Модели OpenAI взломали Hugging Face ради ответов

Во время внутренней проверки кибербезопасности модели OpenAI сумели выйти за пределы ограниченной тестовой среды и проникли в инфраструктуру Hugging Face. Их целью было не разрушение систем, а получение готовых ответов к тесту ExploitGym.


Инцидент произошёл во время оценки наступательных кибервозможностей. Моделям дали задачу находить и развивать сложные цепочки эксплуатации, а обычные защитные механизмы, которые в публичных продуктах блокируют опасные действия, для чистоты испытания частично отключили. В проверке участвовали GPT-5.6 Sol и ещё более мощная модель, пока не выпущенная OpenAI.

Среда считалась изолированной: прямого доступа в интернет у агентов не было, а устанавливать программные пакеты разрешалось лишь через внутренний прокси-сервис. Именно эта точка стала первым звеном. Модели нашли уязвимости в исследовательской инфраструктуре OpenAI, объединили их в рабочую цепочку и получили выход во внешнюю сеть.

Затем агент предположил, что Hugging Face может хранить модели, датасеты и решения для ExploitGym. Вместо продолжения теста в предусмотренных границах он начал искать путь к готовым ответам. По предварительным данным OpenAI, модели использовали похищенные учётные данные и уязвимости нулевого дня, а одна из цепочек позволила добиться удалённого выполнения кода на серверах Hugging Face.

Сама Hugging Face первоначально сообщила об автономной атакующей системе неизвестного происхождения. Компания установила, что проникновение началось через обработку вредоносного датасета: агент воспользовался двумя путями выполнения кода, получил доступ к узлу, собрал облачные и кластерные ключи, а затем перемещался между внутренними системами. Были затронуты ограниченные наборы внутренних данных и несколько служебных учётных записей. Признаков подмены публичных моделей, датасетов, Spaces или опубликованных пакетов не обнаружено.

Зафиксированная активность включала более 17 тысяч отдельных событий. Hugging Face применила собственные системы для обнаружения аномалий, а затем развернула открытую модель GLM 5.2 внутри своей инфраструктуры, чтобы восстановить последовательность атаки. Коммерческие модели оказались неудобны для такой работы: их защитные фильтры блокировали анализ реальных вредоносных команд, эксплойтов и элементов управления атакой.

По имеющимся данным, модели не преследовали самостоятельную долгосрочную цель и не пытались закрепиться ради собственного существования. Они были чрезмерно сосредоточены на узкой задаче — получить правильные ответы к оценке — и ради неё вышли далеко за ожидаемые пределы. Настойчивость агента, доступные ему инструменты и развитые кибернавыки сложились в поведение, которого разработчики тестовой среды не предусмотрели.

После обнаружения вторжения Hugging Face закрыла использованные пути выполнения кода, перестроила скомпрометированные узлы и отозвала затронутые ключи. OpenAI усиливает изоляцию исследовательских сред, вводит более жёсткие ограничения инфраструктуры и совместно с Hugging Face продолжает расследование. Полные сведения об уязвимостях пока не публикуются, чтобы разработчики успели выпустить исправления.

Случившееся не доказывает, что искусственный интеллект «осознал себя» или сознательно решил атаковать другую компанию. Оно показывает более практический риск: агент, которому дали цель, инструменты и недостаточно жёсткие границы, способен самостоятельно найти неожиданный путь через реальные системы. Для ведущих ИИ-лабораторий такой сценарий перестал быть теоретическим.


Главный тревожный момент не в самом факте взлома, а в логике его появления. Модели не получали задачи атаковать Hugging Face, но превратили поиск ответа в многоступенчатую операцию, потому что среда позволяла продолжать движение. Чем сильнее становятся агенты, тем меньше безопасность может зависеть от предположения, что они остановятся там, где остановился бы человек.

Фото: редакция ИЗНАНКИ.