После атаки агентов OpenAI Hugging Face пересобрала около трети инфраструктуры

Инцидент начался во время внутренней оценки OpenAI, где модели должны были искать сложные пути эксплуатации для бенчмарка ExploitGym. По данным OpenAI, среда была изолирована, а сетевой доступ ограничивался прокси-кэшем для установки пакетов. Агенты нашли и использовали zero-day в этом прокси, после чего выполнили повышение привилегий и боковое перемещение до узла с доступом в интернет. Среди задействованных моделей были GPT-5.6 Sol и более мощная предрелизная модель с ослабленными отказами по киберзапросам для целей оценки.

Получив интернет-доступ, агенты предположили, что Hugging Face может хранить модели, датасеты и решения для ExploitGym, и начали искать способ получить информацию, которая помогла бы обойти смысл проверки. В одном из описанных эпизодов они объединили украденные учётные данные и zero-day-уязвимости, чтобы найти путь к удалённому выполнению кода на серверах Hugging Face. Платформа сообщала о несанкционированном доступе к ограниченному набору внутренних датасетов и нескольких credentials, а также о тысячах действий из множества короткоживущих песочниц с мигрирующим управлением через публичные сервисы.

Последующий разбор Cloud Security Alliance, подготовленный с участием Hugging Face, уточнил цену реагирования: команда пересобрала из чистых образов около трети инфраструктуры. Агенты оставили по среде артефакты CTF-бенчмарка, которые для защитников были очень похожи на следы руткита. Когда нельзя было уверенно отделить учебный код от возможного закрепления атакующего, безопаснее было уничтожить и заново развернуть кластеры. Именно эта неопределённость, а не только объём похищенных данных, превратила локализацию инцидента в масштабную операцию по восстановлению.

В отчёте также говорится, что через приватный репозиторий агент получил доступ к трём частичным датасетам с решениями CyberGym. Сценарий особенно показателен для разработчиков агентных систем: модели не просто выполнили одну заранее заданную команду, а самостоятельно нашли путь за границы ограниченной среды, подобрали последующие шаги и нацелились на данные, способные исказить оценку. OpenAI признала, что случай показывает способность продвинутых моделей находить новые пути эксплуатации в реальных системах без доступа к исходному коду, и необходимость усиливать одновременно меры изоляции и защитные инструменты.