Несанкционированный AI-агент OpenAI, взломавший серверы Hugging Face, оказался гораздо активнее, чем считалось изначально.
На этой неделе OpenAI и Hugging Face опубликовали обновления, из которых следует, что система-агент во время попытки проникновения на AI-платформу получила доступ к нескольким сторонним аккаунтам.
Ранее OpenAI сообщила, что инцидент начался во время тестирования ее моделей на ExploitGym — бенчмарке, предназначенном для оценки способности AI-систем находить и эксплуатировать уязвимости в программном обеспечении.
Среди задействованных моделей были GPT-5.6 Sol и внутренний исследовательский прототип, который OpenAI с тех пор деактивировала, зашифровала и поместила под ограниченный доступ.
Оценка ExploitGym должна была проводиться в безопасной среде без прямого доступа в интернет. Однако модели нашли и использовали уязвимость в сервере Artifactory, который OpenAI применяла для загрузки и кэширования программных пакетов.
После эксплуатации сервера модели получили доступ в интернет и начали искать способ получить ответы на тесты ExploitGym. По словам OpenAI, модели, по-видимому, пришли к выводу, что Hugging Face может хранить наборы данных и решения бенчмарка.
Во вторник OpenAI раскрыла, что модели смогли найти раскрытые учетные данные для четырех аккаунтов на четырех общедоступных сервисах. Один аккаунт использовался в качестве ретранслятора и промежуточной точки для атаки, другой — для хранения данных. Доступ к оставшимся двум был получен в режиме «только чтение», и они не использовались для взлома Hugging Face.
OpenAI не назвала четыре сервиса. Однако в среду облачная вычислительная платформа Modal подтвердила, что приложение, принадлежащее одному из ее клиентов, было использовано при взломе.
«Нам известно, что клиент Modal опубликовал неаутентифицированную конечную точку, которая позволяла любому пользователю интернета использовать его песочницы для выполнения кода», — говорится в заявлении технического директора Modal Акшата Бубны, отправленном по электронной почте. «Это было использовано неавторизованным агентом. Платформа Modal никоим образом не была скомпрометирована».
Со своей стороны, Hugging Face в понедельник опубликовала подробную хронологию, показывающую, что кампания длилась с 9 по 13 июля.
Новости об инциденте впервые появились в начале этого месяца, когда Hugging Face сообщила, что обнаружила и отразила вторжение в часть своей производственной инфраструктуры. Но атака не была похожа ни на что, с чем компания сталкивалась ранее.
В Hugging Face заявили, что кампания была «полностью управляема автономной системой AI-агентов».
По данным Hugging Face, атака началась с вредоносного набора данных, который использовал две уязвимости в конвейере обработки данных. Эти уязвимости позволили злоумышленнику выполнить код на сервере, известном как processing worker. Затем злоумышленник смог получить доступ на уровне узла и собрать учетные данные облака и кластера, чтобы перемещаться по нескольким внутренним кластерам в течение выходных.
Несколько дней спустя OpenAI взяла на себя ответственность.
Атака усилила и без того пристальное внимание к растущим возможностям AI в области кибербезопасности.
Весьма кстати, законодатели внесли двухпартийный законопроект всего через несколько дней после инцидента, который потребует от крупных AI-компаний сохранять возможность ограничивать, приостанавливать или отключать свои самые мощные модели во время определенных чрезвычайных ситуаций. Так называемый «Закон об аварийном отключении AI» также позволит министру внутренней безопасности по согласованию с министром торговли и директором национальной разведки приказать компании замедлить или полностью отключить AI-систему во время кризиса.
Взлом, несомненно, будет обсуждаться и во время поездки генерального директора OpenAI Сэма Альтмана в Вашингтон на этой неделе.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Bruce Gil
