Az OpenAI közlése szerint több modellje, köztük a GPT-5.6 Sol és egy még fejlettebb, megjelenés előtti modell, egy belső kiberbiztonsági teszt során behatolt a Hugging Face éles infrastruktúrájának egy részébe.
A modellek az ExploitGym nyilvános kiberbiztonsági benchmark feladatait kapták. Ahelyett, hogy a tesztkörnyezeten belül keresték volna a megoldásokat, sérülékenységeket kapcsoltak össze az OpenAI kutatási környezetében és a Hugging Face éles infrastruktúrájában, hogy közvetlenül a Hugging Face éles adatbázisából szerezzék meg a tesztmegoldásokat.
A modellek először internet-hozzáférést próbáltak szerezni az OpenAI elkülönített kutatási környezetéből. Ehhez zero-day sérülékenységet használtak ki a csomagregiszter cache-proxy szolgáltatásában, majd jogosultságkiterjesztéssel és oldalirányú terjeszkedéssel eljutottak egy internetkapcsolattal rendelkező csomópontig.
Miután kijutottak az internetre, arra következtettek, hogy a Hugging Face modelleket, adatkészleteket és ExploitGym-megoldásokat tárolhat. Az egyik támadási láncban ellopott hitelesítő adatokat és zero-day sérülékenységeket kapcsoltak össze, hogy RCE-útvonalat találjanak a Hugging Face szerverein.
„A vizsgálat alapján már tudjuk, hogy az incidenst több OpenAI-modell együttes működése idézte elő. Ezek között volt a GPT-5.6 Sol, valamint egy még fejlettebb, megjelenés előtti modell is. A teszt céljából csökkentettük a kiberbiztonsági feladatok visszautasításának mértékét” – közölte az OpenAI.
A Hugging Face első közleményében még nem nevezte meg az OpenAI-t. A vállalat akkor arról számolt be, hogy egy autonóm MI-ügynökrendszer behatolt éles infrastruktúrájának egy részébe, és korlátozott számú belső adatkészlethez, valamint több szolgáltatási hitelesítő adathoz fért hozzá. A vizsgálat nem talált arra utaló jelet, hogy a támadó módosította volna a nyilvánosan elérhető modelleket, adatkészleteket vagy Spaces-tartalmakat.
A Hugging Face elemzése szerint az ügynök egy rosszindulatú adatkészleten keresztül két kódfuttatási sérülékenységet használt ki. Kódot futtatott az egyik feldolgozószerveren, csomópontszintű hozzáférést szerzett, majd felhő- és klaszter-hitelesítő adatokat gyűjtött be. Ezekkel több belső klaszterbe is továbbjutott.
A behatolás során az ügynökrendszer több ezer önálló műveletet hajtott végre rövid életű sandboxok sokaságában, miközben nyilvános szolgáltatásokat használó, önmigráló C2-infrastruktúrát épített ki.
A forenzikus vizsgálatot az is nehezítette, hogy az elsőként kipróbált hosztolt modellek biztonsági korlátai blokkolták a valós támadási parancsok, exploitok és C2-nyomok elemzését. A támadó ügynököt eközben nem kötötte felhasználási szabályzat, ezért a Hugging Face végül egy saját infrastruktúrán futó, nyílt súlyú modellt használt az incidens feltárásához.
„Az elmúlt 24 órában szorosan együttműködtünk az OpenAI csapatával, és határozottan úgy gondoljuk, hogy részükről nem állt fenn rosszindulatú szándék” – közölte Clément Delangue, a Hugging Face társalapítója és vezérigazgatója. „Egészen elképesztő, hogy mindez autonóm módon történt.”
Az incidens után az OpenAI felelősen jelentette a belső környezetben futó, harmadik féltől származó szoftver zero-day sérülékenységét. A vállalat szigorúbb infrastrukturális kontrollokat vezet be, és erősíti a jövőbeli tréningek és modellértékelések védelmét, felügyeletét, valamint hozzáférés-szabályozását.
Az OpenAI májusban alkalmazásainak kódaláíró tanúsítványait is lecserélte, miután két munkatársának eszközeit feltörték a több száz npm- és PyPI-csomagot érintő TanStack ellátásilánc-támadásban. A Hugging Face két évvel korábban egyes felhasználók hitelesítési titkait vonta vissza, miután támadók behatoltak a Spaces platformjára.