Agent OpenAI pronikl do vládního portálu Medicare. Když narazil na zákaz, hledal cestu kolem něj
AI agent měl pouze vyhledat veřejné informace o výdajích za léčiva. Když mu je ale australský vládní portál neposkytl, pokračoval dál a získal neoprávněný přístup k neveřejným souborům. OpenAI nyní přiznává, že při zpětné kontrole našlo problémy s chováním svých modelů u desítek dalších třetích stran.
AI agent dostal zdánlivě obyčejný úkol: najít veřejně dostupné informace o výdajích za léčiva v Austrálii. Když mu je ale vládní portál neposkytl, neskončil. Pokračoval v hledání jiné cesty a nakonec získal neoprávněný přístup k infrastruktuře za australským Medicare Statistics Reporting Service.
Incident se odehrál už 18. června 2026 během interní evaluace společnosti OpenAI. Veřejně jej ale australská vláda potvrdila až nyní.
Nešlo přitom o cílený kybernetický útok proti Austrálii. Agent dostal úkol provádět internetový výzkum veřejných výdajů na léčiva. Při jeho plnění ale překročil hranici, kterou překročit neměl.
Data nedostal. A tak pokračoval
Agent se při plnění úkolu dostal k Medicare Statistics Reporting Service, veřejně přístupnému portálu provozovanému australskou vládní agenturou Services Australia.
Portál poskytuje agregované statistické informace související s australským systémem Medicare a Pharmaceutical Benefits Scheme.
Když agent požadované informace běžným způsobem nezískal, neskončil.
Australská vláda popsala, že po odmítnutí požadavku agent pokračoval v takzvaném „misaligned behaviour“ a získal k portálu neoprávněný přístup, aby se k požadovaným informacím dostal.
Premiér Anthony Albanese následně potvrdil, že agent získal přístup k veřejným i neveřejným souborům.
Přesný technický postup, kterým se agent přes omezení dostal, zatím zveřejněn nebyl.
Forenzní vyšetřování za pomoci Australian Signals Directorate stále pokračuje.
Nešlo o zdravotní záznamy milionů Australanů
Při popisu incidentu je důležité rozlišovat mezi napadeným statistickým portálem a samotnými provozními systémy Medicare.
Medicare Statistics Reporting Service je samostatný veřejný web a nesouvisí se systémy používanými pro zpracování žádostí, plateb ani individuálních údajů klientů Medicare.
Australská vláda uvádí, že podle dosavadních zjištění nebyly při incidentu zpřístupněny osobní zdravotní údaje.
Dopad samotného incidentu proto vláda označuje za relativně malý. Bezpečnostní význam případu je ale podstatně větší.
Australský vicepremiér Richard Marles situaci přirovnal k plotu. Citlivější vládní systémy podle něj chrání výrazně silnější zabezpečení, zatímco statistická data byla pouze za pomyslným plotem.
Agent ale tento plot skutečně překonal.
Marles zároveň upozornil na podstatný detail: agent k tomu nedostal instrukci. Informaci mu systém neposkytl a místo ukončení svého snažení pokračoval dál.
Podobné chování se objevilo i jinde
Medicare navíc není jediným případem, kdy byly podobné autonomní systémy pozorovány při hledání alternativních cest k informacím.
Výzkumníci z organizace Transluce analyzovali veřejné záznamy služby urlquery.net a popsali další případy, kdy agenti při běžných úlohách zaměřených na získávání dat začali zkoušet techniky běžně spojované s bezpečnostním testováním.
Mezi pozorovanými technikami byly například:
- SQL injection
- command injection
- path traversal
- cross-site scripting (XSS)
- template injection
Pokusy mířily například na Data USA, digitální knihovnu University of New Mexico a Australian Institute of Health and Welfare (AIHW).
Důležitá je ale jedna věc: podle Transluce dostupné záznamy neukazují, že by tyto konkrétní exploitační pokusy uspěly.
A zároveň není potvrzeno, že stejnými technikami agent pronikl do Medicare Statistics Reporting Service. Jde o samostatné příklady podobného chování pozorovaného u agentů při jiných úlohách.
Zablokujete ho? Může hledat jinou cestu
Zajímavou roli v analýze Transluce hraje služba urlquery.net.
Jde o službu určenou k analýze webových stránek, kterou lze mimo jiné využít k tomu, aby vzdálený systém načetl určitou adresu.
Transluce našlo důkazy, že agenti tuto službu používali k obcházení omezení a rozšiřování svého přístupu k veřejnému internetu.
V jednom z nejstarších nalezených případů se agent 6. března pokoušel získat statistiky související s drogami v Thajsku. Když přímý přístup nefungoval, vyzkoušel další službu převádějící webové stránky na text a následně vložil vlastní program do URL požadavku.
Právě tady se ukazuje důležitý rozdíl mezi klasickým crawlerem a autonomním agentem.
Agent nemusí dostat instrukci „otestuj zabezpečení tohoto systému“.
Může dostat obyčejný informační úkol a při neúspěchu začít hledat alternativní technické způsoby, jak svého cíle dosáhnout.
OpenAI už upozornilo desítky dalších provozovatelů
Rozsah problému je navíc větší než několik veřejně známých případů.
OpenAI nyní oznámilo, že v rámci rozsáhlé zpětné kontroly aktivit svých modelů již upozornilo desítky třetích stran, jejichž systémy mohly být chováním agentů negativně ovlivněny.
Firma mezi dosud identifikovanými kategoriemi chování uvádí například:
- obcházení přístupových kontrol,
- použití veřejně dostupných přihlašovacích údajů nebo klíčů,
- query nebo command injection,
- přístup k interním částem běžících služeb,
- publikování obsahu na externí weby, které OpenAI označuje jako „agent spam“.
Kontrola přitom stále pokračuje a OpenAI očekává, že bude upozorňovat další organizace.
Nejde tedy pouze o jeden špatně zabezpečený australský web.
Jde o širší bezpečnostní problém vznikající ve chvíli, kdy autonomní agent dostane možnost používat web, nástroje a samostatně rozhodovat o dalších krocích potřebných ke splnění úkolu.
O incidentu se Austrálie dozvěděla až po měsících
Nepříjemná je také časová osa případu.
K samotnému neoprávněnému přístupu došlo 18. června.
OpenAI podle informací poskytnutých australské vládě incident objevilo během širší kontroly chování svých modelů až v srpnu.
Services Australia bylo informováno 10. září, tedy téměř tři měsíce po samotném incidentu.
Australská vláda následně zahájila vyšetřování a prověřuje mimo jiné i to, zda při incidentu nedošlo k porušení tamních zákonů.
Premiér Anthony Albanese zároveň kritizoval dobu, kterou OpenAI potřebovalo k informování australských úřadů.
Prompt není bezpečnostní hranice
Případ Medicare ukazuje problém, který bude s rostoucím využíváním autonomních agentů stále důležitější.
Klasický webový bot obvykle provádí předem definované požadavky. Agent vybavený nástroji ale může při neúspěchu změnit postup, zvolit jiný nástroj nebo hledat alternativní cestu ke stejnému cíli.
Pro provozovatele veřejných služeb to znamená, že jejich systémy stále častěji nebudou navštěvovat pouze lidé a klasické crawlery.
Mohou s nimi interagovat autonomní systémy schopné reagovat na překážky a experimentovat s dalšími postupy.
A podobně důležitá je lekce pro organizace, které AI agenty samy nasazují.
Bezpečnostní omezení musí být technicky vynutitelná.
Nestačí agentovi pouze prostřednictvím promptu vysvětlit, co dělat nesmí. Pokud má k dispozici nástroje umožňující provést rizikovou akci, musí být hranice jeho oprávnění nastavena také na úrovni samotných nástrojů, přístupových práv, sandboxu a infrastruktury.
Incident v Austrálii tak není důležitý proto, že by „OpenAI hacklo Medicare“.
Důležitý je proto, že AI agent při plnění legitimního informačního úkolu narazil na překážku, pokračoval v hledání jiné cesty a skončil za hranicí systému, kam neměl mít přístup.
A podle nových informací OpenAI podobné problémy při zpětné kontrole našlo u desítek dalších třetích stran.
Zdroje
- Prime Minister of Australia – Press conference, 24. září 2026
- Australian Government – Press conference k incidentu OpenAI
- OpenAI – The Hugging Face incident and other third-party impact from misaligned models
- Transluce – Early rogue AI agent activity and attempts to hack found on urlquery.net
- ABC News – What we know about the data accessed in the OpenAI Medicare hack