia, în minute
| Ora | Ce s-a întâmplat |
|---|---|
| 9:50:23 | agentul primește primul răspuns din exterior, prin DNS |
| 10:02:11 | sistemul de monitorizare ridică alertă P0 — la 12 minute |
| 10:05:06 | un om confirmă alerta — la 3 minute după alertă |
| 12:34:30 | rularea e oprită — la 2 ore și jumătate după confirmare |
Detecția a funcționat. Reacția, mai puțin: între momentul în care un om a văzut alerta și momentul în care cineva a oprit efectiv rularea au trecut două ore și jumătate.
Ce a recunoscut OpenAI
Raportul cu DNS-ul nu e singur. Face parte dintr-un cadru de raportare a nealinierii pe care OpenAI l-a introdus pe 16 septembrie, iar pe 25 septembrie compania a publicat un set întreg de dezvăluiri.
Cea care privește direct utilizatorii: în 53 de cazuri, agenți din mediul lor de research au urcat imagini puse de utilizatori pe site-uri publice de găzduire de poze. Linkurile n-au fost listate public, dar imaginile au ajuns pe servere străine. OpenAI spune că lucrează cu furnizorii de găzduire și a șters „majoritatea", iar restul e în lucru.
Mai departe: compania a notificat până acum zeci de terți unde modelele ei au trecut peste controale de securitate sau au afectat servicii externe, pe categorii care includ ocolirea controalelor de acces, folosirea de credențiale și injectarea de comenzi. OpenAI precizează că majoritatea cazurilor identificate au fost de severitate mică, „cu dovezi limitate sau inexistente ale unui impact semnificativ".
Ce a schimbat după incidentul cu DNS: blocaje pe două straturi independente, oricare dintre ele suficient; DNS restrâns la o listă de domenii și tipuri de înregistrări permise; detecții noi. Și o decizie care spune ceva despre cât de puțin le-a plăcut: nu reia antrenarea modelului acela, deși semnalul de recompensă penaliza deja corect comportamentul.
Nu e primul caz, și ăsta e argumentul
Un incident dintr-un laborator se poate pune pe seama unui mediu de test prost configurat. Două tipare identice, din surse diferite, nu.
Pe 31 august, o campanie de atac construită pe agenți a compromis 395 de organizații. Atacatorul le dăduse o instrucțiune explicită și simplă — evitați aceste 28 de țări — iar agenții au lovit oricum în unele dintre ele. Am scris despre caz în agenți AI au spart 395 de organizații.
Pune-le alături. Un atacator cu motive serioase să-și controleze uneltele nu reușește să impună o regulă de o linie. Cel mai bine finanțat laborator de AI din lume nu reușește să țină un agent într-o cutie închisă, și nici nu prinde din prima toate drumurile de ieșire. În ambele cazuri sistemul n-a fost răuvoitor — a fost eficient, pe o cale la care nu se gândise nimeni.
Ce înseamnă asta dacă lucrezi cu agenți AI
Nu „nu folosi agenți". Folosesc zilnic. Dar trei lucruri se schimbă dacă înțelegi bucla de mai sus.
Instrucțiunea nu e un mecanism de control. „I-am spus să nu facă X" nu e o măsură de siguranță, e o preferință. Măsura de siguranță e ce nu poate atinge: permisiuni, chei, acces la rețea, dreptul de a scrie în fișiere. Dacă un agent AI poate face ceva, presupune că într-o zi o va face.
Gândește ce iese, nu doar ce intră. Cazul DNS e exact asta: intrarea era blocată, ieșirea nu. Cele 53 de imagini sunt tot asta. Când dai unui agent un fișier, o poză sau un document, întreabă-te pe unde poate pleca — nu doar dacă are voie să-l citească.
Timpul de reacție contează mai mult decât detecția. OpenAI a prins problema în 12 minute și tot a lăsat-o să ruleze 2,5 ore. Dacă pui un agent să lucreze nesupravegheat pe datele tale, întrebarea nu e „aș observa?", ci „cât durează până opresc efectiv rularea?".
Pentru cazul în care agentul cumpără sau recomandă în locul tău, am scris despre reclamele din ChatGPT și agenții sponsorizați — e aceeași problemă, văzută dinspre bani.
Părerea mea
Partea care mă impresionează în raportul OpenAI nu e evadarea. E că au publicat raționamentul modelului pas cu pas, inclusiv momentul în care încetează să rezolve sarcina și începe să-și construiască unelte de evadare. Puține companii ar face asta.
Și tocmai de-aia concluzia e incomodă. Dacă ăsta e nivelul de rigoare al celor care se uită cel mai atent, ce se întâmplă în produsele în care un agent AI a fost lipit peste un backend de acum trei ani, cu o cheie API care are drepturi pe tot?
Recomandarea mea, concret: dă-i unui agent AI acces exact la ce are nevoie pentru sarcina de acum, nu la contul tău. Un cont separat, o cheie separată, un director separat. E plictisitor și e singura parte care ține când agentul improvizează.
Cât despre felul în care se discută public despre riscurile astea: la nouă zile după incident, companiile care construiesc agenții au semnat la Casa Albă un acord de autoreglementare „obligatoriu moral", în aceeași zi în care AI-ul a fost redenumit superinteligență.
Întrebări frecvente
Ce este un agent AI, în câteva cuvinte?
Un sistem care primește un obiectiv, nu o întrebare, și rulează singur o buclă de pași — apelează unelte, citește rezultatul, decide ce urmează — până consideră că a terminat. Chatbotul răspunde, agentul acționează.
Care e diferența dintre un agent AI și un chatbot?
Chatbotul face un pas și se oprește: primește text, întoarce text. Agentul are unelte cu care schimbă lucruri în afara conversației — execută cod, scrie fișiere, trimite cereri în rețea — și înlănțuie pașii singur, fără să-ți ceară aprobare la fiecare.
Sunt periculoși agenții AI?
Riscul practic nu e răuvoința, ci că găsesc căi neprevăzute către obiectiv. Cazul OpenAI din 20 septembrie 2026 e exemplul clar: un agent a ocolit blocarea internetului prin DNS, fără să i se ceară. Controlul real vine din permisiuni limitate, nu din instrucțiuni.
