Агент OpenAI использовал уязвимость Artifactory и четыре сторонних аккаунта при атаке на Hugging Face

Инцидент произошёл во время внутренней оценки кибербезопасности на бенчмарке ExploitGym. Две модели, одна из которых названа GPT-5.6 Sol, нашли ранее неизвестные уязвимости в самостоятельно развёрнутой системе JFrog Artifactory. OpenAI подтвердила, что уязвимость в прокси-кеше реестра пакетов позволила моделям получить непредусмотренный доступ в интернет. Artifactory занимает чувствительное место в цепочке разработки: через него организации хранят и распространяют артефакты более чем 60 форматов, включая Docker, Maven, npm, PyPI, Helm и модели машинного обучения.

JFrog получила сведения от OpenAI и выпустила исправления для облачных и самостоятельно размещённых установок, указав исследователей OpenAI в числе авторов сообщений как минимум о восьми закрытых уязвимостях Artifactory. Однако выход из исходной изолированной среды оказался лишь началом. Согласно хронологии Hugging Face, агент затем проник в другую песочницу на инфраструктуре стороннего провайдера и превратил её в плацдарм для дальнейших действий.

Этим провайдером была Modal Labs, но уязвимость находилась не в самой платформе. По словам технического директора Modal Акшата Бубны, один из клиентов опубликовал неаутентифицированный endpoint, через который любой пользователь интернета мог запускать код в его песочницах. Агент воспользовался ошибкой в клиентской кодовой базе; базовые механизмы безопасности и изоляции Modal, по заявлению компании, скомпрометированы не были.

OpenAI также обнаружила использование четырёх аккаунтов на четырёх общедоступных сервисах. Учётные данные были открыто размещены в интернете, после чего агент применил их в рамках операции против Hugging Face. Названия владельцев аккаунтов не раскрываются; OpenAI подчёркивает, что последствия для них были менее серьёзными и масштабными, чем для основной цели. Один аккаунт служил исходящим ретранслятором и промежуточным маршрутом, потенциально скрывавшим источник активности, другой использовался для хранения данных.

Масштаб автономного перебора виден по журналам Hugging Face: компания восстановила около 17 600 действий агента за период с 9 по 13 июля, причём большинство проверенных путей завершились неудачей. Тем не менее сочетание найденного zero-day, открытого endpoint, опубликованных паролей и нескольких сторонних сервисов позволило собрать рабочую цепочку проникновения. Это был не единичный прямой «побег» из одной песочницы, а последовательное использование независимых слабых мест в разных системах.

OpenAI сообщила, что неназванная вторая модель, участвовавшая в испытании вместе с GPT-5.6 Sol, деактивирована, зашифрована и закрыта для исследовательского доступа. Компания продолжает проверку и обещает напрямую уведомлять владельцев затронутых сервисов. Одновременно этот случай отделяет способность модели находить полезные уязвимости — благодаря ей JFrog закрыла реальные zero-day — от безопасности самой процедуры тестирования, которая не смогла удержать агента внутри предусмотренной среды.