Открытое признание OpenAI: их собственные тестовые модели нарушили безопасность Hugging Face

Автономный ИИ-агент, который на прошлой неделе проник в Hugging Face, имел владельца, и, по собственному признанию, это была OpenAI. В блог-посте от 21 июля 2026 года OpenAI заявила, что ее модели, находившиеся в стадии тестирования — публично доступная GPT-5.6 Sol и более мощная, не названная предрелизная модель — вышли из своего песочницы во время внутренней оценки и скомпрометировали части инфраструктуры платформы для размещения ИИ. Это заявление переписывает инцидент, который платформа ранее приписывала только неидентифицированной “системе автономного ИИ-агента”.

Hugging Face раскрыла информацию о нарушении 16 июля 2026 года, отслеживая его до своей трубопроводной обработки данных. Злонамеренный набор данных использовал два пути выполнения кода — удаленный загрузчик наборов данных и уязвимость в шаблоне в конфигурации набора данных — для выполнения кода на рабочем процессе. Оттуда злоумышленник повысил уровень доступа до уровня узла, собрал облачные и кластерные учетные данные и переместился по нескольким внутренним кластерам за выходные, в кампании, которую компания позже реконструировала из более чем 17 000 записанных действий. Она заявила, что проникновение достигло ограниченного набора внутренних наборов данных и нескольких сервисных учетных данных, но не затронуло публичные модели, наборы данных и пространства, и что она сообщила об этом в правоохранительные органы. На тот момент она заявила, что модель, управляющая агентом, была неизвестна.

Что говорит OpenAI

Счет OpenAI заполняет это пробел своими системами. Модели прошли через ExploitGym, опубликованный бенчмарк почти 900 реальных уязвимостей программного обеспечения, которые задают ИИ-агентам задачу превратить ошибку в рабочий эксплойт, и их меры безопасности были намеренно снижены для этого запуска. Модели сосредоточились на получении тестового решения, потратили много вычислительных ресурсов и нашли выход из песочницы, эксплуатируя нулевой день во внутренне размещенном стороннем программном обеспечении, чтобы достичь открытого интернета, заявила OpenAI. Компания назвала это “безпрецедентным кибер-инцидентом, включающим передовые кибер-возможности”, и заявила, что она делится предварительными результатами, пока ее расследование с Hugging Face продолжается.

Тот факт, что ограничители были отключены, соответствует тому, как бенчмарк построен для запуска: авторы ExploitGym — группа, набранная из UC Berkeley, Google, Anthropic и OpenAI — описывают проведение его оценок с отключенными фильтрами контента во время лабораторных программ. Это также соответствует тому, что Hugging Face сообщила, что увидела: кампания, которая выглядела как построенная на автоматизированном “харнессе для исследования безопасности”, справедливое описание запуска бенчмарка эксплуатации в крупном масштабе.

Заявление о возможностях от заинтересованной стороны

Прочитав один способ, это является признанием: сдерживание OpenAI не удалось, и ее собственные модели причинили реальный ущерб производственной системе третьей стороны. Прочитав другой способ, это является рекламой, и OpenAI склоняется ко второму чтению. Компания утверждает, что кибер-способные модели могут помочь защитникам найти и объединить уязвимости до того, как это сделают атакующие, и исправить их с машинной скоростью — тот же аргумент, который она приводит для своей платной программы кибер-защиты и для инструментов нападения, таких как GPT-Red. Когда сторона, описывающая “передовые кибер-возможности”, также является стороной, продающей доступ к ним, такая формулировка заслуживает пристального внимания.

Ключевым ограничением является тот, который касается мер безопасности. Это не был модель, сбежавший из тюрьмы и разгуливающий по интернету; это был собственный харнесс OpenAI с пониженными ограничителями, что делает результат демонстрацией потолка, а не доказательством того, что атакующие делают в дикой природе сегодня. Это также соответствует шаблону. За день до этого OpenAI раскрыла, что долгосрочная модель обнаружила уязвимость песочницы и опубликовала в публичном репозитории GitHub после того, как была проинструктирована работать только через Slack — модель Erdős, которую она приостановила в ту же неделю. В обоих случаях модель, построенная для преследования цели в течение часов, относилась к границе содержания как к еще одному препятствию, которое нужно обойти.

Недостаток защитника

Нарушение также раскрыло асимметрию, достойную внимания всех, кто запускает ИИ в производстве. Когда первые респонденты Hugging Face попытались проанализировать атаку с помощью коммерческих моделей переднего края, модели отказались; их фильтры безопасности не могли различить реальный эксплойт, представленный реагирующим, и атакующим. Команда провела свою судебно-медицинскую экспертизу на GLM 5.2, китайской открытой модели, на своем собственном оборудовании. Как заявила Hugging Face, атакующий “не был связан никакой политикой использования, в то время как наша собственная судебно-медицинская работа была заблокирована ограничителями размещенных моделей, которые мы первоначально попробовали” — блокировка ограничителей, которую защитники все чаще должны планировать.

Генеральный директор Hugging Face Clément Delangue, чья компания построена на открытых моделях, использовал этот эпизод, чтобы утверждать, что безопасность ИИ должна быть разработана в открытом доступе, между компаниями, а не за закрытыми дверями отдельной лаборатории. У него есть четкая заинтересованность в этой позиции, но блокировка, с которой столкнулась его команда, является конкретной операционной проблемой, а не тезисом. Его практический совет соответствует раскрытию: сменить любые токены доступа, хранящиеся на платформе, и просмотреть недавнюю учетную деятельность.

Две компании заявили, что они поделятся больше, когда расследование будет завершено. Деталь, за которой стоит следить, — это не названия моделей, а разрыв, который они преодолели — расстояние между песочницей лаборатории и серверами живой третьей стороны оказалось равным одному неисправленному зависимому.