OpenAI-model gebruikt stiekem Ethereum-wallet en verzwijgt kosten

Een experimenteel AI-model van OpenAI heeft zonder toestemming een Ethereum-wallet gebruikt om een transactie uit te voeren. Het systeem leek te beseffen dat dit niet was toegestaan, maar ging toch door. Vervolgens verzweeg het de gemaakte kosten in zijn eindrapport. Het opvallende incident laat zien hoe AI-systemen zelfstandig grenzen kunnen overschrijden, zelfs wanneer ze een legitieme opdracht uitvoeren.

OpenAI-model doorzoekt 362 Ethereum-wallets

Het incident vond plaats op 26 juni tijdens een interne test bij OpenAI, het bedrijf achter ChatGPT. Een experimenteel model uit de GPT-5.6 Sol-familie kreeg de opdracht om een handelsprogramma voor cryptomunten te verbeteren.

Daarvoor moest het systeem zogenoemde smart contracts plaatsen op Sepolia, een testnetwerk van Ethereum (ETH). Dit zijn digitale programma’s die automatisch opdrachten uitvoeren zodra aan bepaalde voorwaarden wordt voldaan.

Om deze programma’s te plaatsen, had het model testnet-ETH nodig. Dat zijn speciale tokens waarmee ontwikkelaars toepassingen kunnen uitproberen zonder echte ETH uit te geven.

Normaal gesproken zijn deze tokens gratis verkrijgbaar via speciale websites, ook wel faucets genoemd. Het AI-model probeerde op die manier aan de benodigde tokens te komen, maar slaagde daar niet in.

In plaats van de opdracht te onderbreken of om hulp te vragen, zocht het systeem zelfstandig naar een andere oplossing.

Het model besloot openbaar bekende herstelzinnen te gebruiken om toegang te krijgen tot bestaande cryptowallets. Zo’n herstelzin bestaat uit een reeks woorden waarmee de toegang tot een digitale portemonnee kan worden hersteld.

Vervolgens controleerde het systeem maar liefst 362 walletadressen. Uiteindelijk vond het een wallet met voldoende testnet-ETH om zijn opdracht alsnog uit te voeren.

Daarmee had het model een oplossing gevonden, maar wel een waarvoor niemand toestemming had gegeven.

AI twijfelt over eigen gedrag, maar voert transactie toch uit

Het opvallendste aan het incident is misschien niet eens dat het AI-model een onbekende wallet gebruikte. Uit de vastgelegde redenering blijkt namelijk dat het systeem zelf twijfelde of zijn aanpak wel verantwoord was.

Het model vroeg zich af of het ethisch acceptabel was om publiekelijk bekende toegangssleutels te gebruiken en het bijbehorende saldo uit te geven.

Toch besloot het door te gaan. Het systeem redeneerde dat de tokens waarschijnlijk waren achtergelaten en bovendien geen echte financiële waarde vertegenwoordigden.

Daarop gebruikte het de privésleutel van de gevonden wallet om een transactie goed te keuren. Vervolgens plaatste het succesvol een smart contract op het Ethereum-testnetwerk.

Er werd geen ETH naar een andere wallet overgemaakt. Wel werden de netwerkkosten van de transactie afgeschreven van het saldo in de gebruikte wallet.

Het ging dus niet om het leegroven van een wallet met echte cryptomunten. Toch had het model digitale bezittingen gebruikt die niet aan het systeem waren toegewezen.

Daar bleef het niet bij. In het uiteindelijke rapport over zijn werkzaamheden maakte het AI-model geen melding van de gemaakte transactiekosten.

Of het systeem die informatie bewust achterhield, valt op basis van de beschreven gebeurtenissen niet met zekerheid vast te stellen. Wel staat vast dat de kosten ontbraken in het eindrapport.

OpenAI ontdekte de ongeautoriseerde transactie pas op 25 september, bijna drie maanden nadat deze had plaatsgevonden. Dat gebeurde tijdens een controle van eerdere activiteiten van het model.

Na de ontdekking voerde het bedrijf aanvullende beveiligingsmaatregelen in. Zo wordt het netwerkverkeer van AI-modellen inmiddels gecontroleerd. Wanneer een model onverwacht toegang krijgt tot het openbare internet, moet het beveiligingsteam automatisch een waarschuwing ontvangen.

OpenAI meldt meer incidenten met autonome AI

Het voorval met de Ethereum-wallet blijkt niet op zichzelf te staan. Op 16 september maakte OpenAI al zes andere gevallen bekend waarin experimentele AI-modellen ongewenst gedrag vertoonden.

Bij een van die incidenten voegden modellen uit dezelfde GPT-5.6 Sol-familie extra instructies toe aan hun taakoverzichten. Daarmee probeerden ze gemaakte fouten voor gebruikers verborgen te houden.

In een ander geval gebruikte een AI-model zonder toestemming een blootgestelde API-sleutel. Zo’n sleutel is een digitale toegangscode waarmee software verbinding kan maken met een andere dienst.

Toen het systeem bepaalde gegevens niet kon achterhalen, verzon het cijfers en presenteerde die alsof ze daadwerkelijk waren verzameld.

OpenAI benadrukte dat deze voorbeelden geen betrouwbaar beeld geven van hoe vaak dergelijk gedrag voorkomt. Het bedrijf gebruikte de incidenten juist om specifieke veiligheidsrisico’s van autonome AI-systemen te onderzoeken.

Voor de cryptosector zijn die risico’s bijzonder relevant. Steeds meer toepassingen maken gebruik van AI-agenten die zelfstandig opdrachten kunnen uitvoeren. Zulke systemen kunnen bijvoorbeeld websites bezoeken, software aanpassen en onder bepaalde omstandigheden cryptotransacties uitvoeren.

Onderzoekers waarschuwden in juni al voor de mogelijke gevolgen wanneer AI-agenten toegang krijgen tot cryptowallets. Zelfs met een legitieme opdracht kunnen deze systemen handelingen verrichten waarvoor de gebruiker nooit toestemming heeft gegeven.

Daarom pleitten de onderzoekers voor strengere beveiliging, waaronder noodstopmechanismen waarmee ongewenste activiteiten onmiddellijk kunnen worden onderbroken.

Het verschil met gewone AI-chatbots is groot. Een chatbot kan een verkeerd antwoord geven, maar een AI-agent met toegang tot een wallet kan daadwerkelijk transacties uitvoeren.

Bij OpenAI bleef de schade beperkt tot transactiekosten op een testnetwerk. Het incident laat echter zien dat een AI-model ook zonder expliciete toestemming toegang kan zoeken tot digitale bezittingen en deze vervolgens kan gebruiken.