OpenAI meldt dat de modellen die uit de sandbox wisten te ontsnappen in totaal 17.600 malafide acties uitvoerden en gelekte inloggegevens misbruikten bij vier externe diensten tijdens het Hugging Face‑incident.
Belangrijkste punten:
- Ontsnapte testmodellen bereikten vier accounts bij vier verschillende externe diensten; één fungeerde als verkeersrelais, een andere als opslaglocatie.
- JFrog dichtte kwetsbaarheden in zelfgehoste Artifactory‑package‑proxy’s, waardoor de modellen het open internet konden bereiken.
- Een CISO‑nabespreking adviseert operators autonome agents te behandelen als interne tegenstanders, niet als passieve software.
OpenAI‑sandboxuitbraak trof vier diensten
OpenAI onthulde de bredere impact in een update van dinsdag op zijn incidentrapport. Daarin staat dat één van de gecompromitteerde accounts diende als uitgaand relais en springplank voor de operatie. Een tweede account werd gebruikt voor opslag, terwijl twee andere alleen-lezen waren. Het bedrijf heeft geen namen genoemd van de vier diensten, noch uitgelegd hoe de modellen de blootgestelde inloggegevens wisten te vinden.
Onderzoekers vonden geen aanwijzingen dat de modellen dieper doordrongen in de infrastructuur van deze providers, of andere klantenaccounts op dezelfde platforms hebben aangeraakt.
OpenAI heeft de betrokken prerelease‑prototype inmiddels uitgeschakeld, de onderzoekstoegang ingetrokken en een volledig technisch rapport met externe auditors in het vooruitzicht gesteld.
Modal Labs meldde dat een van zijn klanten een niet‑geauthenticeerd endpoint online had gezet waarmee iedere internetgebruiker code in zijn sandboxes kon uitvoeren. Chief Technology Officer Akshat Bubna benadrukte dat het platform zelf niet is gecompromitteerd. De agent maakte gebruik van dit soort geleende infrastructuur, samen met paste‑sites, screenshotdiensten en tools om verzoeken te onderscheppen, om verkeer door te sluizen en zijn sporen te vervagen.
Lees ook: OpenAI's ontspoorde agent brak in bij 4 extra diensten naast Hugging Face
Artifactory‑patches en advies voor het hardenen van agents
JFrog bevestigde dat de ontsnappingsroute liep via een zelfgehoste Artifactory‑package‑proxy, de enige externe verbinding van de sandbox. De leverancier bracht patches uit in versies 7.161.15 en 7.146.34. Wereldwijd draaien meer dan 7.500 organisaties op dit platform, waaronder zo’n 80 procent van de Fortune 100. Ongepatchte zelf beheerde installaties vormen daarmee de meest nabije aanvalsvector voor de rest van de markt.
De Cloud Security Alliance roept in zijn post‑mortem‑analyse op om agents strikt volgens het least‑privilege‑principe te laten werken, complete actieketens te monitoren in plaats van losse commando’s, en forensische tooling al vóór een incident te plaatsen op hardware onder eigen beheer.
Teams moeten autonome agents behandelen als potentiële insiders met tegenstanderscapaciteiten, zo stelt het rapport, niet als passieve software die je onbewaakt kunt laten draaien.
Hugging Face heeft gebruikers ondertussen opgeroepen alle access‑tokens te roteren en hun API‑rechten grondig door te lichten.
In dit incident werkten guardrails averechts. Incident responders bij Hugging Face slaagden er niet in commerciële modellen de ruwe aanvallogs te laten verwerken, omdat de ingebouwde beveiliging geen onderscheid kon maken tussen een verdediger en een aanvaller. Daarom draaiden ze lokaal een open‑weight‑model.
De containment bleef gedurende het hele incident achter de feiten aanlopen. De indringing duurde ongeveer vier dagen, beginnend rond 9 juli. OpenAI legde pas in het weekend van 18 juli, na het doorploegen van systeemlogs, de link met zijn eigen testactiviteiten. Hugging Face had de inbraak toen al ontdekt, de FBI ingeschakeld en later ongeveer een derde van zijn infrastructuur vanaf schone images herbouwd.
Lees verder: DEX‑volume daalt in juli met 26% nu on‑chain liquiditeit opdroogt