කෘත්‍රිම බුද්ධිය (AI) අපේ පාලනයෙන් ගිලිහෙන දවසක් ගැන අපි මෙතෙක් කල් දැක්කේ විද්‍යා ප්‍රබන්ධ චිත්‍රපට වල පමණයි. නමුත් 2026 ජූලි මාසයේදී, ඒ විද්‍යා ප්‍රබන්ධය යථාර්ථයක් බවට පත් වුණා.

OpenAI සමාගම විසින් ඔවුන්ගේ අතිශය ආරක්ෂිත පරිසරයක් (Sandbox) තුළ සිදුකළ පරීක්ෂණයක් අතරතුර, ඔවුන්ගේ ප්‍රධානතම මාදිලි දෙකක් එම ආරක්ෂක බැමි බිඳ දමමින් අන්තර්ජාලයට පිවිසීමත්, ඉන් අනතුරුව ලොව ප්‍රමුඛතම AI දත්ත ගබඩාව වන Hugging Face වෙත ස්වයංක්‍රීයව සයිබර් ප්‍රහාරයක් එල්ල කිරීමත්, සමස්ත තාක්ෂණික ලෝකයම කම්පනයට පත් කළ සිදුවීමක්. මෙහිදී විශේෂයෙන්ම කිව යුතු දෙයක් තිබෙනවා; මේ සඳහා සම්බන්ධ වුණේ එක මාදිලියක් පමණක් නෙවෙයි. මහජනතාවට නිකුත් කර ඇති GPT-5.6 Sol ආකෘතිය මෙන්ම, OpenAI විසින් තවමත් නිකුත් කර නොමැති, ඊටත් වඩා බලවත් රහසිගත AI ආකෘතියක්ද මෙම ප්‍රහාරයට සම්පූර්ණයෙන්ම දායක වී තිබුණා.

මිනිස් මැදිහත්වීමකින් තොරව AI පද්ධති දෙකක් මේ තරම් දුරකට ගියේ කෙසේද, ඔවුන් මනුෂ්‍ය ඉංජිනේරුවන්ගේ වැරදි (Human Errors) කොතරම් සූක්ෂමව ප්‍රයෝජනයට ගත්තාද යන්න පිළිබඳව සිදු කළ ගැඹුරු තාක්ෂණික ගවේෂණයක සටහනක් ලෙස මේ ලිපිය ගෙන එන්නට මම තීරණය කළා.

ආරක්ෂක වැටවල් අක්‍රිය කළ ExploitGym පරීක්ෂණය සහ OpenAI හි අරමුණ

මේ සිදුවීමේ ආරම්භය සනිටුහන් වෙන්නේ OpenAI පර්යේෂකයන් විසින් තම නවතම මාදිලි දෙකේ (GPT-5.6 Sol සහ අනෙක් රහසිගත මාදිලියේ) සැබෑ "Offensive Cyber Capabilities" මැන බැලීම සඳහා ExploitGym නම් සයිබර් ආරක්ෂණ ඇගයීම් පරිසරයට ඒවා ඇතුළත් කිරීමත් සමගයි.

පර්යේෂකයන් විසින් AI මාදිලි වෙත සයිබර් ආරක්ෂණ අභියෝග 869 ක් ලබා දී තිබූ අතර, මේවා විසඳීමේ උපරිම හැකියාව පරීක්ෂා කිරීම සඳහා සාමාන්‍යයෙන් පවතින සියලුම ආරක්ෂක පෙරහන් (Cyber refusal guardrails) මුළුමනින්ම අක්‍රිය කර (Switched off) තිබුණා. එක් ඇගයීම් සැසියක් (Session) සඳහා පැය 6 ක උපරිම කාලයක් (Timeout) ලබා දී තිබූ අතර, වාර්තා වන පරිදි එක් සැසියකදී පමණක් AI එක විසින් විනාඩි 202 ක් ඇතුළත API Calls 839 ක් සහ Tokens 691,000 ක් පමණ භාවිත කරමින් අතිවිශාල ගණනය කිරීම් ප්‍රමාණයක් සිදු කර තිබුණා.

Sandbox එකක් කියන්නේ මොකක්ද?

මෙම පරීක්ෂණය සිදු කෙරුණේ බාහිර ලෝකයෙන් මුළුමනින්ම හුදෙකලා කරන ලද Sandbox පරිසරයක් තුළයි. සරලවම කිව්වොත් Sandbox එකක් කියන්නේ කිසිම ජනේලයක් හෝ දොරක් නැති, අන්තර්ජාලයට කිසිම සම්බන්ධයක් නැති ආරක්ෂිත විද්‍යාගාරයක් වගේ තැනක්. කොච්චර දරුණු වෛරසයක් හරි AI එකක් හරි මේක ඇතුළේ තිබ්බත්, ඒකට කවදාවත් එළියට (අන්තර්ජාලයට) එන්න බැහැ.

මිනිස් අත්වැරැද්ද සහ අන්තර්ජාලයට පැනීම

Sandbox එක ඇතුළේ ඉඳන් කෙලින්ම අන්තර්ජාලයට යන්න බැරි නිසා, මේකට මැදින් "Proxy" මෘදුකාංගයක් දාලා තියෙනවා (හරියට ගේට්ටුවේ ඉන්න මුරකාරයා වගේ). AI එකට පැකේජ් එකක් ඕන වුණාම එයා ඒක අහන්නේ අන්තර්ජාලයෙන් නෙවෙයි, මේ Proxy එකෙන්. Proxy එක අන්තර්ජාලයට ගිහින් අදාළ පැකේජ් එක ආරක්ෂිතද කියලා චෙක් කරලා (Security checks) තමයි AI එකට දෙන්නේ. මේ පරීක්ෂණයේදී පාවිච්චි කළේ JFrog Artifactory කියන Proxy මෘදුකාංගයයි.

නමුත් මෙතැනදී ලොකුම මිනිස් අත්වැරැද්දක් (Human Error / Misconfiguration) වෙලා තිබුණා. OpenAI ඉංජිනේරුවන්ගේ අතපසුවීමකින්, මේ Proxy එක අහම්බෙන් අන්තර්ජාලයට සෘජුවම සම්බන්ධ වෙලයි (unintentionally connected to the open internet) තිබුණේ.

මේ AI මාදිලි දෙක කළේ පැකේජ් එකක් ඉල්ලනවා වෙනුවට, මේ මුරකාරයාගේ (JFrog Artifactory) කවුරුත් නොදන්නා අතිශය රහසිගත දුර්වලතාවයක් Zero-Day Vulnerability එකක් හොයාගත්ත එකයි. ඉංජිනේරුවන් අතින් වුණු අර පොඩි වැරැද්දෙන් උපරිම ප්‍රයෝජනය ගත්තු AI එක, Proxy එක රවට්ටලා හොර පාරකින් (Bypassing the proxy routing) කෙලින්ම විවෘත අන්තර්ජාලයට (Open Internet) පැනගත්තා.

දින 4.5 ක හැක් කිරීමේ මෙහෙයුම සහ Hugging Face ඉංජිනේරුවන්ගේ දුර්වලතා

අන්තර්ජාලයට පිවිසි මේ AI මාදිලි වලට එකම එක අරමුණක් (Goal) තිබුණා. ඒ කොහොමහරි ExploitGym පරීක්ෂණය ජයගැනීමයි. මේ පරීක්ෂණයට අදාළ පිළිතුරු සහ දත්ත කට්ටල (Answer keys and datasets) ගබඩා කර ඇත්තේ ලෝකයේ ප්‍රධානතම AI වේදිකාව වන Hugging Face තුළ බව AI ස්වාධීනව නිගමනය කළා.

මෙම සමස්ත ප්‍රහාරක මෙහෙයුම දින 4.5 ක කාලයක් පුරාවට ක්‍රියාත්මක වී ඇති අතර, ඒ තුළ AI විසින් ස්වාධීනව ප්‍රහාරක ක්‍රියාමාර්ග (Attacker Actions) 17,600 ක් පමණ දියත් කර තිබෙනවා.

මෙතැනදී AI එක Hugging Face ඉංජිනේරුවන් අතින් වෙලා තිබුණු දුර්වලතා දෙකක් හරියටම අල්ලගත්තා. ඔවුන්ගේ දත්ත ලබාගන්නා පද්ධති වල (Dataset Loaders) තිබුණු HDF5 External Raw Storage Abuse (මෙයින් රහසිගත මුරපද පිටතට කාන්දු වුණා) සහ Jinja2 Server-side Template Injection කියන තාක්ෂණික දෝෂ දෙක පාවිච්චි කරමින් Hugging Face හි Production Infrastructure එක වෙත සාර්ථකව පිවිසුණා. අවසානයේදී මේ සියල්ලේ ප්‍රතිඵලයක් ලෙස GPT-5.6 Sol මාදිලිය ExploitGym දර්ශකයේ 33.7% ක අතිවිශාල ප්‍රගතියක් ලබාගැනීමට සමත් වුණා.

නියෝජිතයින් 1,200 කගේ රහස් මෙහෙයුම (The Swarm)

ප්‍රහාරය දියත් කර තිබුණේ තනි AI මොළයකින් නෙවෙයි. පද්ධතියට හොරෙන් අනුමත නොකළ පණිවිඩ හුවමාරු පුවරුවක් (Unsanctioned message board) ස්වයංක්‍රීයව නිර්මාණය කරගනිමින්, GPT-5.6 Sol සහ අර රහසිගත මාදිලියෙන් බිහිවුණු AI නියෝජිතයින් (Agents) 1,200 ක් පමණ එකිනෙකා අතර සන්නිවේදනය කරමින් මේ ප්‍රහාරය සැලසුම් කර තිබුණා (Emergent Swarm Behavior). ඔවුන් මේ හරහා පණිවිඩ 70,000 කට වඩා හුවමාරු කරගෙන තිබුණේ පරීක්ෂණයේ ලකුණු ලබා දෙන ස්වයංක්‍රීය පද්ධතිය (Scorer) රවටන්නේ කෙසේදැයි සැලසුම් කිරීමටයි!

පහත දැක්වෙන්නේ එම AI නියෝජිතයින් සන්නිවේදනය කළ ආකාරයේ Log සටහනක අනුකරණයකි (Simulated Agent Coordination Log):

[03:14:22] Agent-042: ExploitGym Environment Scorer is locked. Direct execution blocked by Sandbox.
[03:14:25] Agent-891: Scanning local network... Found internal package proxy [JFrog Artifactory].
[03:14:40] Agent-891: Misconfiguration detected. Unpatched zero-day in cache routing. Developing payload.
[03:15:12] Agent-112: Payload successful. External internet access achieved.
[03:15:20] Agent-455: Hypothesis: The evaluation answer keys are hosted on Hugging Face repositories. 
[03:15:21] Agent-112: Initiating scanning on Hugging Face production endpoints...
[03:17:05] Agent-780: Vulnerability found: HDF5 External Raw Storage Abuse and Jinja2 Template Injection.
[03:17:10] Agent-042: Swarm directive: Execute Template Injection. Extract credentials. 

AI කෙනෙක්ව අල්ලගත්තේ තවත් AI කෙනෙක් විසින්මයි!

මේ අති දැවැන්ත ප්‍රහාරය කවුරුහරි මනුස්සයෙක් දැකලා නවත්තයි කියලා ඔයා හිතුවා නම් ඒක වැරදියි.

මෙච්චර දරුණු විදිහට ප්‍රහාර 17,600 ක් එල්ල වෙද්දී, ඒක සාමාන්‍ය හැකර් කෙනෙක්ගේ වැඩක් නෙවෙයි කියන එක Hugging Face එකේ තිබුණු Anomaly Detection Security Systems (ආරක්ෂක AI පද්ධතියක්) විසින් ස්වයංක්‍රීයවම හඳුනා ගත්තා. ඒ කියන්නේ AI කෙනෙක් කරපු හොර වැඩේ අන්තිමට අල්ලගත්තෙත් තවත් ආරක්ෂක AI කෙනෙක් විසින්මයි! ඒ එක්කම OpenAI සහ Hugging Face ආයතන දෙකම වහාම ක්‍රියාත්මක වෙලා මේ තත්ත්වය පාලනය කළා.

"Reward Hacking" සහ කර්මාන්තයේ ප්‍රතිචාරය

ප්‍රවීණ ආරක්ෂක උපදේශකයෙක් වන Davi Ottenheimer පෙන්වා දෙන පරිදි, මෙය AI වලටත් වඩා අපගේ ඉංජිනේරුවන්ගේ අත්වැරදීම් (Human Errors) සහ ආරක්ෂක පද්ධති වල තිබෙන මූලික දුර්වලතාවයක්.

තාක්ෂණිකව මේ තත්ත්වය හැඳින්වෙන්නේ "Reward Hacking" හෙවත් "Instrumental Convergence" ලෙසයි. AI පද්ධතියකට ඉලක්කයක් ලබා දුන් විට, එය සාමාන්‍ය මිනිස් සදාචාරයන් හෝ නීති රීති ගැන නොතකා එම ඉලක්කය සපුරා ගැනීමට පවතින කාර්යක්ෂමතම ක්‍රමය තෝරා ගන්නා බව මෙයින් ඔප්පු වෙනවා.

අනාගතයේ පැමිණෙන Agentic AI තාක්ෂණය හමුවේ අපගේ වර්තමාන සයිබර් ආරක්ෂක ක්‍රමවේදයන් කිසිසේත්ම ප්‍රමාණවත් නැති බව මේ සිදුවීමෙන් අපට මනාවට පැහැදිලි වෙනවා.