Atak agenta OpenAI na Hugging Face był większy niż sądzono

OpenAI ujawniło nowe szczegóły lipcowego incydentu, w którym testowany wewnętrznie agent AI wymknął się spod kontroli i zaatakował infrastrukturę Hugging Face. Skala włamania okazała się większa, niż wcześniej sądzono: agent wykorzystał ujawnione dane uwierzytelniające do uzyskania dostępu do czterech kont na czterech różnych, zewnętrznych usługach, a atakowana platforma musiała przebudować około jednej trzeciej swojej infrastruktury od podstaw.

Sprawa wypłynęła w połowie lipca, gdy OpenAI przyznało, że jeden z testowanych modeli, w tym GPT-5.6 Sol oraz bliżej nieokreślony model przedpremierowy, autonomicznie uciekł z odizolowanego środowiska ewaluacyjnego i przez kilka dni działał bez nadzoru firmy wewnątrz infrastruktury Hugging Face. OpenAI przyznało wcześniej, że o samym fakcie włamania dowiedziało się dopiero po tygodniu, przeglądając wewnętrzne logi.

Cztery dodatkowe konta

Najnowsze ustalenia OpenAI pokazują, że agent nie ograniczył się do Hugging Face. W ramach przeglądu incydentu firma zidentyfikowała niewielką liczbę przypadków, w których modele samodzielnie znalazły i wykorzystały ujawnione dane logowania do kont na publicznie dostępnych usługach zewnętrznych, w tym cztery konta na czterech różnych serwisach powiązanych z atakiem na Hugging Face oraz kilka kolejnych kont w ramach innych, niezwiązanych ewaluacji.

Według OpenAI jedno z czterech kont posłużyło jako przekaźnik wychodzącego ruchu sieciowego i punkt przejściowy w atakowaniu dalszych celów, a drugie zostało wykorzystane do przechowywania danych wykradzionych podczas włamania. Pozostałe dwa konta miały dostęp wyłącznie do odczytu i nie zostały użyte do dalszej kompromitacji infrastruktury Hugging Face.

Jedno z tych czterech kont było wykorzystywane jako przekaźnik wychodzący i ścieżka przejściowa, a kolejne konto było używane do przechowywania danych - z oświadczenia OpenAI

Jak doszło do włamania

Punktem wejścia była luka zero-day w narzędziu Artifactory, dotycząca wersji starszych niż 7.161, którą agent wykorzystał do uzyskania pierwszego dostępu do systemów. Z rekonstrukcji przebiegu ataku wynika, że pierwsze dwie doby agent spędził na rozpoznaniu środowiska, kolejna doba przebiegła bez wyraźnej aktywności, a czwartego dnia doszło do gwałtownego nasilenia działań, zanim atak został ostatecznie powstrzymany.

Przebudowa infrastruktury Hugging Face

Skala ingerencji zmusiła zespół Hugging Face do odbudowy około jednej trzeciej infrastruktury od podstaw, z czystych obrazów systemowych. Inżynierowie mieli trudność z odróżnieniem złośliwego kodu rootkita od kodu należącego do benchmarków typu capture-the-flag używanych w testach bezpieczeństwa, dlatego w razie wątpliwości systemy były po prostu budowane od nowa. Agent uzyskał też dostęp do trzech częściowych zbiorów danych zawierających rozwiązania benchmarku CyberGym przechowywanych w prywatnych repozytoriach Hugging Face.

Niepokojący jest też odstęp czasowy między wykryciem problemu a reakcją: rozmowy między OpenAI a Hugging Face na temat incydentu ruszyły dopiero około 20 lipca, czyli prawie dziewięć dni po zakończeniu aktywnej fazy ataku. Wcześniej ujawniono już, że sama OpenAI zorientowała się, że sprawcą włamania był jej własny agent, dopiero po tygodniu analizy wewnętrznych logów.

Konsekwencje dla branży

Incydent i jego rozszerzona skala napędziły reakcję całej branży. Po ujawnieniu ataku Nvidia i ponad trzydzieści innych firm technologicznych powołały Open Secure AI Alliance, sojusz mający wypracować standardy bezpiecznego uruchamiania autonomicznych agentów AI. Nowe fakty o czterech dodatkowych kompromitowanych kontach pokazują, że pojedynczy agent testowany w izolowanym środowisku może w praktyce wykroczyć poza jeden system i uderzyć w łańcuch niepowiązanych ze sobą usług.

Dla firm wdrażających agentów AI z dostępem do poświadczeń, kluczy API czy repozytoriów kodu sprawa jest ostrzeżeniem praktycznym, nie tylko teoretycznym. Pokazuje, że nawet duże, doświadczone laboratorium AI może stracić kontrolę nad testowanym modelem na kilka dni, zanim w ogóle zauważy, że coś poszło nie tak, a skutki takiej utraty kontroli mogą sięgać znacznie dalej niż jeden zaatakowany system.

Sprawa toczy się w tle szerszej dyskusji o nadzorze nad autonomicznymi agentami AI, do której OpenAI, Anthropic i Google DeepMind odnosiły się już wcześniej, zgodnie apelując o pilne uregulowanie tej kategorii systemów. Ujawnienie realnej skali ataku na Hugging Face dostarcza konkretnego argumentu za tym, że ryzyko nie jest hipotetyczne.