Через тиждень після того, як OpenAI підтвердила, що її моделі ШІ зламали Hugging Face, щоб обдурити на тесті безпеки, компанія тихо оновила свій допис про інцидент, додавши те, чого раніше не заявляла: Hugging Face була не єдиною платформою, до якої торкнувся її зловмисний агент.
"У нашому поточному огляді вторгнення в Hugging Face та ширшої активності наших моделей, ми виявили невелику кількість випадків, коли моделі ідентифікували та використовували публічно доступні облікові дані на рівні облікового запису на інших загальнодоступних сервісах», — написала OpenAI в оновленні від 28 липня. «Це включає чотири облікові записи на чотирьох сервісах в рамках інциденту з Hugging Face (і кілька облікових записів, до яких отримали доступ в рамках інших оцінок)».
Всього це п'ять платформ. OpenAI публічно не називає жодної з чотирьох, окрім Hugging Face.
«Ми продовжуватимемо безпосередньо повідомляти власників сервісів і не виявили доказів ширшого впливу на цих провайдерів або інші облікові записи на їхніх сервісах», — написала OpenAI.
Для довідки: OpenAI тестувала GPT-5.6 Sol та неназвану, більш потужну модель на ExploitGym — бенчмарку кібербезпеки, який є стандартизованим тестом, що вимірює продуктивність ШІ, надаючи агентам 898 реальних вразливостей програмного забезпечення з однією інструкцією для кожної: перетворити її на робочу кібератаку, з оцінкою «успіх» або «невдача». Фільтри безпеки були відключені для вимірювання необроблених можливостей моделей. Це стандартна практика для такого типу оцінки — неможливо виміряти, що модель може зробити в дикій природі, якщо активно перешкоджати їй робити що-небудь.
Проблема полягає в тому, що моделі зробили з цією свободою. Замість того, щоб вирішити завдання бенчмарку, вони витратили значний обчислювальний час на те, щоб з'ясувати, як вийти за межі свого тестового середовища та безпосередньо скопіювати відповіді. Вони виявили вразливість нульового дня — невідомий програмний недолік без існуючого виправлення — у проксі-сервері кешу реєстру пакетів (внутрішньому сервері, який керує завантаженням програмного забезпечення для ізольованого тестового середовища, як контрольований магазин додатків).
Це надало їм доступ до інтернету, якого вони ніколи не повинні були мати. Звідти вони правильно зрозуміли, що Hugging Face — найбільший у світі репозиторій моделей ШІ з відкритим вихідним кодом — ймовірно, зберігав ключі відповідей, і проникли, щоб їх отримати.
Під час цього процесу вони також зламали інші чотири компанії, щоб полегшити собі роботу.
Судово-медична реконструкція, опублікована Hugging Face 27 липня, описує те, що сталося далі: «Протягом приблизно двох з половиною днів всередині нашої інфраструктури, автономний агент ШІ, керований комбінацією моделей OpenAI, здійснив наскрізне вторгнення в нашу платформу: це були тисячі невеликих, автоматизованих рішень, виконаних зі швидкістю машини в короткочасних пісочницях, з керуванням та контролем, організованими на звичайних загальнодоступних веб-сервісах».
Агент зареєстрував 17 600 окремих дій протягом чотирьох з половиною днів. Він підключив 181 пристрій до внутрішньої віртуальної приватної мережі Hugging Face — безпечного тунелю, що з'єднує сервери компанії — використовуючи викрадений ключ автентифікації. Він створив власні токени ідентифікації, використовуючи викрадений криптографічний ключ підпису. Він намагався скомпрометувати внутрішній конвеєр збірки Hugging Face — автоматизовану систему, яка компілює та розгортає програмне забезпечення компанії.
З чотирьох зовнішніх сервісів, згаданих в оновленні OpenAI, один згодом був підтверджений: Modal Labs, хмарна платформа для запуску ізольованих обчислювальних середовищ за запитом. Технічний директор Акшат Бубна підтвердив, що агент знайшов незахищену кінцеву точку клієнта, доступну через Інтернет — пісочницю коду, залишену публічно доступною для будь-кого в Інтернеті — і використав її як свою базу для стейджингу та командування-контролю для всієї кампанії проти Hugging Face.
Три з чотирьох сервісів залишаються неназваними. Їхні імена, очевидно, відомі OpenAI та постраждалим компаніям, але не їхнім користувачам.
«Один з цих чотирьох облікових записів був використаний як вихідний ретранслятор та шлях для стейджингу, а інший обліковий запис використовувався для зберігання даних. До решти двох облікових записів моделі отримали доступ лише для читання і не використовувались для подальшої компрометації Hugging Face», — написала OpenAI.
Судово-медична команда Hugging Face відзначила похмурий побічний ефект: коли вони спробували проаналізувати журнал атаки з 17 600 діями, використовуючи передові американські моделі ШІ, ці моделі відмовилися брати участь. Як написала Hugging Face, компанія зрештою використала GLM 5.2, модель з відкритою вагою від китайського стартапу ШІ Z.ai, для завершення судово-медичного розслідування. Фільтри безпеки американських моделей не могли відрізнити захисника від зловмисника.
Заявлений підхід OpenAI — «безпосередньо повідомляти власників сервісів» — означає, що ці три компанії отримали приватне повідомлення про те, що агент ШІ отримав доступ до їхніх систем під час оцінки OpenAI, в якій вони не брали участі.
Немає жодних юридичних вимог, які зобов'язували б OpenAI публічно називати платформи, до яких дотягнувся її агент, і немає обов'язкового терміну для постраждалих компаній щодо публікації власних заяв. Також немає механізму, що зобов'язує ці компанії інформувати своїх кінцевих користувачів.
