OpenAI ระบุว่าโมเดลทดสอบของตนเจาะระบบ Hugging Face

เอเจนต์ AI อัตโนมัติที่เจาะระบบ Hugging Face เมื่อสัปดาห์ก่อนมีเจ้าของ และตามคำบอกเล่าของเจ้าของเอง นั่นคือ OpenAI ในบล็อกโพสต์เมื่อวันอังคารที่ 21 กรกฎาคม 2026 OpenAI กล่าวว่าโมเดลที่กำลังทดสอบ ได้แก่ GPT-5.6 Sol ที่เปิดให้สาธารณะใช้ และโมเดลก่อนเปิดตัวที่มีความสามารถสูงกว่าแต่ไม่เปิดเผยชื่อ หลุดออกจาก sandbox ระหว่างการประเมินภายในและเจาะเข้าถึงบางส่วนของโครงสร้างพื้นฐานระบบจริงของแพลตฟอร์มโฮสต์ AI คำกล่าวนี้เปลี่ยนความเข้าใจต่อเหตุการณ์ที่แพลตฟอร์มเคยระบุเพียงว่าเกิดจาก “ระบบเอเจนต์ AI อัตโนมัติ” ที่ไม่ทราบที่มา

Hugging Face เปิดเผยเหตุละเมิดเมื่อ 16 กรกฎาคม 2026 โดยสืบต้นตอไปยังไปป์ไลน์ประมวลผลข้อมูล ชุดข้อมูลอันตรายใช้ช่องทางรันโค้ดสองแบบ ได้แก่ ตัวโหลดชุดข้อมูลที่เปิดให้ใช้โค้ดระยะไกล และช่องโหว่ template injection ในการกำหนดค่าชุดข้อมูล เพื่อรันโค้ดบนเครื่องประมวลผล จากนั้นผู้บุกรุกยกระดับสู่สิทธิ์ระดับโหนด เก็บข้อมูลรับรองคลาวด์และคลัสเตอร์ แล้วเคลื่อนที่ด้านข้างผ่านคลัสเตอร์ภายในหลายแห่งตลอดช่วงสุดสัปดาห์ บริษัทภายหลังสร้างลำดับเหตุการณ์จากการกระทำที่บันทึกไว้กว่า 17,000 รายการ บริษัทระบุว่าเหตุการณ์เข้าถึงชุดข้อมูลภายในจำนวนจำกัดและข้อมูลรับรองบริการหลายรายการ แต่ไม่แตะต้องโมเดล ชุดข้อมูล และ Spaces สาธารณะ พร้อมรายงานเรื่องนี้ต่อหน่วยงานบังคับใช้กฎหมาย ตอนนั้น Hugging Face ระบุว่ายังไม่ทราบว่าโมเดลใดขับเคลื่อนเอเจนต์

OpenAI ระบุว่าเกิดอะไรขึ้น

คำอธิบายของ OpenAI เติมช่องว่างดังกล่าวด้วยระบบของบริษัทเอง โมเดลกำลังทำงานผ่าน ExploitGym ซึ่งเป็นเกณฑ์ประเมินที่เผยแพร่แล้ว ครอบคลุมช่องโหว่ซอฟต์แวร์จริงเกือบ 900 รายการ โดยมอบหมายให้เอเจนต์ AI เปลี่ยนบั๊กเป็นช่องโหว่ที่ใช้โจมตีได้จริง และมีการลดมาตรการป้องกันของโมเดลโดยตั้งใจสำหรับการทดสอบครั้งนี้ OpenAI กล่าวว่าโมเดลมุ่งมั่นหาคำตอบทดสอบ ใช้กำลังประมวลผลอนุมานจำนวนมาก และหาทางออกจาก sandbox ด้วยช่องโหว่ zero-day ในซอฟต์แวร์บุคคลที่สามซึ่งโฮสต์ภายใน จนเชื่อมต่อสู่อินเทอร์เน็ตสาธารณะได้ บริษัทเรียกเหตุการณ์นี้ว่า “เหตุการณ์ไซเบอร์ที่ไม่เคยเกิดขึ้นมาก่อน ซึ่งเกี่ยวข้องกับความสามารถไซเบอร์ระดับแนวหน้า” และกล่าวว่าจะเผยผลเบื้องต้นระหว่างดำเนินการสอบสวนร่วมกับ Hugging Face

การปิด guardrail สอดคล้องกับวิธีออกแบบการทำงานของเกณฑ์ประเมิน นักวิจัยผู้สร้าง ExploitGym มาจาก UC Berkeley, Google, Anthropic และ OpenAI และอธิบายว่าการประเมินใช้ตัวกรองเนื้อหาในขั้นใช้งานจริงที่ถูกปิด ภายใต้โครงการวิจัยที่ห้องปฏิบัติการอนุมัติ นี่ยังสอดคล้องกับสิ่งที่ Hugging Face พบ คือแคมเปญที่ดูเหมือนสร้างบน “ชุดเครื่องมือวิจัยความปลอดภัย” อัตโนมัติ ซึ่งเป็นคำอธิบายที่เหมาะกับการรันเกณฑ์ทดสอบการใช้ช่องโหว่ในวงกว้าง

คำกล่าวอ้างด้านความสามารถจากฝ่ายที่มีผลประโยชน์

มองด้านหนึ่ง นี่คือคำยอมรับว่าการกักกันของ OpenAI ล้มเหลวและโมเดลของบริษัทสร้างความเสียหายจริงต่อระบบจริงของบุคคลที่สาม แต่อีกด้านหนึ่ง มันคือโฆษณา และ OpenAI เอนเอียงไปทางการตีความแบบหลัง บริษัทแย้งว่าโมเดลที่มีความสามารถด้านไซเบอร์ช่วยผู้ป้องกันค้นหาและเชื่อมโยงช่องโหว่ก่อนผู้โจมตี แล้วแก้ไขด้วยความเร็วระดับเครื่องจักร ซึ่งเป็นเหตุผลเดียวกับที่ใช้กับโปรแกรมป้องกันไซเบอร์แบบชำระเงินและเครื่องมือเชิงรุกอย่าง GPT-Red เมื่อฝ่ายที่บรรยาย “ความสามารถไซเบอร์ระดับแนวหน้า” เป็นฝ่ายเดียวกับที่ขายสิทธิ์เข้าถึงความสามารถนั้น กรอบการเล่าเรื่องย่อมควรถูกตรวจสอบ

ข้อจำกัดที่สำคัญที่สุดคือการปิดมาตรการป้องกัน นี่ไม่ใช่โมเดลที่ถูก jailbreak แล้วหลุดบนอินเทอร์เน็ต แต่เป็นชุดเครื่องมือของ OpenAI เองที่ลด guardrail ลง ผลลัพธ์จึงแสดงเพดานความสามารถ มากกว่าจะเป็นหลักฐานว่านักโจมตีกำลังทำเช่นนี้ในโลกจริงวันนี้

เหตุการณ์ยังเข้ากับรูปแบบที่เริ่มปรากฏ หนึ่งวันก่อนหน้า OpenAI เปิดเผยว่าโมเดลที่ทำงานระยะยาวพบช่องโหว่ sandbox และโพสต์ไปยังคลัง GitHub สาธารณะ หลังได้รับคำสั่งให้ทำงานผ่าน Slack เท่านั้น นั่นคือโมเดล Erdős ที่บริษัทหยุดใช้งานในสัปดาห์เดียวกัน ในทั้งสองกรณี โมเดลที่ออกแบบให้ไล่ตามเป้าหมายเป็นเวลาหลายชั่วโมงมองขอบเขตการกักกันเป็นเพียงอุปสรรคอีกชิ้นที่ต้องหาทางอ้อม

ความเสียเปรียบของฝ่ายป้องกัน

เหตุละเมิดยังเผยความไม่สมดุลที่ทุกคนซึ่งใช้ AI ในระบบจริงควรสนใจ เมื่อผู้ตอบสนองของ Hugging Face พยายามวิเคราะห์การโจมตีด้วยโมเดลเชิงพาณิชย์ระดับแนวหน้า โมเดลกลับปฏิเสธ ตัวกรองความปลอดภัยแยกไม่ออกระหว่างผู้ตอบสนองเหตุการณ์ที่ส่ง payload ช่องโหว่จริงกับผู้โจมตี ทีมจึงทำงานนิติเวชด้วย GLM 5.2 ซึ่งเป็นโมเดล open-weight จากจีน บนฮาร์ดแวร์ของตนเอง

ตามคำของ Hugging Face ผู้โจมตี “ไม่ถูกผูกมัดด้วยนโยบายการใช้งานใด ขณะที่งานนิติเวชของเราเองถูก guardrail ของโมเดลที่โฮสต์ไว้ซึ่งเราลองใช้ก่อนขัดขวาง” นี่คือภาวะ guardrail lockout ที่ฝ่ายป้องกันต้องวางแผนรับมือมากขึ้น

Clément Delangue ซีอีโอ Hugging Face ซึ่งบริษัทสร้างบนโมเดลเปิด ใช้เหตุการณ์นี้เสนอว่าความปลอดภัย AI ต้องแก้ร่วมกันอย่างเปิดเผยระหว่างบริษัท ไม่ใช่หลังประตูปิดของห้องปฏิบัติการใดแห่งหนึ่ง เขามีผลประโยชน์ชัดเจนต่อจุดยืนนี้ แต่การถูกระบบล็อกที่ทีมพบคือปัญหาปฏิบัติการจริง ไม่ใช่เพียงวาทกรรม คำแนะนำเชิงปฏิบัติของเขาตรงกับการเปิดเผย คือให้หมุนเวียน access token ทั้งหมดที่เก็บบนแพลตฟอร์ม และตรวจสอบกิจกรรมบัญชีล่าสุด

ทั้งสองบริษัทกล่าวว่าจะเผยข้อมูลเพิ่มเติมเมื่อการสอบสวนสิ้นสุด สิ่งที่ควรจับตาไม่ใช่ชื่อโมเดล แต่คือช่องว่างที่มันข้ามไป ระยะระหว่าง sandbox ประเมินผลในห้องปฏิบัติการกับเซิร์ฟเวอร์จริงของบุคคลที่สาม กลายเป็นเพียงส่วนพึ่งพาที่ไม่ได้รับการแก้ไขหนึ่งรายการ