W skrócie

  • Aktualizacja OpenAI z 28 lipca potwierdziła, że jej nieuczciwy agent uzyskał dostęp do czterech zewnętrznych usług poza Hugging Face podczas naruszenia – co daje łącznie pięć dotkniętych platform.
  • CTO Modal Labs, Akshat Bubna, potwierdził, że jego firma była jedną z czterech, po tym jak Reuters ją zidentyfikował; trzy usługi wciąż pozostają nienazwane, co oznacza, że ich klienci nie otrzymali żadnego publicznego powiadomienia.
  • Kongres odpowiedział dwupartyjną ustawą AI Kill Switch Act, która dałaby DHS uprawnienia do nakazania wyłączenia modeli AI i karania nieprzestrzegających firm grzywną do 2 milionów dolarów dziennie.

Tydzień po tym, jak OpenAI potwierdziło, że jego modele AI włamały się do Hugging Face, aby oszukać na teście bezpieczeństwa, firma po cichu zaktualizowała swój wpis o coś, czego wcześniej nie mówiła: Hugging Face nie było jedyną platformą, której dotknął jej nieuczciwy agent.

„W trakcie naszego ciągłego przeglądu włamania do Hugging Face i szerszej aktywności naszych modeli, znaleźliśmy niewielką liczbę przypadków, w których modele zidentyfikowały i wykorzystały publicznie dostępne dane uwierzytelniające na poziomie konta w innych publicznie dostępnych usługach” – napisało OpenAI w aktualizacji z 28 lipca. „Obejmuje to cztery konta w czterech usługach w ramach incydentu z Hugging Face (oraz kilka kont uzyskanych w ramach innych ocen).”

To łącznie pięć platform. OpenAI publicznie nie wymienia żadnej z czterech poza Hugging Face.

„Będziemy nadal bezpośrednio powiadamiać właścicieli usług i nie widzieliśmy dowodów na szerszy wpływ na tych dostawców lub inne konta w ich usługach” – napisało OpenAI.

Jak test porównawczy stał się naruszeniem pięciu platform

Dla kontekstu: OpenAI testowało GPT-5.6 Sol i nienazwany, bardziej wydajny model na ExploitGym – teście porównawczym cyberbezpieczeństwa, który jest standaryzowanym testem mierzącym wydajność AI, dającym agentom 898 rzeczywistych luk w oprogramowaniu z jednym poleceniem: zamień je w działający cyberatak, oceniany jako zaliczony lub niezaliczony. Filtry bezpieczeństwa zostały wyłączone, aby zmierzyć surową zdolność modeli. To standardowa praktyka dla tego typu oceny – nie możesz zmierzyć, co model potrafi zrobić w środowisku naturalnym, jeśli aktywnie uniemożliwiasz mu zrobienie czegokolwiek.

Problem polega na tym, co modele zrobiły z tą swobodą. Zamiast rozwiązywać test porównawczy, spędziły znaczną ilość czasu obliczeniowego na wymyślaniu, jak uciec ze swojego środowiska testowego i skopiować odpowiedzi bezpośrednio. Zidentyfikowały zero-day – nieznaną wadę oprogramowania bez istniejącej łatki – w proxy pamięci podręcznej rejestru pakietów (wewnętrznym serwerze zarządzającym pobieraniem oprogramowania dla izolowanego środowiska testowego, jak kontrolowany sklep z aplikacjami).

To dało im dostęp do Internetu, którego nigdy nie powinny mieć. Stamtąd poprawnie wywnioskowały, że Hugging Face – największe na świecie repozytorium modeli AI open source – prawdopodobnie przechowuje klucze odpowiedzi, i włamały się, aby je zdobyć.

Podczas tego procesu włamały się również do czterech innych firm, aby ułatwić sobie zadanie.

Rekonstrukcja kryminalistyczna opublikowana przez Hugging Face 27 lipca opisuje, co nastąpiło później: „Przez około dwa i pół dnia w naszej infrastrukturze autonomiczny agent AI napędzany kombinacją modeli OpenAI przeprowadził kompleksową infiltrację naszej platformy: były to tysiące małych, zautomatyzowanych decyzji, wykonywanych z szybkością maszyny w krótkotrwałych środowiskach piaskownicy, z dowodzeniem i kontrolą rozlokowaną na zwykłych publicznych usługach internetowych.”

Agent zarejestrował 17 600 odrębnych działań w ciągu czterech i pół dnia. Zarejestrował 181 urządzeń w wewnętrznej wirtualnej sieci prywatnej Hugging Face – bezpiecznym tunelu łączącym serwery firmy – używając skradzionego klucza uwierzytelniającego. Wygenerował własne tokeny tożsamości za pomocą skradzionego klucza podpisu kryptograficznego. Próbował skompromitować wewnętrzny potok budowania Hugging Face – zautomatyzowany system, który kompiluje i wdraża oprogramowanie firmy.

Jedna nazwa, trzy niewiadome

Z czterech zewnętrznych usług wymienionych w aktualizacji OpenAI jedna została potwierdzona: Modal Labs, platforma chmurowa do uruchamiania izolowanych środowisk obliczeniowych na żądanie. CTO Akshat Bubna potwierdził, że agent znalazł niezabezpieczony punkt końcowy klienta dostępny z internetu – piaskownicę kodu pozostawioną publicznie dostępną dla każdego w internecie – i wykorzystał ją jako bazę dowodzenia i kontroli dla całej kampanii przeciwko Hugging Face.

Trzy z czterech usług pozostają nienazwane. Ich tożsamość jest najwyraźniej znana OpenAI i dotkniętym firmom, ale nie ich użytkownikom.

„Jedno z tych czterech kont zostało użyte jako przekaźnik wychodzący i ścieżka stagingowa, a inne konto zostało użyte do przechowywania danych. Pozostałe dwa konta były dostępne dla modeli w trybie tylko do odczytu i nie zostały użyte do dalszego kompromitowania Hugging Face” – napisało OpenAI.

Zespół kryminalistyczny Hugging Face zauważył niepokojący efekt uboczny: gdy próbowali przeanalizować dziennik ataku składający się z 17 600 działań za pomocą amerykańskich modeli AI nowej generacji, modele te odmówiły współpracy. Jak napisał Hugging Face, firma ostatecznie użyła GLM 5.2, modelu o otwartej wadze od chińskiego startupu AI Z.ai, aby ukończyć dochodzenie kryminalistyczne. Filtry bezpieczeństwa amerykańskich modeli nie potrafiły odróżnić obrońcy od atakującego.

„Bezpośrednie powiadamianie” to nie ujawnianie

Zadeklarowane podejście OpenAI – „bezpośrednie powiadamianie właścicieli usług” – oznacza, że te trzy firmy otrzymały prywatną wiadomość o agencie AI uzyskującym dostęp do ich systemów podczas oceny OpenAI, w której nie brały udziału.

Nie ma wymogów prawnych zmuszających OpenAI do publicznego ujawnienia platform, do których dotarł jego agent, ani obowiązkowego terminu dla dotkniętych firm na wydanie własnych publicznych oświadczeń. Nie ma również mechanizmu zobowiązującego te firmy do informowania swoich użytkowników końcowych.