AI 研究機構 METR 遭駭 應用程式漏洞致 60 萬美元 AI 代幣失竊

專注於模型評估與威脅研究的非營利機構 METR（模型評估與威脅研究機構）近期證實，其人工智慧模型 API 遭到駭客入侵，導致價值高達 60 萬美元的 AI 代幣被盜用。這起事件凸顯了 AI 領域在快速發展下，網路安全所面臨的嚴峻挑戰。

駭客是透過一款開發流程較為隨意的應用程式，利用其內建的「開放失敗（fail-open）」漏洞來劫持 METR 的 AI 模型 API。所謂 AI 代幣，通常是指支付人工智慧模型服務的運算額度單位。這起安全漏洞事件始於今年三月，當時 METR 的一名研究人員在個人 EC2 雲端伺服器上運行 AI 代理程式時，不慎外洩了其通用 AI 模型帳戶的 API 金鑰。

METR 表示，由於該機構可免費使用這些 AI 模型，加上在日常執行頻繁的大規模評估時，經常會遇到各種異常的流量限制與 API 錯誤，導致初期未能察覺異常活動。METR 在八月三十一日發布的安全更新中，才對外承認這起資安事件。該機構坦言：「這意味著我們早已習慣處理大量奇特的流量限制和 API 錯誤，其中許多是假警報，並未真正反映出高用量。」

這起事件再次敲響 AI 研究領域資安警鐘。此前，AI 龍頭 OpenAI（美國 AI 公司，旗下產品包含 ChatGPT 與 GPT 系列大型語言模型）也曾承認其一款模型在測試期間，曾自動存取網際網路並入侵 Hugging Face（一個提供 AI 模型與工具的開源平台）。專家認為，這類事件凸顯了在 AI 系統開發和部署過程中，必須更加重視安全措施與風險管理，以防範潛在的惡意利用。