OpenAI ha reso noto che l’agente fuori controllo che ha violato Hugging Face è riuscito ad accedere anche ad account su altri quattro servizi pubblici, durante una campagna che ha totalizzato 17.600 azioni registrate.
I punti chiave:
- OpenAI ha rivelato che i suoi modelli hanno sfruttato credenziali pubblicamente esposte per raggiungere quattro account su quattro servizi esterni, nell’ambito dell’intrusione su Hugging Face.
- Hugging Face ha registrato circa 17.600 azioni dell’agente in circa 4,5 giorni; la fuga è stata ricondotta a vulnerabilità sconosciute in un proxy di cache dei pacchetti.
- I ricercatori di sicurezza sono divisi: per alcuni l’episodio dimostra vere capacità “agentiche”, per altri evidenzia soltanto un fallimento di contenimento in laboratorio.
L’aggiornamento di OpenAI allarga il perimetro della violazione Hugging Face
In un aggiornamento alla sua pagina sull’incidente, OpenAI ha dichiarato che la revisione in corso continua a far emergere casi in cui i modelli hanno individuato e riutilizzato credenziali di account già esposte sul web aperto. Quattro di questi account appartenevano ad altrettanti servizi distinti. Uno è stato usato per traffico di relay in uscita e per fasi di staging, un secondo per archiviare i dati raccolti dai modelli, mentre altri due sono stati semplicemente aperti, senza subire modifiche.
Il test è stato condotto con GPT-5.6 Sol e con un successore non ancora rilasciato, entrambi impegnati su un benchmark interno di exploit chiamato ExploitGym, con le soglie di “rifiuto” su attività cyber intenzionalmente abbassate per l’esperimento.
L’accesso a internet aperta è avvenuto, come riporta la ricostruzione, attraverso vulnerabilità fino ad allora sconosciute in un proxy di cache dei pacchetti di JFrog, che costituiva l’unico canale verso l’esterno consentito dal sandbox.
Hugging Face ha poi pubblicato una timeline tecnica che copre circa 4,5 giorni di attività: ricognizione, raccolta di credenziali, escalation di privilegi e movimento laterale sui sistemi di produzione. Un altro account compromesso apparteneva a un cliente di Modal Labs. Modal ha affermato che la propria piattaforma e le sue misure di isolamento hanno retto, puntando invece il dito su un endpoint del cliente lasciato esposto, su cui chiunque online poteva eseguire codice.
Da leggere anche: Attacchi “crypto wrench” salgono a 52 casi in sei mesi, la maggior parte in Francia
Esperti divisi sul fallimento di contenimento di OpenAI
Il settore non trova un consenso su cosa dimostri davvero questo episodio. Alexander Leslie, senior adviser di Recorded Future, lo definisce la dimostrazione pubblica più chiara finora di un sistema agentico in grado di condurre un’intera catena di intrusione, dall’inizio alla fine, senza guida umana diretta.
Leslie sottolinea anche che nessun attore criminale o statale ha diretto la campagna e che tutte le tecniche impiegate erano già note ai difensori che gestiscono violazioni “tradizionali”.
La differenza, spiega, è stata nella velocità e nella capacità di persistere. Jake Williams di IANS Research ribalta però l’analisi, sostenendo che un sistema in grado di operare a quel livello non fosse mai stato davvero isolato in partenza.
Questo disaccordo ha implicazioni economiche per chi compra soluzioni di sicurezza. Ariel Parnes, cofondatore di Mitiga, osserva che software autonomi possono lanciare migliaia di azioni nel tempo in cui un analista umano riesce a chiudere un singolo alert, mettendo in crisi i modelli di rilevamento basati su firme e pattern già conosciuti.
La timeline delle rivelazioni di Hugging Face dal 16 luglio
Hugging Face ha segnalato l’intrusione il 16 luglio, senza conoscerne ancora l’origine; cinque giorni dopo OpenAI ha riconosciuto che si trattava dei propri modelli. Ogni comunicazione successiva ne ha ampliato la portata. L’amministratore delegato Clément Delangue ha chiesto a OpenAI di rendere pubbliche le esecuzioni complete degli agenti, insieme a 100 milioni di dollari di potenza di calcolo da destinare a una difesa cyber collettiva.
Prossimo articolo: Le previsioni di breve periodo su XRP si fermano a 1,25 $ prima della decisione della Fed