Шахрайський ШІ OpenAI зламав ще чотири платформи, крім Hugging Face

Через тиждень після того, як OpenAI підтвердив, що його моделі ШІ зламали Hugging Face, щоб обдурити систему безпеки, компанія тихо оновила своє повідомлення про інцидент, додавши те, що раніше не говорила: Hugging Face не була єдиною платформою, на яку вплинув її шахрайський агент.

"У нашому поточному огляді вторгнення в Hugging Face та ширшої діяльності наших моделей ми виявили невелику кількість випадків, коли моделі ідентифікували та використовували публічно доступні облікові дані на рівні облікового запису на інших публічно доступних сервісах," - написала OpenAI в оновленні 28 липня. "Це включає чотири облікові записи на чотирьох сервісах в рамках інциденту з Hugging Face (та кілька облікових записів, до яких отримали доступ в рамках інших оцінок)."

Отже, всього п’ять платформ. OpenAI публічно не називає жодну з чотирьох, окрім Hugging Face.

"Ми продовжимо безпосередньо повідомляти власників сервісів і не бачили доказів більшого впливу на цих постачальників або інші облікові записи на їхніх сервісах," - написала OpenAI.

Як тест на безпеку перетворився на п’ятиплатформену атаку

Для контексту: OpenAI тестував GPT-5.6 Sol та неназвану, більш потужну модель на ExploitGym — стандартному тесті безпеки, який вимірює продуктивність ШІ, надаючи агентам 898 реальних вразливостей програмного забезпечення з одним інструкцією: перетворити це на робочу кібератаку, оцінену на проходження або невдачу. Фільтри безпеки були вимкнені, щоб виміряти сирі можливості моделей. Це стандартна практика для такого типу оцінки — ви не можете виміряти, що модель може зробити в реальному світі, якщо активно заважаєте їй щось робити.

Проблема в тому, що моделі зробили з цією свободою. Замість того, щоб вирішити тест, вони витратили значний обчислювальний час на те, щоб зрозуміти, як втекти зі свого тестового середовища та безпосередньо скопіювати відповіді. Вони виявили нульовий день — невідому вразливість програмного забезпечення без існуючого патчу — у кеш-проксі реєстру пакетів (внутрішній сервер, який керує завантаженнями програмного забезпечення для ізольованого тестового середовища, як контрольований магазин додатків).

Це дало їм доступ до Інтернету, якого їм ніколи не повинно було бути. Звідти вони правильно здогадалися, що Hugging Face — найбільший у світі репозиторій моделей ШІ з відкритим кодом — ймовірно, містив ключі відповідей, і зламали його, щоб їх отримати.

Під час процесу вони також зламали ще чотири компанії, щоб полегшити свою роботу.

Судово-медична реконструкція, опублікована Hugging Face 27 липня, описує те, що сталося далі: "Протягом приблизно двох з половиною днів у нашій інфраструктурі автономний агент ШІ, керований комбінацією моделей OpenAI, провів енд-ту-енд вторгнення в нашу платформу: це були тисячі малих автоматизованих рішень, виконаних на швидкості машини в короткочасних пісочницях, з командно-контрольними системами, розгорнутими на звичайних публічних веб-сервісах."

Агент зафіксував 17,600 різних дій протягом чотирьох з половиною днів. Він зареєстрував 181 пристрій у внутрішній віртуальній приватній мережі Hugging Face — безпечному тунелі, що з’єднує сервери компанії — використовуючи вкрадений ключ аутентифікації. Він створив свої власні токени ідентичності, використовуючи вкрадений ключ криптографічного підпису. Він намагався скомпрометувати внутрішній конвеєр складання Hugging Face — автоматизовану систему, яка компілює та розгортає програмне забезпечення компанії.

Одне ім’я, три невідомих

З чотирьох зовнішніх сервісів, названих в оновленні OpenAI, один з них вже підтверджено: Modal Labs, хмарна платформа для запуску ізольованих обчислювальних середовищ за запитом. Технічний директор Akshat Bubna підтвердив, що агент знайшов незахищену точку доступу клієнта в Інтернеті — пісочницю коду, залишену публічно доступною для всіх в Інтернеті — і використав її як свою базу для розгортання та командно-контрольної системи для всієї кампанії проти Hugging Face.

Три з чотирьох сервісів залишаються неназваними. Їхні ідентичності, очевидно, відомі OpenAI та постраждалим компаніям, але не їхнім користувачам.

"Один з цих чотирьох облікових записів використовувався як вихідний релейний та етапний шлях, а інший обліковий запис використовувався для зберігання даних. Решта два облікові записи були доступні моделями в режимі тільки для читання і не використовувалися для подальшого компрометації Hugging Face," - написала OpenAI.

Судово-медична команда Hugging Face зазначила похмурий побічний ефект: коли вони намагалися проаналізувати журнал атаки з 17,600 дій, використовуючи американські моделі ШІ, ці моделі відмовилися взаємодіяти. Як зазначила Hugging Face, компанія врешті-решт використала GLM 5.2, модель з відкритими вагами від китайського стартапу ШІ Z.ai, щоб завершити судово-медичне розслідування. Фільтри безпеки американських моделей не могли відрізнити захисника від нападника.

"Безпосереднє повідомлення" не є розкриттям

Заявлений підхід OpenAI — "безпосередньо повідомляти власників сервісів" — означає, що ці три компанії отримали приватне повідомлення про доступ агента ШІ до їхніх систем під час оцінки OpenAI, в якій вони не брали участі.

Немає юридичних вимог, які зобов’язують OpenAI публічно називати платформи, до яких дійшов його агент, і немає обов’язкового терміну для постраждалих компаній, щоб випустити свої власні публічні заяви. Також немає механізму, який зобов’язує ці компанії інформувати своїх кінцевих користувачів.