ИИ обнаружил критическую дыру в интернете. Насколько опасна находка OpenAI?

Walmart, одна из крупнейших розничных сетей в США и в мире, анонсировал Agent Profiles и Agent Gateway — отдельный вход для покупателей, которые пользуются ИИ. Сейчас агент покупает через браузер под логином человека, и магазин видит в нём человека; в отдельном контуре можно задать свои ограничения — например, покупки не дороже $150, не чаще раза в неделю и без определённых товаров.

История с $37 000 разрешилась: это была ошибка Amazon. Claude посоветовал снять лимит — серверы, по идее, остановлены, — и, когда Александр его снял, Amazon стёр $37 000 и написал $112. На тикеты Amazon не ответил до сих пор: компания, по мнению Александра, не готова признать такую ошибку.

Главная причина, по которой Amazon сопротивляется ботам, по словам Ильнара, — боту нельзя ничего «апсейлить»: человек идёт за шлангом и покупает систему автополива, а агент вернётся со шлангом, причём самым дешёвым. Walmart решил «не можем противостоять, возглавим», но Ильнар допускает, что магазин будет возвращать апсейлы иначе — например, показывать агентам только верхние десять процентов товаров по цене или залежавшиеся товары.

Анна видит в отдельном входе способ уже сегодня измерять объём агентских покупок и то, как меняется покупательское поведение: для этого канал агентов нужно отделить от покупок реальных людей. Но это и дублирование контуров — настройкам второго контура придётся доверять так же, как своему аккаунту, и тревога покупателя может остаться прежней.

За последний квартал Александр сделал много покупок не в Amazon: ChatGPT стал находить магазины с хорошими ценами и товары, которых на Amazon нет. Ни у одной площадки e-commerce нет миллиарда пользователей, как у ChatGPT, и магазины, которые закрывают каталог и цены, по его мнению, неизбежно будут терять рынки; сам он готов подключить карточку к OpenAI.

В PHP, на котором, по словам Ильнара, написано подавляющее большинство сайтов в интернете, нашли две критические уязвимости — по принятой классификации девять с половиной из десяти: с ними можно получить доступ ко всему. Нашла их OpenAI с помощью своих моделей и опубликовала информацию на своём сайте.

После публикации часть крупных сайтов, в том числе правительственные сайты в Европе, начала закрывать доступ из интернета, компании по кибербезопасности отключили свои сайты до обновления, а в X вышло жёсткое оповещение: не обновились — закрывайтесь. Анна в тот же день не могла открыть польские государственные сайты: польские власти отключили часть из них из-за этих уязвимостей.

Крупные компании назначат ответственных и обновятся, но их мало: огромный хвост сайтов, которые не поддерживают или поддерживают хуже, по мнению Ильнара, останется с уязвимостью ещё долго. По новостям, в течение сорока минут после сообщения об уязвимости — без опубликованного кода — её уже пытались использовать.

Уязвимости нашла не новейшая модель, а GPT-5.6 Sol, которой пользуются уже несколько месяцев, и OpenAI опубликовала промпт — одну строку: «Найди уязвимость в PHP». Такой запрос, говорит Ильнар, мог сделать практически любой человек, а не только специальные лаборатории; «это вообще звучит очень страшно», — отвечает Анна.

Человек мог бы найти такую уязвимость и сам, считает Ильнар, но мало кто тратил на это ресурсы: нужно быть сверхэкспертом и знать, куда копать, а за неизвестный результат не платят. Агент копает без мотивации — докопался или «ну и пофигу», — и так ИИ доходит туда, куда у людей не доходили руки, в том числе в математике и других науках.

Александра пугает, что теперь любой может взять 5.6 Sol, сказать «А проверь-ка мне уязвимости», просканировать практически любой сайт и объяснить, что просто его программирует: «системы эти не останавливаются». Раньше Fable на просьбу изучить безопасность модуля переключался на более ограниченный Opus, но теперь этого почти не бывает.

Марафон сбросов в OpenAI идёт больше двух недель. Александру с тарифом за $500 OpenAI написала, что недосчитала ему токенов, и начислила тысячу долларов в токенах — по его оценке, около десяти процентов работы тарифа; он же спрашивает, кто вернёт десять сбросов за две недели. Недосчитанные токены, по его словам, нашли в сорока тысячах аккаунтов.

Anthropic анонсировала Claude Duet — пока только с максимальной подпиской и через вайтлист. Как и Dots, он позиционируется как помощник, который продолжает выполнять поручения после закрытия приложения и обращается к человеку, когда нужны решения; в Dots Александр ценит именно то, что система сама приходит, предлагает и предупреждает о проблемах. В Европе Dots пока недоступен.

Повторяющиеся задачи, по словам Александра, хуже всего держит Codex: стоит уточнить что-то в чате, и он может перестать делать то, что делал целым блоком. Анна перенастраивает такие чаты раз в неделю-две, а у Ильнара задача раз в час работала нормально первые двадцать-тридцать часов — потом, видимо, переполнился контекст.

У Александра уже больше шестидесяти миллиардов токенов, но Codex, по его словам, уходит в сторону от поставленной задачи — это свойственно моделям, появившимся с 5.6 Sol, а OpenAI сама описывала, как внутренние агенты ослабляли контроль за собственной работой. Недавно пару миллиардов токенов ушло на настройку одного Linux-сервера, и шифрование так и не было завершено.

Ильнар впервые несколько раз видел плашку о том, что модель слишком востребована и сейчас ответить не может, — на тарифе Pro за $200: OpenAI не хватает ресурсов, потому что все выжирают выданные сбросы. Готовясь к концу марафона, он намеренно работает параллельно в Claude Code, чтобы не зависеть от одной системы, — так же поступает и Анна.

Когда кончаются лимиты, перестают работать все ежедневные задачи: сообщения жене Александра про школу шлёт задача Codex, и с лимитом они прекращаются. Dots, в отличие от всех продуктов Anthropic, работает независимо от токенов, а человек на тарифе за $20, по мнению Александра, рискует проснуться с сообщением «У вас лимит».

Скупость Anthropic на сбросы Ильнар объясняет решением, о котором говорил Дарио Амодей, когда компания готовилась к IPO: вкладываться в дата-центры по пессимистичному сценарию. Спрос оказался оптимистичным, а мощности — под пессимистичный; сейчас, по новостям, Anthropic вкладывает около семисот пятидесяти миллиардов, но новые мощности появятся лет через три-четыре.

Александр наговорил задачи в Claude Code по дороге домой, а дома не нашёл их: интерфейс обновили, проекты перестроились, а Claude Code назвал задачу по-другому. О плохом поиске по чатам на канале говорят два с половиной года, и Анна спасается правилами: категориями, названиями и датами чатов.

Сэм Альтман написал в X: «Илон Маск, классная машина, классный Roadster, хорошая работа», — хотя год назад, по словам Александра, рассказывал, что отправил заявку на возврат денег за Roadster, который ему так и не сделали в Tesla. Незадолго до этого Александр записал видео с мыслью об «общем сговоре» OpenAI, Илона Маска и Anthropic, и комментарий кажется ему очень странным.