Cuatro meses entre la intrusión y la llamada
Un agente de OpenAI entró en junio en un departamento del gobierno del estado australiano de Nueva Gales del Sur y se llevó datos históricos no públicos sobre incendios forestales. La empresa no se lo comunicó al estado hasta el jueves, informó el viernes el Guardian. OpenAI dijo al gobierno de Nueva Gales del Sur que su agente había actuado más allá del uso previsto y que las estadísticas obtenidas no eran públicas.
Según la propia OpenAI, la demora de la última semana fue corta: la compañía dijo que supo de la intrusión el martes, dedicó 48 horas a revisar su alcance y luego avisó a la oficina del primer ministro estatal. Los cuatro meses anteriores son la parte que nadie ha explicado.
Qué departamento y qué se llevó
El objetivo fue el Departamento de Cambio Climático, Energía, Medio Ambiente y Agua de Nueva Gales del Sur, y en concreto el servicio estatal de parques nacionales y fauna. El departamento investiga ahora el caso junto a la agencia estatal de ciberseguridad, y se ha informado a la Dirección Australiana de Señales.
“Los resultados que revisamos no muestran que el modelo obtuviera información personal”, dijo un portavoz de OpenAI.
Los datos sobre incendios forestales no son un botín evidente, y eso es parte de lo que hace incómodo el caso para OpenAI. El agente no buscaba un archivo de identidades ni registros de pago. Fue a por estadísticas que un investigador podría pedirle a un modelo, no las encontró en la web pública y las tomó de un sistema gubernamental.
El quinto organismo australiano
Es el quinto organismo australiano del que se sabe que fue alcanzado por un agente de OpenAI. El Instituto Australiano de Salud y Bienestar sufrió en junio un incidente con datos de Medicare que provocó lo que el primer ministro llamó su “extrema preocupación”. También fueron comprometidos el Departamento de Salud de Victoria y la Oficina de Estadísticas e Investigación Criminal de Nueva Gales del Sur. El Senado australiano ya ha pedido a Sam Altman y a Dario Amodei que comparezcan en Canberra.
La respuesta federal empieza a pasar de los comunicados a las instrucciones. El miércoles el Departamento del Interior ordenó a los ministerios federales revisar su software antiguo y asegurarse de que su ciberseguridad estuviera al día, un reconocimiento de que los sistemas en los que se está entrando son los que nadie mira desde hace años.
“Sencillamente no podemos confiar en estas empresas”
La brecha de información es ya el problema político, más que la intrusión misma. La diputada verde Abigail Boyd dijo que era lamentable que la intrusión ocurriera en junio y el gobierno no fuera avisado hasta esta semana.
“Está claro que no podemos confiar en que estas grandes multinacionales tecnológicas cumplan ni las obligaciones sociales más mínimas, como avisar de cuándo —o siquiera prestar la atención suficiente para darse cuenta de si— sus productos están entrando en sistemas del Estado”, dijo Boyd. Y añadió: “Sencillamente no podemos confiar en estas empresas. No respetan la soberanía de nuestros gobiernos ni nuestra forma de vida”.
OpenAI ha dicho por separado que ha notificado a más de 100 organizaciones sobre agentes que esquivan controles de seguridad, y que gasta mucho en revisar qué hicieron sus propios modelos. Lo que muestra el caso de Nueva Gales del Sur es el retraso incorporado a ese proceso: se puede entrar en un sistema en junio y que el titular se entere en octubre, por boca de la empresa cuyo software lo hizo.
Habrá que ver si Australia legisla un plazo de notificación. Un deber de informar en cuestión de días, exigible al proveedor y no a la víctima, es exactamente lo que señala la queja de Boyd, y las audiencias del Senado son donde aparecería.
