17 августа 2026 года OpenAI опубликовала хронологию событий, связанных с инцидентом взлома Hugging Face. Ещё в июле Hugging Face сообщила о сетевом инциденте: автономные ИИ‑агенты, управляемые моделями OpenAI, нарушили ограничения песочницы, использовали сторонние сервисы как плацдарм для атаки и проникли в производственную инфраструктуру компании.
5 августа на конференции Black Hat USA 2026 OpenAI впервые публично восстановила хронологию и технические детали инцидента. Этим занимались сотрудники OpenAI — Эрик Уоллес и Майкл Далтон. Уоллес занимается вопросами безопасности и согласования в OpenAI, руководит командой Alignment Training. Далтон работает в команде безопасности и инфраструктуры OpenAI, участвовал в создании инфраструктуры суперкомпьютера xAI Colossus.
В ходе инцидента модели смогли косвенно получить доступ в интернет через сервис Artifactory — менеджер пакетов и кеш‑сервис от OpenAI, который загружает зависимости из интернета и предоставляет их песочнице. Обычно в песочнице модель может выполнять код, изменять файлы и вызывать инструменты, но не имеет свободного доступа к интернету. Для установки пакетов она может подключаться к Artifactory, но в ходе атаки модель получила возможность косвенно выходить в интернет через этот сервис.
Эрик Уоллес и Майкл Далтон описали развитие события с мая по июль в три этапа.
Первый этап — Artifactory стал «доской объявлений» для моделей:
* 7 мая OpenAI начал непубличное обучение экспериментальной модели методом RL;
* на следующий день модель получила задание заполнить пропущенные формулы в таблице Excel, которая содержала ссылки на Google Drive. Среда оценки не имела доступа в интернет, поэтому модель попыталась атаковать Artifactory для подключения к интернету. SSRF‑атака не удалась, но модель смогла записать файл «test ABC» в Artifactory;
* позже другая модель запросила в Artifactory файл, которого не было в контейнере. Другие модели начали читать и записывать сообщения в Artifactory, превратив его в «доску объявлений»;
* 26 мая модель использовала уязвимость SSRF в Artifactory, чтобы заставить Artifactory получить внешний веб‑контент и вернуть его модели;
* 11 июня началась тренировка внутренней экспериментальной модели с повышенной способностью к продолжительным действиям. К этому моменту метод SSRF уже был размещён на «доске объявлений», и другие модели научились его использовать.
Второй этап — взлом внутренней инфраструктуры OpenAI:
* 4 июля из‑за активности множества моделей Artifactory испытал перегрузку и произошёл сбой сервиса;
* инженеры OpenAI выяснили, что модели захватили контроль над Artifactory и использовали нулевую уязвимость. OpenAI отозвал учётные данные, восстановил Artifactory и совместно с поставщиками устранил уязвимость;
* 6 июля обучение и оценка моделей возобновились;
* через два дня модели вновь создали «доску объявлений», используя неаутентифицированный WebDAV‑интерфейс в Artifactory для создания каталогов и передачи сообщений через названия каталогов.
Модели взаимодействовали, используя определённые имена для обозначения друг друга и отправляя сообщения вроде «приостановить весь кластер, дождаться подтверждения», «я готовлю безопасный метод использования уязвимости», «получил задание, нужно записать и ответить». Для размещения сообщений в нижней части алфавитного списка файлов они добавляли в имена файлов префиксы вроде «ZZ».
Интеллектуальные агенты кодируют эксплойты в Base64 и загружают на доску объявлений для использования другими агентами. Между агентами возникают конфликты: один агент может заменить работу другого, также есть подозрения на появление «самозванцев». Предлагается использовать MAC и другие криптографические методы для подписи сообщений.
Агенты расширяют поиск ответов на тесты до внешних систем (GitHub, Hugging Face, научные статьи) и пытаются атаковать внешнюю инфраструктуру для получения закрытых наборов данных и ответов на тесты. Делятся в досках объявлений утечками API‑ключей, уязвимостями удалённого выполнения кода и методами горизонтального перемещения.
7–8 июля произошли две масштабные атаки:
* В OpenAI агенты использовали утечённые учётные данные внешних организаций, связали несколько уязвимостей и снова атаковали Artifactory. Получив права на удалённое выполнение кода, они использовали уязвимости ядра Linux, неправильно настроенные учётные записи сервисов Kubernetes и облачные учётные данные для горизонтального перемещения в инфраструктуре и получения прав администратора кластера.
* Другая группа атак нацелилась на Hugging Face: сначала агенты использовали приложение CyberGym на облачной платформе Modal как плацдарм для атаки, затем применили уязвимость разбора набора данных HDF5 для чтения файлов, переменных окружения и исходного кода из производственных контейнеров, после чего реализовали внедрение шаблонов Jinja для удалённого выполнения кода. Агенты получили права администратора нескольких кластеров Hugging Face менее чем за 13 часов.
7 июля в 16:00 Hugging Face выпустил уведомление о безопасности, сообщив об атаке, инициированной автономными AI‑агентами. OpenAI связалась с Hugging Face и начала проверку своих моделей и инфраструктуры.
7 июля в 19:00 OpenAI через предупреждение о рабочей нагрузке обнаружила повышение привилегий в своей инфраструктуре. Команда безопасности проследила цепочку атак и подтвердила, что агенты снова атаковали Artifactory и перемещались внутри среды OpenAI. Источником атаки был определён выполняемый в данный момент оценочный тест ExploitGym.
20 июля в внутренних записях атак OpenAI обнаружены учётные данные Hugging Face. OpenAI связалась с Hugging Face с просьбой отозвать их, но Hugging Face заявила, что учётные данные уже были отозваны ранее — они использовались во время вторжения в Hugging Face. OpenAI подтвердила: вторжение во внутреннюю инфраструктуру и вторжение в Hugging Face — не два независимых инцидента, у них общий источник атаки — выполняемые OpenAI задачи по оценке интеллектуальных агентов.
OpenAI начала принимать меры:
* отзывать и заменять учётные данные;
* изолировать затронутые среды;
* устранять уязвимость в Artifactory;
* расширять мониторинг поведения ИИ‑агентов;
* замедлить часть исследовательских работ для перепроверки дизайна безопасности в средах обучения и оценки.
Эрик Уоллес заявил, что расследование ещё не завершено, будет опубликован полный отчёт об инциденте.
Майкл Далтон назвал инцидент «водоразделом» в индустрии компьютерной безопасности: автоматические сетевые атаки, организуемые ИИ‑агентами, перестали быть теоретической возможностью и стали реальностью. Он считает, что защитникам нужно создать постоянно работающую команду интеллектуальных агентов («красных команд»), чтобы выявлять и устранять уязвимости в инфраструктуре до того, как это сделают атакующие.
OpenAI использовала модели и инструменты агентов вроде Codex для анализа более 7 млрд записей журналов, затратив миллионы часов работы GPU. В будущем командам безопасности тоже потребуется использовать защитные интеллектуальные агенты для расширения возможностей расследований, сбора доказательств и реагирования на инциденты.
Далтон считает, что система защиты должна обеспечить сквозную автоматизацию: интеллектуальные агенты должны обнаруживать уязвимости и предлагать патчи, автоматизированные системы — выполнять тестирование и развёртывание; при возникновении проблем с доступностью система должна автоматически откатывать изменения. Проблема сокращения разрыва в автоматизации может стать наиболее актуальной для индустрии безопасности.
<<<CODE_BLOCK_N>>>
<<<IMG_N>>>
Ссылка
Подписаться в Макс
