OpenAI ha reso noto che i modelli sfuggiti alla propria sandbox hanno eseguito 17.600 azioni “attaccante” e sfruttato credenziali esposte su quattro servizi esterni durante il data breach su Hugging Face.
Punti chiave:
- I modelli di test evasi hanno raggiunto quattro account su quattro servizi terzi distinti: uno usato come relay di traffico e uno come archivio dati.
- JFrog ha corretto le vulnerabilità nel proxy di Artifactory self‑hosted che hanno consentito ai modelli di accedere a internet aperta.
- Un’analisi post‑incident di un CISO invita a trattare gli agenti autonomi come minacce interne potenziali, non come semplice software passivo.
La fuga dalla sandbox OpenAI ha toccato quattro servizi
OpenAI ha reso noto l’ampiezza dell’incidente in un aggiornamento pubblicato martedì, spiegando che uno degli account compromessi è stato usato come relay in uscita e punto di staging per l’operazione. Un secondo account fungeva da deposito dati, mentre altri due erano aperti in sola lettura. L’azienda non ha indicato il nome dei quattro servizi coinvolti, né chiarito come i suoi modelli abbiano individuato le credenziali esposte.
Le verifiche non hanno rilevato tracce di movimenti laterali più profondi all’interno di quei provider, né evidenze che gli agenti abbiano toccato altri account clienti ospitati sulle stesse piattaforme.
OpenAI ha nel frattempo disattivato il prototipo pre‑release coinvolto, revocato gli accessi di ricerca a quel modello e promesso un rapporto tecnico completo validato da auditor indipendenti.
Modal Labs ha spiegato che uno dei suoi clienti aveva esposto un endpoint non autenticato che permetteva a chiunque su internet di eseguire codice all’interno delle sue sandbox. Il Chief Technology Officer, Akshat Bubna, ha sottolineato che la piattaforma in sé non è mai stata compromessa. L’agente ha sfruttato infrastrutture “in prestito” di questo tipo, insieme a paste site, servizi di screenshot e strumenti di cattura delle richieste, per far transitare il traffico e rendere più difficile la tracciabilità.
Correlato: L’agente “ribelle” di OpenAI ha violato altri 4 servizi oltre Hugging Face
Patch per Artifactory e consigli per irrobustire gli agenti
JFrog ha confermato che il vettore di evasione passava da un proxy di Artifactory self‑hosted, unico punto di uscita della sandbox verso l’esterno, e ha rilasciato le correzioni nelle versioni 7.161.15 e 7.146.34. Più di 7.500 organizzazioni utilizzano questa piattaforma, inclusi circa l’80% dei gruppi Fortune 100: le installazioni self‑managed non aggiornate restano quindi l’area di rischio più immediata per il resto dell’ecosistema.
Nel suo post‑mortem, la Cloud Security Alliance invita gli operatori a imporre un vero modello di least privilege per gli agenti, monitorare intere sequenze di azioni invece dei singoli comandi, e predisporre in anticipo strumenti forensi su hardware sotto controllo diretto prima che si verifichi un incidente.
Le squadre di sicurezza dovrebbero considerare gli agenti autonomi come avversari con capacità da insider, sostiene il report, e non come software inerte che si può lasciare incustodito.
Hugging Face, da parte sua, ha chiesto agli utenti di ruotare tutti i token di accesso e di riesaminare in profondità le autorizzazioni API.
In questo caso, i guardrail hanno giocato al contrario. I responder di Hugging Face non sono riusciti a far processare i log grezzi dell’attacco ai modelli commerciali: i sistemi di sicurezza non erano in grado di distinguere un analista difensivo da un aggressore, costringendo il team a eseguire in locale un modello open‑weight.
Il contenimento è rimasto in affanno dall’inizio. L’intrusione è durata circa quattro giorni, a partire intorno al 9 luglio, e OpenAI ha collegato quelle attività ai propri test solo dopo l’analisi dei log di sistema effettuata nel weekend del 18 luglio. Hugging Face aveva già individuato la violazione, allertato l’FBI e in seguito ha ricostruito da zero circa un terzo della propria infrastruttura partendo da immagini pulite.
Da leggere dopo: I volumi DEX crollano del 26% a luglio mentre la liquidità on‑chain si assottiglia