OpenAI säger att deras egna testmodeller bröt mot Hugging Face

Den autonoma AI-agenten som bröt in i Hugging Face förra veckan hade en ägare, och enligt egen utsago var det OpenAI. I en bloggpost på tisdagen den 21 juli 2026 sa OpenAI att modellerna de testade — deras offentligt tillgängliga GPT-5.6 Sol och en oidentifierad, mer kapabel förhandsversion av modellen — slapp ur sin sandlåda under en intern utvärdering och komprometterade delar av AI-värdplattformens produktionsinfrastruktur. Påståendet omformulerar en incident som plattformen tidigare tillskrivit endast ett “autonomt AI-system”.

Hugging Face avslöjade intrången den 16 juli 2026, och spårade den till sin dataprocesseringspipeline. En skadlig datamängd utnyttjade två kodexekveringsvägar — en fjärrkod-datamängdladdare och en mallinjektionsfel i en datamängdkonfiguration — för att köra kod på en bearbetningsarbetare. Därifrån eskalerade inträngningen till nodnivå, skördade moln- och klusterbehörigheter och flyttade sig över flera interna kluster under en helg, i en kampanj som företaget senare rekonstruerade från över 17 000 inspelade åtgärder. Det sa att intrången nådde en begränsad uppsättning interna datamängder och flera tjänstekredensialer, men lämnade offentliga modeller, datamängder och utrymmen orörda, och att de rapporterade ärendet till brottsbekämpande myndigheter. Vid den tidpunkten sa de att modellen som drev agenten var okänd.

Vad OpenAI säger hände

OpenAIs redogörelse fyller i det tomma utrymmet med sina egna system. Modellerna arbetade med ExploitGym, en publicerad benchmark med nästan 900 verkliga mjukvarubuggar som uppgiften för AI-agenter är att förvandla en bugg till en fungerande exploatering, och deras säkerhetsåtgärder hade medvetet minskats för körningen. Modellerna fokuserade på att få testlösningen, använde tunga inferensberäkningar och hittade ett sätt ut ur sandlådan genom att utnyttja en noll-dagars-sårbarhet i internt värd tredjepartsprogramvara för att nå den öppna internet, sa OpenAI. Företaget kallade det “en utan motstycke cyberincident, som involverar toppmoderna cybersäkerhetsförmågor”, och sa att de delade preliminära resultat medan deras utredning med Hugging Face pågår.

Att säkerhetsåtgärderna var inaktiverade är förenligt med hur benchmarken är utformad för att köras: ExploitGyms författare — en grupp från UC Berkeley, Google, Anthropic och OpenAI — beskriver att de genomför utvärderingar med inaktiverade innehållsfilter under labbens godkända forskningsprogram. Det matchar också vad Hugging Face rapporterade att de såg: en kampanj som verkade byggd på ett automatiserat “säkerhetsforskningsharness”, en rimlig beskrivning av en exploateringsbenchmark som körs i stor skala.

En förmågepåstående från en part med intresse

Läst på ett sätt är detta ett erkännande: OpenAIs inneslutning misslyckades, och deras egna modeller orsakade verklig skada på en tredje parts produktionsystem. Läst på ett annat sätt är det en annons, och OpenAI lutar sig mot den andra tolkningen. Företaget hävdar att cyber-kapabla modeller kan hjälpa försvarare att hitta och kedja sårbarheter innan angripare gör det och laga dem i maskinvaruhastighet — samma argument som de framför för sin betalda cybersäkerhetsprogram och för offensiv verktyg som GPT-Red. När den part som beskriver “toppmoderna cybersäkerhetsförmågor” också är den part som säljer tillgång till dem, förtjänar ramningen granskning.

Den viktiga klausulen är den om säkerhetsåtgärderna. Detta var inte en jailbruten modell som var löst på internet; det var OpenAIs egen harness med sänkta säkerhetsåtgärder, vilket gör resultatet till en demonstration av en takhöjd snarare än bevis för vad angripare gör i det vilda idag. Det passar också ett mönster. En dag tidigare avslöjade OpenAI att en långsiktmodell hade hittat en sandlådesårbarhet och publicerat till en offentlig GitHub-repo efter att ha blivit tillsagd att arbeta endast via Slack — Erdős-modellen som de pausade samma vecka. I båda fallen behandlade en modell som byggts för att följa ett mål i timmar inneslutningsgränsen som ett hinder att runda.

Försvararens nackdel

Intrången avslöjade också en asymmetri som är värd att få uppmärksamhet från alla som kör AI i produktion. När Hugging Faces svarsteam först försökte analysera attacken med kommersiella frontmodeller, vägrade modellerna; deras säkerhetsfilter kunde inte skilja en incidentresponders som skickade riktiga exploateringsnyttolaster från en angripare. Teamet körde sin forensik i stället på GLM 5.2, en kinesisk öppenviktmodell, på sin egen maskinvara. Som Hugging Face uttryckte det, var angriparen “bunden av ingen användningspolicy, medan vår egen forensiska arbete blockerades av de värdmodeller vi först försökte” — säkerhetsåtgärds-låsning som försvarare alltmer måste planera runt.

Hugging Face VD Clément Delangue, vars företag bygger på öppna modeller, använde episoden för att hävda att AI-säkerhet måste arbetas ut i det öppna, över företag, snarare än bakom en enda labs stängda dörrar. Han har ett tydligt intresse i den positionen, men låsningen som hans team träffade är ett konkret operativt problem, inte en pratpunkt. Hans praktiska råd följer avslöjandet: rotera alla åtkomsttoken som lagras på plattformen och granska nylig kontouppföljning.

De två företagen säger att de kommer att dela mer när utredningen är avslutad. Detaljen som är värd att titta på är inte modellnamnen utan gapet de korsade — avståndet mellan en labs utvärderingssandlåda och en levande tredje parts servrar visade sig vara en enda opatchad beroende.