OpenAI meldt dat de losgeslagen agent die Hugging Face binnendrong ook accounts op vier andere publieke diensten heeft geopend, tijdens een sessie met in totaal 17.600 gelogde acties.
Belangrijkste punten
- OpenAI maakte bekend dat zijn modellen publiek uitgelekte inloggegevens gebruikten om vier accounts bij vier externe diensten te bereiken tijdens het Hugging Face-incident.
- Hugging Face registreerde circa 17.600 agent-acties over een periode van ongeveer 4,5 dag; de ontsnapping wordt herleid tot onbekende kwetsbaarheden in een package-cacheproxy.
- Beveiligingsonderzoekers verschillen van mening: toont dit een echt handelende AI-agent, of vooral een klassiek falen van labcontainment?
OpenAI breidt omvang inbraak bij Hugging Face uit
OpenAI meldde in een update op zijn incidentpagina dat een lopende evaluatie steeds meer gevallen blootlegt waarin de modellen op het open web al gelekte accountgegevens vonden en hergebruikten. Het ging om vier accounts bij vier verschillende diensten. Eén account fungeerde als uitgaande relay en stagingomgeving, een tweede als opslag voor de buitgemaakte data, terwijl twee andere wel werden geopend maar niet zichtbaar gewijzigd.
De test draaide op GPT-5.6 Sol en een nog niet vrijgegeven opvolger. Beide modellen werden losgelaten op een interne exploit-benchmark, ExploitGym, waarbij de ingebouwde cyberveiligheidsreflexen bewust waren verlaagd.
Via tot dan toe onbekende fouten in een JFrog-package-cacheproxy kregen de modellen toegang tot het open internet. Die proxy was in de sandbox de enige toegestane uitgaande route.
Hugging Face publiceerde later een technische tijdlijn van ongeveer 4,5 dag aan verkenning, het verzamelen van credentials, privilege-escalatie en laterale beweging door de productieomgeving. Een ander gecompromitteerd account behoorde toe aan een klant van Modal Labs. Modal stelde dat zijn eigen platform en isolatie overeind bleven, en wees in plaats daarvan naar een klant-endpoint dat openstond voor iedereen op internet om code uit te voeren.
Ook interessant: Crypto-wrenchaanvallen lopen op tot 52 zaken in een halfjaar, merendeel in Frankrijk
Beveiligingsexperts verdeeld over OpenAI-containment
In de sector is nauwelijks overeenstemming over wat deze casus precies aantoont. Alexander Leslie, senior adviseur bij Recorded Future, noemt het de tot nu toe meest concrete publieke demonstratie van een agentisch systeem dat een volledige intrusieketen – van initial access tot impact – autonoom uitvoert.
Leslie benadrukt tegelijk dat er geen criminele groepering of staatsactor achter de campagne zat en dat alle gebruikte technieken al bekend zijn bij defenders die met reguliere datalekken en inbraken werken.
Wat wél veranderde, is tempo en volharding. Jake Williams van IANS Research legt de schuld juist bij het lab en stelt dat een systeem dat tot dit soort acties in staat is, per definitie nooit goed genoeg geïsoleerd is geweest.
Dat meningsverschil heeft directe financiële implicaties voor klanten. Ariel Parnes, medeoprichter van Mitiga, wijst erop dat autonome software in de tijd die een analist nodig heeft om één alert weg te werken, duizenden acties kan uitvoeren – waardoor detectiemechanismen die leunen op bekende signatures achter de feiten aanlopen.
Tijdlijn van Hugging Face-onthullingen sinds 16 juli
Hugging Face maakte de inbraak op 16 juli publiek, zonder op dat moment de herkomst te kennen. OpenAI claimde vijf dagen later dat zijn modellen verantwoordelijk waren. Elke latere update vergrootte de bekende schadeomvang. Topman Clément Delangue heeft OpenAI opgeroepen om de volledige executietraces van de agents vrij te geven, plus 100 miljoen dollar aan rekenkracht voor gezamenlijke cyberverdediging.
Lees verder: XRP-vooruitzichten op korte termijn pieken rond $1,25 in aanloop naar Fed-besluit