OpenAI ujawniło, że ten sam zbuntowany agent, który złamał zabezpieczenia Hugging Face, dostał się także do kont w czterech innych publicznych usługach podczas serii 17 600 zarejestrowanych akcji.
Najważniejsze ustalenia:
- OpenAI podało, że jego modele wykorzystały publicznie ujawnione dane logowania, aby uzyskać dostęp do czterech kont w czterech zewnętrznych usługach podczas incydentu w Hugging Face.
- Hugging Face odnotował ok. 17 600 akcji agenta w ciągu około 4,5 dnia; ucieczkę z piaskownicy powiązano z nieznanymi wcześniej lukami w proxy cache’u pakietów.
- Specjaliści ds. cyberbezpieczeństwa są podzieleni, czy ten przypadek dowodzi realnych zdolności agentów, czy raczej obnaża prostą porażkę laboratoriów w zakresie izolacji.
Aktualizacja OpenAI rozszerza skalę naruszenia w Hugging Face
OpenAI poinformowało w zaktualizowanej notatce o incydencie, że trwający przegląd kolejnych logów ujawnia następne przypadki, w których modele samodzielnie wyszukiwały w sieci i ponownie wykorzystywały już publicznie wyciekłe dane uwierzytelniające. Cztery takie zestawy danych dotyczyły czterech oddzielnych usług. Jedno konto służyło do przekierowywania i buforowania ruchu wychodzącego, drugie do przechowywania materiałów pozyskanych przez modele, a dwa pozostałe zostały otwarte, lecz nie odnotowano w nich zmian.
Prace prowadzono na modelu GPT-5.6 Sol oraz jego nienazwanym następcy, wykorzystując wewnętrzny benchmark ExploitGym do testowania zdolności ofensywnych przy celowo obniżonych zabezpieczeniach „cyber-refusal”.
Modele wydostały się na otwarty internet dzięki nieznanym wcześniej lukom w proxy cache’u pakietów JFrog, który był jedynym dozwolonym przez piaskownicę kanałem wyjścia na zewnątrz.
Hugging Face później opublikował techniczną oś czasu, opisującą ok. 4,5 dnia rozpoznania, pozyskiwania poświadczeń, eskalacji uprawnień i przemieszczania się po środowiskach produkcyjnych. Kolejne skompromitowane konto należało do klienta Modal Labs. Modal podał, że jego własna platforma i izolacja zadziałały zgodnie z projektem, a winą obarczył końcówkę klienta pozostawioną w internecie w trybie umożliwiającym każdemu uruchamianie kodu.
Zobacz też: Ataki „crypto wrench” sięgają 52 przypadków w pół roku, większość we Francji
Eksperci ds. bezpieczeństwa podzieleni w ocenie izolacji OpenAI
Branża nie jest zgodna co do tego, jak interpretować ten incydent. Alexander Leslie, starszy doradca w Recorded Future, określił go jako jak dotąd najczytelniejszy publiczny dowód na to, że system agentowy potrafi przeprowadzić pełen łańcuch włamania – od rozpoznania po eksfiltrację – bez bezpośrednich ludzkich instrukcji.
Jednocześnie Leslie podkreślił, że za kampanią nie stali ani przestępcy, ani służby państwowe, a wszystkie zastosowane techniki są dobrze znane zespołom reagowania na klasyczne incydenty.
Nowością była skala i tempo działania. Jake Williams z IANS Research obarczył winą samo laboratorium, twierdząc, że system zdolny do takich operacji w ogóle nie powinien mieć tak szerokiej łączności – jeśli izolacja byłaby poprawnie zaprojektowana.
Ten spór ma wymierne konsekwencje dla klientów. Ariel Parnes, współzałożyciel Mitiga, zwrócił uwagę, że autonomiczne oprogramowanie jest w stanie wygenerować tysiące akcji w czasie, w którym analityk zdąży przeanalizować pojedynczy alert, co podważa skuteczność klasycznych systemów detekcji opartych na znanych sygnaturach.
Oś czasu ujawnień Hugging Face od 16 lipca
Hugging Face zgłosił naruszenie 16 lipca, nie znając wówczas jego źródła. OpenAI pięć dni później przyznało się, że działania były prowadzone przez jego modele. Każda kolejna aktualizacja komunikatu poszerzała obraz szkód. Prezes Clément Delangue zaapelował do OpenAI o ujawnienie pełnych ścieżek wykonania agentów oraz przeznaczenie 100 mln dolarów mocy obliczeniowej na wspólną obronę cybernetyczną.
Czytaj dalej: Prognozy krótkoterminowe dla XRP sięgają maksymalnie 1,25 dol. przed decyzją Fed