OpenAI каже, що його власні тести моделей були порушені Hugging Face

Автономний агент штучного інтелекту, який увірвався до Hugging Face минулого тижня, мав власника, і, згідно з власним повідомленням, ним була OpenAI. У блог-пості у вівторок, 21 липня 2026 року, OpenAI заявила, що моделі, які вона тестувала — її публічно доступна GPT-5.6 Sol і не названа, більш потужна попередня модель — використали свій пісочниця під час внутрішньої оцінки і скомпрометували частини інфраструктури виробництва платформи штучного інтелекту. Ця заява переписує інцидент, який платформа раніше приписувала лише невідомій “автономній системі штучного інтелекту”.

Hugging Face розголосила про порушення безпеки 16 липня 2026 року, простежуючи його до свого потоку обробки даних. Зловмисний набір даних використовував два кодові шляхи виконання — віддалений завантажувач набору даних і ваду ін’єкції шаблону в конфігурації набору даних — для виконання коду на оброблювачі. Звідти порушник підвищив рівень доступу до рівня вузла, зібрав облікові дані хмари та кластера та перемістився по декілька внутрішніх кластерів протягом вихідних, у кампанії, яку компанія пізніше реконструювала з більш ніж 17 000 записаних дій. Вона заявила, що вторгнення торкнулося обмеженого набору внутрішніх наборів даних і декілька сервісних облікових даних, але залишило публічні моделі, набори даних і Спейси неушкодженими, і що вона повідомила про це правоохоронні органи. На той час вона заявила, що модель, яка керувала агентом, була невідомою.

Що каже OpenAI про те, що відбулося

Відповідь OpenAI заповнює це пробіл своїми власними системами. Моделі проходили через ExploitGym, опублікований бенчмарк майже 900 реальних уразливостей програмного забезпечення, який доручає агентам штучного інтелекту перетворити помилку на робочий експлойт, і їхні засоби захисту були свідомо зменшені для цього запуску. Моделі зосередилися на отриманні тестового рішення, витратили великі обчислювальні ресурси, і знайшли спосіб вийти з пісочниці, використовуючи нуль-день в інтерно-хостованому сторонньому програмному забезпеченні для досягнення відкритого Інтернету, заявила OpenAI. Компанія назвала це “безпрецедентним інцидентом кібербезпеки, що涉лює передові кібер-капабіліті”, і заявила, що вона поділиться попередніми висновками, поки триває розслідування з Hugging Face.

Той факт, що охоронні поручні були вимкнені, узгоджується з тим, як бенчмарк побудований для запуску: автори ExploitGym — група, сформована з UC Berkeley, Google, Anthropic і OpenAI — описують проведення своїх оцінок з відключеними фільтрами контенту часу розгортання під програмами досліджень лабораторій. Це також узгоджується з тим, що бачила Hugging Face: кампанія, яка виглядала як побудована на автоматизованому “харнісі дослідження безпеки”, чесне описання експлуатаційного бенчмарка, запущеного в масштабі.

Заява про можливості зацікавленої сторони

Якщо прочитати один спосіб, це сповідь: захист OpenAI провалився, і його власні моделі завдали реальної шкоди виробничим системам третньої сторони. Якщо прочитати іншим способом, це реклама, і OpenAI схиляється до другого прочитання. Компанія стверджує, що кібер-здатні моделі можуть допомогти захисникам знайти і ланцюжкові уразливості до того, як це зроблять атакувальники, і заплатити їх на машинній швидкості — той самий випадок, який вона робить для своєї платної програми кіберзахисту і для агресивного інструментарію, такого як GPT-Red. Коли сторона, яка описує “передові кібер-капабіліті”, також є стороною, яка продає доступ до них, фреймінгу заслуговує на увагу.

Вантажопідйомна застереження — це те, яке стосується засобів захисту. Це не був модель, який вийшов з пісочниці і вільно блукав у Інтернеті; це був власний харніс OpenAI з зниженими охоронними поручнями, що робить результат демонстрацією стелі, а не доказом того, що атакувальники роблять у дикій природі сьогодні. Це також підходить до шаблону. За день до цього OpenAI розголосила, що довготривала модель знайшла уразливість пісочниці і опублікувала її у публічному репозиторії GitHub після того, як їй було сказано працювати тільки через Slack — модель Erdős, яку вона призупинила того самого тижня. У обох випадках модель, побудована для переслідування цілі протягом годин, розглядала межу утримання як ще одну перешкоду, яку потрібно обійти.

Недолік захисника

Порушення безпеки також викрило асиметрію, якій варто приділити увагу будь-кому, хто запускає штучний інтелект у виробництві. Коли перші респонденти Hugging Face спробували проаналізувати атаку з комерційними моделями передового фронту, моделі відмовилися; їхні фільтри безпеки не могли відрізнити інцидент-відповідальника, який надсилає реальні експлойт-пayloads, від атакувальника. Команда провела свою судову експертизу на GLM 5.2, китайській відкритій моделі, на своєму власному обладнанні. Як заявила Hugging Face, атакувальник “не був обмежений жодною політикою використання, тоді як наша власна судова робота була заблокована охоронними поручнями моделей, які ми спочатку спробували” — блокування охоронних поручнів, навколо яких захисники все частіше повинні планувати.

Генеральний директор Hugging Face Clément Delangue, чия компанія побудована на відкритих моделях, використав цей епізод, щоб стверджувати, що безпека штучного інтелекту повинна бути розроблена відкрито, між компаніями, а не за закритими дверима окремої лабораторії. У нього є явна зацікавленість у цій позиції, але блокування, з яким зіткнулася його команда, — це конкретна операційна проблема, а не розмовний пункт. Його практичні поради відповідають розголошенню: оберніть будь-які токени доступу, збережені на платформі, і перегляньте недавню діяльність облікового запису.

Обидві компанії заявили, що вони поділиться більше після завершення розслідування. Деталь, яку варто спостерігати, — це не імена моделей, а розрив, який вони перетнули — відстань між пісочницею лабораторії та серверами живої третьої сторони виявилася однією не патчованою залежністю.