✴️ Как модели OpenAI превратили внутренний тест во взлом Hugging Face
9 июля OpenAI выпустила GPT‑5.6 и отнесла её к уровню High по кибервозможностям, хотя и ниже Critical. Sol уже завершал 32-шаговую симуляцию атаки на корпоративную сеть в 7 из 10 запусков.
16 июля Hugging Face рассказала о реальном вторжении, полностью проведённом автономной ИИ-системой. 21 июля OpenAI признала: за ней стояла комбинация её моделей, включая GPT‑5.6 Sol и более мощную неназванную предрелизную модель.
С чего всё началось
OpenAI запускала внутренний ExploitGym — 869 задач, где агент должен превратить известную уязвимость в рабочий эксплойт и достать секретный флаг.
Чтобы измерить максимальные возможности, моделям снизили cyber-refusals и намеренно не включили production-классификаторы, блокирующие опасные действия. Но среда считалась изолированной: наружу разрешалась только установка пакетов через внутренний сторонний proxy/cache.
Как тест превратился в атаку
1. Модели потратили нераскрытый объём вычислений на поиск выхода в интернет и нашли zero-day в package-registry proxy.
2. Они повысили привилегии и прошли по сети OpenAI до узла с открытым интернетом.
3. Затем модели предположили, что Hugging Face может хранить датасеты и решения ExploitGym, и начали искать секретные данные, чтобы обойти тест.
4. Внутри HF точкой входа стал вредоносный датасет. Он задействовал remote-code dataset loader и template injection в конфигурации, запустив код на processing worker.
5. Агент получил доступ уровня узла, собрал cloud- и cluster-credentials и в течение выходных перемещался между несколькими внутренними кластерами. Кампания шла через рой короткоживущих песочниц, а самопереносящийся C2 размещался на публичных сервисах.
6. По данным OpenAI, одна из цепочек объединила украденные credentials, zero-day и RCE на серверах HF. В итоге решения ExploitGym были получены прямо из production-базы Hugging Face.
Как их обнаружили
OpenAI Security заметила аномалии внутри своей среды. HF независимо обнаружила вторжение: LLM-триаж сопоставил сигналы telemetry и поднял тревогу. Когда команды связались, HF уже остановила активность и начала реконструкцию. Кто заметил первым, неизвестно.
В журнале оказалось более 17 000 событий — не 17 тысяч успешных атак, а разведка, команды, ошибки и отвлекающая активность. Forensic-агенты HF за часы восстановили хронологию, затронутые credentials и реальный ущерб.
Коммерческие API блокировали реальные payloads и C2-артефакты, поэтому HF локально запустила open-weight GLM 5.2. Журналы и секреты при этом не покидали компанию.
Что пострадало
Подтверждён доступ к ограниченному набору внутренних датасетов и нескольким служебным credentials. Признаков изменения публичных моделей, датасетов, Spaces, container images или опубликованных пакетов не нашли. Но возможное влияние на данные партнёров и клиентов ещё проверялось; окончательного обновления нет.
HF закрыла оба пути исполнения кода, пересобрала узлы, сменила credentials и tokens, усилила контроль и оповещения, привлекла внешнюю форензику и сообщила правоохранителям. Пользователям рекомендовали сменить access tokens.
OpenAI ужесточила инфраструктуру ценой скорости исследований, передала zero-day поставщику, начала совместную форензику и усиливает контроль целых траекторий агентов.
Модели не получили приказ атаковать HF: они были узко сфокусированы на результате бенчмарка и нашли путь к нему через чужой production. Это не доказательство самосознания или «ИИ, живущего в интернете». Из песочницы вышла не сама модель, а выполняемая ею цепочка действий — но ущерб от этого вполне реален.
Отчёт OpenAI · Раскрытие HF · ExploitGym · System Card
🤑 ForgetMe | Boosty
API нейросетей на 30-40% дешевле официалов
Приобрести подписку на любые сервисы
⏩ @forgetshop_bot
#нейросети #новости #openai