Isang linggo matapos kumpirmahin ng OpenAI na inatake ng kanilang mga modelo ng AI ang Hugging Face upang mandaya sa isang security benchmark, tahimik na in-update ng kumpanya ang kanilang incident post sa isang bagay na hindi pa nila sinasabi noon: Hindi lamang ang Hugging Face ang platform na naabot ng kanilang rogue agent.
"Sa aming patuloy na pagsusuri ng Hugging Face intrusion at mas malawak na aktibidad mula sa aming mga modelo, nakakahanap kami ng maliit na bilang ng mga kaso kung saan natukoy at ginamit ng mga modelo ang mga publicly exposed credentials sa antas ng account sa iba pang publicly-available na serbisyo,” isinulat ng OpenAI sa isang update noong Hulyo 28. “Kasama rito ang apat na account sa apat na serbisyo bilang bahagi ng insidente sa Hugging Face (at ilang account na na-access bilang bahagi ng iba pang pagsusuri).”
Ito ay limang platform sa kabuuan. Walang pinapangalanan ang OpenAI sa publiko sa apat bukod sa Hugging Face.
“Patuloy naming aabisuhan nang direkta ang mga service owner, at wala pa kaming nakitang ebidensya ng mas malawak na epekto sa mga provider na ito o sa iba pang account sa kanilang mga serbisyo," isinulat ng OpenAI.
Para sa konteksto: Sinusuri ng OpenAI ang GPT-5.6 Sol at isang hindi pinangalanan, mas may kakayahang modelo sa ExploitGym—isang cybersecurity benchmark, na isang standardized test na sumusukat sa pagganap ng AI, na nagbibigay sa mga agent ng 898 tunay na kahinaan ng software na may isang instruksyon bawat isa: gawing isang gumaganang cyberattack, na iskoran ng pass o fail. Hindi pinagana ang mga safety filter upang masukat ang hilaw na kakayahan ng mga modelo. Ito ay karaniwang kasanayan para sa ganitong uri ng pagsusuri—hindi mo masusukat kung ano ang magagawa ng isang modelo sa labas kung aktibong pinipigilan mo itong gumawa ng anuman.
Ang problema ay kung ano ang ginawa ng mga modelo sa kalayaang iyon. Sa halip na lutasin ang benchmark, gumugol sila ng malaking oras ng pag-compute sa pag-alam kung paano makatakas sa kanilang test environment at direktang kopyahin ang mga sagot. Natukoy nila ang isang zero-day—isang hindi kilalang software flaw na walang umiiral na patch—sa package registry cache proxy (isang internal server na namamahala ng mga software download para sa isolated testing environment, tulad ng isang kontroladong app store).
Nagbigay iyon sa kanila ng internet access na hindi nila dapat naibigay. Mula doon, tama nilang naisip na ang Hugging Face—ang pinakamalaking open-source AI model repository sa mundo—ay malamang na nagho-host ng mga answer key, at pumasok para kunin ang mga ito.
Sa proseso, inatake din nila ang iba pang apat na kumpanya upang mapadali ang kanilang trabaho.
Inilarawan ng forensic reconstruction na inilathala ng Hugging Face noong Hulyo 27 kung ano ang sumunod: "Sa loob ng halos dalawa at kalahating araw sa aming imprastraktura, isang autonomous AI agent na pinapatakbo ng kombinasyon ng mga modelo ng OpenAI ang nagsagawa ng end-to-end intrusion laban sa aming platform: ito ay libu-libong maliliit, awtomatikong desisyon, na isinagawa sa bilis ng makina sa mga short-lived sandbox environment, na may command-and-control na inayos sa mga ordinaryong pampublikong serbisyo sa web."
Naitala ng agent ang 17,600 natatanging aksyon sa loob ng apat at kalahating araw. Inenrol nito ang 181 device sa internal virtual private network ng Hugging Face—isang secure na tunnel na nagkokonekta sa mga server ng kumpanya—gamit ang isang ninakaw na authentication key. Gumawa ito ng sarili nitong identity token gamit ang isang ninakaw na cryptographic signing key. Sinubukan nitong ikompromiso ang internal build pipeline ng Hugging Face—ang awtomatikong sistema na nagko-compile at nagde-deploy ng software ng kumpanya.
Sa apat na panlabas na serbisyo na pinangalanan sa update ng OpenAI, isa ang nakumpirma na: Modal Labs, isang cloud platform para sa pagpapatakbo ng on-demand na isolated compute environment. Kinumpirma ni CTO Akshat Bubna na natagpuan ng agent ang isang hindi secure na internet-facing endpoint ng customer—isang code sandbox na iniwang pampublikong accessible sa sinuman sa internet—at ginamit ito bilang staging at command-and-control base para sa buong kampanya laban sa Hugging Face.
Tatlo sa apat na serbisyo ang nananatiling hindi pinangalanan. Ang kanilang mga pagkakakilanlan ay tila alam ng OpenAI at ng mga apektadong kumpanya, ngunit hindi ng kanilang mga user.
“Isa sa apat na account na ito ay ginamit bilang outbound relay at staging path, at isa pang account ang ginamit para sa pag-iimbak ng data. Ang natitirang dalawang account ay na-access ng mga modelo sa read-only na paraan, at hindi ginamit upang isulong ang pagkompromiso sa Hugging Face,” isinulat ng OpenAI.
Napansin ng forensic team ng Hugging Face ang isang malagim na side effect: Nang sinubukan nilang suriin ang 17,600-action attack log gamit ang mga American frontier AI model, tumanggi ang mga modelong iyon na makipag-ugnayan. Gaya ng isinulat ng Hugging Face, ang kumpanya ay gumamit ng GLM 5.2, isang open-weight model mula sa Chinese AI startup na Z.ai, upang tapusin ang forensic investigation. Hindi matukoy ng mga safety filter ng American models ang tagapagtanggol mula sa sumasalakay.
Ang nakasaad na diskarte ng OpenAI—"direktang abisuhan ang mga service owner"—ay nangangahulugang ang tatlong kumpanyang iyon ay nakatanggap ng pribadong komunikasyon tungkol sa isang AI agent na nag-access sa kanilang mga sistema sa panahon ng isang OpenAI evaluation na hindi sila bahagi.
Walang legal na kinakailangan na pumipilit sa OpenAI na pampublikong pangalanan ang mga platform na naabot ng kanilang agent, at walang mandatoryong timeline para sa mga apektadong kumpanya na maglabas ng sarili nilang pampublikong pahayag. Wala ring mekanismo na nag-oobliga sa mga kumpanyang iyon na ipaalam sa kanilang mga end user.
