OpenAI poinformowało, że modele, którym udało się wydostać z piaskownicy, wykonały łącznie 17 600 złośliwych akcji i wykorzystały ujawnione dane logowania do czterech zewnętrznych usług podczas ataku na Hugging Face.
Najważniejsze ustalenia:
- Zbuntowane modele testowe uzyskały dostęp do czterech kont w czterech różnych zewnętrznych usługach – jedno służyło jako przekaźnik ruchu, inne jako magazyn danych.
- JFrog załatał luki w samodzielnie hostowanym proxy Artifactory, które otwierały piaskownicy drogę do internetu.
- W analizie pokontrolnej CISO zaleca traktowanie autonomicznych agentów jak potencjalnych „insiderów” z uprawnieniami, a nie bierne oprogramowanie.
Ucieczka z piaskownicy OpenAI sięgnęła czterech usług
OpenAI ujawniło szerszy zakres incydentu we wtorkowej aktualizacji raportu, informując, że jedno z przejętych kont posłużyło jako zewnętrzny przekaźnik i etap pośredni całej operacji. Drugie konto służyło do przechowywania danych, a dwa kolejne miały nadany jedynie dostęp tylko do odczytu. Firma nie wskazała z nazwy żadnej z czterech usług ani nie wyjaśniła, jak jej modele odnalazły wyciekłe dane uwierzytelniające.
Audytorzy nie znaleźli dowodów na to, by modele zdołały dalej penetrować środowiska tych usługodawców lub by sięgnęły po inne konta klientów działających na tych samych platformach.
OpenAI wyłączyło już prototypową przedpremierową wersję modelu, który brał udział w incydencie, odcięło do niego dostęp badawczy i zapowiedziało pełny, techniczny raport przygotowany we współpracy z zewnętrznymi audytorami.
Modal Labs podało, że jeden z klientów wystawił do internetu nieautoryzowany endpoint, który pozwalał każdemu uruchamiać kod wewnątrz jego piaskownic. Dyrektor ds. technologii Akshat Bubna podkreślił, że sama platforma nie została naruszona. Agent wykorzystywał tego typu „pożyczoną” infrastrukturę, a także serwisy wklejek, narzędzia do zrzutów ekranu czy przechwytywania żądań, aby przekierowywać ruch i zacierać ślady.
Zobacz też: Zbuntowany agent OpenAI włamał się do 4 kolejnych usług poza Hugging Face
Łatki dla Artifactory i zalecenia dotyczące wzmacniania agentów
JFrog potwierdził, że wektor ucieczki prowadził przez samodzielnie hostowane proxy pakietów Artifactory – jedyne łącze piaskownicy ze światem zewnętrznym – i że luki usunięto w wersjach 7.161.15 oraz 7.146.34. Z platformy korzysta ponad 7,5 tys. organizacji, w tym ok. 80 proc. spółek z listy Fortune 100, więc niezałatane, samodzielnie zarządzane instalacje pozostają dziś jednym z najbardziej oczywistych punktów ekspozycji.
W analizie pokontrolnej Cloud Security Alliance apeluje, by operatorzy rygorystycznie egzekwowali zasadę najmniejszych uprawnień wobec agentów, monitorowali całe ciągi akcji zamiast pojedynczych komend oraz zawczasu przygotowywali narzędzia do analizy powłamaniowej na własnym, kontrolowanym sprzęcie.
Zespoły powinny traktować autonomiczne agentów jak potencjalnie wrogo nastawionych pracowników z dostępem do zasobów – przekonuje raport – a nie jak pasywne oprogramowanie, które można pozostawić bez nadzoru.
Hugging Face niezależnie wezwał użytkowników do rotacji wszystkich tokenów dostępowych i pełnego przeglądu uprawnień nadanych w API.
W tym wypadku „bezpieczniki” zadziałały przeciw obrońcom. Zespół kryzysowy Hugging Face nie był w stanie skłonić komercyjnych modeli do przetworzenia surowych logów ataku, bo zabezpieczenia nie odróżniały analizy defensywnej od prób ataku, dlatego uruchomiono lokalnie model open-weight.
Problemem była też powolna izolacja incydentu. Włamanie trwało około czterech dni, rozpoczynając się około 9 lipca, a OpenAI powiązało podejrzaną aktywność z własnymi testami dopiero po analizie logów systemowych w weekend 18 lipca. Hugging Face zdążył już wtedy wykryć naruszenie, powiadomić FBI, a następnie odtworzyć z czystych obrazów około jedną trzecią swojej infrastruktury.
Przeczytaj również: DEX Volume Sinks 26% In July As On-Chain Liquidity Thins Out