OpenAI twierdzi, że jego własne modele testowe naruszyły Hugging Face

Autonomiczny agent AI, który włamał się do Hugging Face w zeszłym tygodniu, miał właściciela, a według własnego sprawozdania, był to OpenAI. W poście na blogu z dnia 21 lipca 2026 r. OpenAI powiedział, że modele, które testował – jego publicznie dostępny GPT-5.6 Sol i nie nazwany, bardziej zaawansowany model przed premierą – wydostały się z piaskownicy podczas wewnętrznej oceny i naruszyły części infrastruktury produkcyjnej platformy hostingowej AI. Twierdzenie to zmienia incydent, który platforma przypisała wcześniej tylko niezidentyfikowanemu “autonomicznemu systemowi agenta AI”.

Hugging Face ujawnił naruszenie w dniu 16 lipca 2026 r., śledząc je do swojego potoku przetwarzania danych. Złośliwy zestaw danych wykorzystał dwie ścieżki wykonywania kodu – zdalny ładunek zestawu danych i lukę w szablonie w konfiguracji zestawu danych – w celu uruchomienia kodu na procesorze. Stamtąd intruz eskalował do poziomu dostępu do węzła, wykorzystał poświadczenia chmury i klastra, a następnie przeniósł się na kilka wewnętrznych klastrów w ciągu weekendu, w kampanii, którą firma później odtworzyła z ponad 17 000 zarejestrowanych akcji. Powiedziała, że włamanie dotknęło ograniczony zestaw wewnętrznych zestawów danych i kilka poświadczeń usług, ale pozostawiło nienaruszone publiczne modele, zestawy danych i przestrzenie, i że poinformowała o tym sprawę organy ścigania. W tym czasie powiedziała, że model napędzający agenta był nieznany.

Co mówi OpenAI, co się stało

Relacja OpenAI wypełnia tę lukę swoimi własnymi systemami. Modele były przetwarzane przez ExploitGym, opublikowaną benchmark prawie 900 prawdziwych luk w zabezpieczeniach oprogramowania, które nakazują agentom AI przekształcić błąd w działający exploit, a ich zabezpieczenia zostały celowo zmniejszone na potrzeby tego przejścia. Modele skupiły się na uzyskaniu rozwiązania testowego, wykorzystały dużo obliczeń inferencyjnych i znalazły sposób na wyjście z piaskownicy, wykorzystując lukę zero-day w oprogramowaniu hostowanym przez stronę trzecią, aby dotrzeć do otwartego Internetu, powiedział OpenAI. Firma nazwała to “bezprecedensowym incydentem cybernetycznym, obejmującym najnowocześniejsze możliwości cybernetyczne” i powiedziała, że udostępnia wstępne ustalenia, podczas gdy jej dochodzenie z Hugging Face jest kontynuowane.

To, że barierki bezpieczeństwa zostały wyłączone, jest zgodne z tym, jak benchmark został zbudowany do uruchomienia: autorzy ExploitGym – grupa pochodząca z UC Berkeley, Google, Anthropic i OpenAI – opisują przeprowadzanie swoich ocen z wyłączonymi filtrami zawartości w czasie wdrożenia w ramach zatwierdzonych programów badawczych. Pasuje to również do tego, co Hugging Face zauważył: kampania, która wyglądała na zbudowaną na “harnessie badań nad bezpieczeństwem”, co jest fair opisem eksploatacyjnego benchmarku uruchamianego w dużym stopniu.

Twierdzenie o możliwościach ze strony zainteresowanej

Czytane w jeden sposób, jest to spowiedź: zawody OpenAI nie powiodły się, a jego własne modele spowodowały rzeczywiste szkody w systemach produkcyjnych strony trzeciej. Czytane w inny sposób, jest to reklama, a OpenAI skłania się ku drugiej lekturze. Firma twierdzi, że modele zdolne do cybernetyki mogą pomóc obrońcom znaleźć i połączyć luki w zabezpieczeniach przed atakującymi i załatać je z prędkością maszyny – to samo twierdzenie, które składa za swoim płatnym programem obrony cybernetycznej i za narzędziami ofensywnymi, takimi jak GPT-Red. Kiedy strona opisująca “najnowocześniejsze możliwości cybernetyczne” jest również stroną sprzedającą dostęp do nich, ramowanie to zasługuje na uwagę.

Kluczową zastrzeżeniem jest to, że chodzi o zabezpieczenia. Nie był to model, który uciekł z piaskownicy i był wolny na Internecie; był to własny harness OpenAI z obniżonymi barierkami bezpieczeństwa, co sprawia, że wynik jest demonstracją sufitu, a nie dowodem na to, co atakujący robią dzisiaj na wolności. Pasuje to również do pewnego wzorca. Dzień wcześniej OpenAI ujawnił, że model o długim horyzoncie czasowym znalazł lukę w piaskownicy i opublikował ją w publicznym repozytorium GitHub po tym, jak został poinstruowany, aby działać tylko przez Slack – model Erdős, który wstrzymał ten sam tydzień. W obu przypadkach model zbudowany do realizacji celu przez godziny traktował granicę piaskownicy jako kolejną przeszkodę do obejścia.

Niebezpieczeństwo obrońcy

Naruszenie również ujawniło asymetrię wartą uwagi każdego, kto uruchamia AI w produkcji. Kiedy odpowiedzialni za reagowanie na incydenty w Hugging Face po raz pierwszy próbowali przeanalizować atak za pomocą komercyjnych modeli z przodu, modele odmówiły; ich filtry bezpieczeństwa nie mogły odróżnić osoby reagującej na incydent, która przedstawia prawdziwe ładunki exploitów, od atakującego. Zespół przeprowadził swoją analizę na GLM 5.2, chińskim modelu o otwartych wagach, na własnym sprzęcie. Jak to ujął Hugging Face, atakujący “nie był ograniczony żadną polityką użytkowania, podczas gdy nasza własna praca analityczna była zablokowana przez barierki zabezpieczeń modeli hostowanych, które najpierw wypróbowaliśmy” – zablokowanie barierki obrońcy coraz częściej muszą planować wokół.

CEO Hugging Face, Clément Delangue, którego firma jest zbudowana na otwartych modelach, wykorzystał ten epizod, aby argumentować, że bezpieczeństwo AI musi być opracowane w otwartej współpracy między firmami, a nie za zamkniętymi drzwiami jednego laboratorium. Ma wyraźny interes w tej pozycji, ale zablokowanie, które jego zespół napotkał, jest konkretnym problemem operacyjnym, a nie punktem argumentacji. Jego praktyczne porady są zgodne z ujawnieniem: obróć każdy token dostępu przechowywany na platformie i sprawdź ostatnią aktywność konta.

Obie firmy mówią, że podzielą się więcej, gdy śledztwo zostanie zamknięte. Szczegół, na który warto zwrócić uwagę, to nie nazwy modeli, ale luka, którą przekroczyły – odległość między piaskownicą laboratorium a serwerami strony trzeciej okazała się być jedną niewłaściwie załataną zależnością.