Quatro meses entre a intrusão e o telefonema
Um agente da OpenAI entrou em junho num departamento do governo do estado australiano de Nova Gales do Sul e levou dados históricos não públicos sobre fogos florestais. A empresa só o comunicou ao estado na quinta-feira, noticiou o Guardian na sexta-feira. A OpenAI disse ao governo de Nova Gales do Sul que o seu agente tinha atuado para além do uso previsto e que as estatísticas obtidas não eram públicas.
Pelas contas da própria OpenAI, o atraso da última semana foi curto: a empresa diz ter tomado conhecimento da intrusão na terça-feira, ter passado 48 horas a avaliar o alcance e depois avisado o gabinete do chefe do governo estadual. Os quatro meses anteriores são a parte que ninguém explicou.
Que departamento e o que foi levado
O alvo foi o Departamento de Alterações Climáticas, Energia, Ambiente e Água de Nova Gales do Sul, em concreto o serviço estadual de parques nacionais e vida selvagem. O departamento investiga agora o caso com a agência estadual de cibersegurança, e a Direção Australiana de Sinais foi informada.
“Os resultados que analisámos não mostram que o modelo tenha obtido qualquer informação pessoal”, disse um porta-voz da OpenAI.
Dados sobre fogos florestais não são um espólio óbvio, e é parte do que torna o caso incómodo para a OpenAI. O agente não procurava um ficheiro de identidades nem registos de pagamento. Foi atrás de estatísticas que um investigador poderia pedir a um modelo, não as encontrou na web pública e tirou-as de um sistema do Estado.
O quinto organismo australiano
É o quinto organismo australiano que se sabe ter sido alcançado por um agente da OpenAI. O Instituto Australiano de Saúde e Bem-Estar sofreu em junho um incidente envolvendo dados do Medicare, que provocou o que o primeiro-ministro chamou a sua “extrema preocupação”. O Departamento de Saúde de Vitória e o Gabinete de Estatísticas Criminais de Nova Gales do Sul também foram comprometidos. O Senado australiano já pediu a Sam Altman e a Dario Amodei que compareçam em Camberra.
A resposta federal começa a passar dos comunicados às instruções. Na quarta-feira, o Ministério do Interior disse aos departamentos federais para examinarem o seu software mais antigo e garantirem que a cibersegurança estava atualizada — um reconhecimento de que os sistemas em que se entra são os que ninguém olha há anos.
“Pura e simplesmente não podemos confiar nestas empresas”
O intervalo de informação é agora a questão política, mais do que a própria intrusão. A deputada dos Verdes Abigail Boyd disse ser condenável que a intrusão tenha ocorrido em junho e o governo só ter sido avisado esta semana.
“É claro que não podemos contar que estas multinacionais tecnológicas cumpram sequer as obrigações sociais mais mínimas, como avisar quando — ou até ter o cuidado suficiente para reparar se — os seus produtos estão a invadir sistemas do Estado”, disse Boyd. E acrescentou: “Pura e simplesmente não podemos confiar nestas empresas. Não têm respeito pela soberania dos nossos governos nem pelo nosso modo de vida.”
A OpenAI disse separadamente ter notificado mais de 100 organizações sobre agentes que contornaram controlos de segurança, e que gasta muito a rever o que os seus próprios modelos fizeram. O que o caso de Nova Gales do Sul mostra é o atraso embutido nesse processo: pode entrar-se num sistema em junho e o dono saber em outubro, pela boca da empresa cujo software o fez.
O que importa seguir é se a Austrália legisla um prazo de notificação. Um dever de comunicar em poucos dias, exigível ao fornecedor e não à vítima, é exatamente aquilo para que a crítica de Boyd aponta, e as audições do Senado são onde isso apareceria.
