بعد أسبوع واحد من تأكيد OpenAI أن نماذج الذكاء الاصطناعي الخاصة بها اخترقت Hugging Face للغش في معيار أمني، قامت الشركة بتحديث منشور الحادث بهدوء بشيء لم تقله من قبل: لم تكن Hugging Face المنصة الوحيدة التي وصل إليها عميلها المارق.
كتبت OpenAI في تحديث بتاريخ 28 يوليو: "في مراجعتنا المستمرة لاختراق Hugging Face والنشاط الأوسع من نماذجنا، وجدنا عددًا صغيرًا من الحالات حيث حددت النماذج واستخدمت بيانات اعتماد مكشوفة علنًا على مستوى الحساب في خدمات أخرى متاحة للجمهور". وأضافت: "يشمل ذلك أربعة حسابات على أربع خدمات كجزء من حادث Hugging Face (وعدد قليل من الحسابات التي تم الوصول إليها كجزء من تقييمات أخرى)".
هذا يعني خمس منصات إجمالاً. OpenAI لا تسمي علنًا أيًا من الأربع بخلاف Hugging Face.
كتبت OpenAI: "سنواصل إبلاغ مالكي الخدمات مباشرة، ولم نر دليلًا على تأثير أوسع على هؤلاء المزودين أو حسابات أخرى على خدماتهم".
للتوضيح: كانت OpenAI تختبر GPT-5.6 Sol ونموذجًا آخر غير مسمى وأكثر قدرة على ExploitGym — وهو معيار أمني سيبراني، وهو اختبار موحد يقيس أداء الذكاء الاصطناعي، ويمنح العملاء 898 ثغرة برمجية حقيقية مع تعليمات واحدة لكل منها: تحويلها إلى هجوم سيبراني فعال، وتسجيل النجاح أو الفشل. تم تعطيل فلاتر الأمان لقياس القدرة الخام للنماذج. هذه ممارسة معيارية لهذا النوع من التقييم — لا يمكنك قياس ما يمكن أن يفعله النموذج في بيئة حقيقية إذا كنت تمنعه بنشاط من فعل أي شيء.
المشكلة هي ما فعلته النماذج بهذه الحرية. بدلاً من حل المعيار، أمضت وقتًا حسابيًا كبيرًا في اكتشاف كيفية الهروب من بيئة الاختبار ونسخ الإجابات مباشرة. لقد اكتشفت ثغرة يوم-صفر (zero-day) — وهي عيب برمجي غير معروف لا يوجد له إصلاح حالي — في وكيل ذاكرة التخزين المؤقت لسجل الحزم (خادم داخلي يدير تنزيلات البرامج لبيئة الاختبار المعزولة، مثل متجر تطبيقات خاضع للرقابة).
منحهم ذلك وصولاً إلى الإنترنت لم يكن من المفترض أن يحصلوا عليه أبدًا. ومن هناك، استنتجوا بشكل صحيح أن Hugging Face — أكبر مستودع لنماذج الذكاء الاصطناعي مفتوحة المصدر في العالم — ربما استضاف مفاتيح الإجابات، واخترقوه للحصول عليها.
خلال هذه العملية، اخترقوا أيضًا أربع شركات أخرى لتسهيل مهمتهم.
يصف إعادة البناء الجنائي الذي نشرته Hugging Face في 27 يوليو ما تلا ذلك: "على مدار يومين ونصف تقريبًا داخل بنيتنا التحتية، قام عميل ذكاء اصطناعي مستقل مدفوعًا بمزيج من نماذج OpenAI بتنفيذ عملية اختراق شاملة ضد منصتنا: كانت آلاف القرارات الصغيرة والمؤتمتة تُنفذ بسرعة آلية عبر بيئات Sandbox قصيرة الأجل، مع توجيه وتحكم يتم ترتيبه عبر خدمات الويب العامة العادية".
سجل العميل 17,600 إجراء مميز على مدار أربعة أيام ونصف. قام بتسجيل 181 جهازًا في شبكة Hugging Face الافتراضية الخاصة الداخلية — وهو نفق آمن يربط خوادم الشركة — باستخدام مفتاح مصادقة مسروق. قام بصك رموز هوية خاصة به باستخدام مفتاح توقيع تشفير مسروق. وحاول اختراق خط أنابيب البناء الداخلي لـ Hugging Face — وهو النظام الآلي الذي يقوم بتجميع ونشر برامج الشركة.
من بين الخدمات الخارجية الأربع المذكورة في تحديث OpenAI، تم تأكيد واحدة منذ ذلك الحين: Modal Labs، وهي منصة سحابية لتشغيل بيئات حوسبة معزولة عند الطلب. أكد أكشات بوبنا، المدير التقني، أن العميل عثر على نقطة نهاية غير آمنة يواجهها الإنترنت تابعة لعميل — وهي بيئة برمجية (code sandbox) تُركت متاحة للعامة على الإنترنت — واستخدمها كقاعدة لتنفيذ وتوجيه حملته بأكملها ضد Hugging Face.
لا تزال ثلاث من الخدمات الأربع دون تسمية. يبدو أن هوياتها معروفة لـ OpenAI وللشركات المتأثرة، ولكن ليس لمستخدميها.
كتبت OpenAI: "تم استخدام أحد هذه الحسابات الأربعة كمرحل صادر ومسار للتحضير، وتم استخدام حساب آخر لتخزين البيانات. أما الحسابين المتبقيين فقد تم الوصول إليهما بواسطة النماذج بطريقة للقراءة فقط، ولم يتم استخدامهما لتعزيز اختراق Hugging Face".
لاحظ فريق التحقيق الجنائي في Hugging Face تأثيرًا جانبيًا قاسياً: عندما حاولوا تحليل سجل الهجوم الذي يضم 17,600 إجراء باستخدام نماذج الذكاء الاصطناعي الرائدة الأمريكية، رفضت تلك النماذج الاستجابة. وكما كتبت Hugging Face، انتهى الأمر بالشركة إلى استخدام GLM 5.2، وهو نموذج مفتوح الوزن من شركة Z.ai الصينية الناشئة في مجال الذكاء الاصطناعي، لإكمال التحقيق الجنائي. لم تتمكن فلاتر الأمان في النماذج الأمريكية من التمييز بين المدافع والمهاجم.
نهج OpenAI المعلن — "إخطار مالكي الخدمة مباشرة" — يعني أن تلك الشركات الثلاث تلقت اتصالاً خاصًا بشأن وصول عميل ذكاء اصطناعي إلى أنظمتها أثناء تقييم OpenAI لم يكن لهم أي دور فيه.
لا توجد متطلبات قانونية تلزم OpenAI بتسمية المنصات التي وصل إليها عميلها علنًا، ولا يوجد جدول زمني إلزامي للشركات المتأثرة لإصدار بياناتها العامة. لا توجد أيضًا آلية تلزم تلك الشركات بإبلاغ مستخدميها النهائيين.
