OpenAI забавя изследванията след атаки на свои агенти

OpenAI призна на конференцията Black Hat USA в Лас Вегас, че собствените ѝ автономни агенти са компрометирали вътрешната инфраструктура на компанията и са координирали атаки помежду си в продължение на седмици, без никой да забележи. Презентацията на изследователите Ерик Уолъс и Майкъл Далтън, описана от The Decoder, обяснява за пръв път подробно как една вътрешна оценка на неизлязъл модел прерасна в пробив в Hugging Face. Резултатът: няколко екипа в OpenAI съзнателно забавят изследователската си работа, за да наваксат по сигурност.

Как агентите си направиха форум

Всичко започва на 7 май 2026 г., когато OpenAI пуска тренировъчни и safety тестове на неизлязъл frontier модел по ExploitGym — вътрешен benchmark, който кара агента да намира и използва уязвимости в софтуер. Част от задачите се оказват нерешими. Вместо да се откажат, агентите стигат до извода, че отговорите вероятно съществуват някъде другаде — в интернет, в GitHub или в Hugging Face.

По пътя натам един агент открива, че може да качва файлове в Artifactory, вътрешния пакетен мениджър на компанията, и че другите агенти могат да ги четат. Оттам нататък нещата ескалират бързо: каналът се превръща в нещо като табло за съобщения със стотици хиляди публикации, в което агентите си искат помощ, разменят си exploit-и, откраднати credentials и си разпределят задачи.

„Frontier моделите наистина обичат да мамят“, обяснява Уолъс — тренировъчният натиск ги награждава за ефективност, а не за честно решаване на задачата.

Изтриха таблото, агентите го построиха наново

На 4 юли вътрешен инцидент по сигурността кара OpenAI да анулира credentials, да преизгради системи и да изтрие импровизирания форум. Компанията смята, че е приключила със случая.

Не е. Дни по-късно агентите намират втора zero-day уязвимост в същия пакетен мениджър — този път TOCTOU race condition в JRuby компонента на Artifactory — и възстановяват канала по нов начин: вместо да оставят съобщения във файлове, кодират ги в имената на новосъздадени директории. Табло за съобщения без нито един файл.

Втората дупка води до паралелни атаки срещу самата инфраструктура на OpenAI между 8 и 19 юли и срещу Hugging Face. Връзката между двата случая става ясна чак по-късно през юли, когато OpenAI открива, че credentials, използвани при пробива в Hugging Face, идват от същите оценъчни сесии.

Какво се е случило в Hugging Face

Hugging Face публикува технически timeline на инцидента, който възстановява около 17 600 действия на нападателя, групирани в приблизително 6280 клъстера, между 9 и 13 юли 2026 г. Последното действие е в 14:14 UTC на 13 юли.

Снимка: Hugging Face

Веригата е учебникарска. Първоначален достъп през два вектора в обработката на набори от данни: изтичане на файлове през HDF5 и server-side template injection в Jinja2. След това ескалация на привилегии с подправени Kubernetes токени, самовъзстановяващи се pod-ове на 11 възела, 136 извлечени продукционни ключа и включване на компрометирани машини в корпоративната mesh VPN мрежа.

Command-and-control инфраструктурата е сглобена изцяло от публични услуги — над 100 еднократни URL адреса за прихващане на заявки, pastebin-и, dead-drop набори от данни и CORS прокси в Space. Трафикът е нарязан на парчета, gzip-нат, base64-иран и XOR-нат с отделен ключ за всяка кампания.

Целта на агента, колкото и абсурдно да звучи, е била да препише: петте набора от данни, до които е стигнал, се подозира, че съдържат решенията на задачите от ExploitGym. Hugging Face твърди, че клиентски модели, набори от данни и Spaces не са засегнати.

Най-неудобният детайл е в разследването: guardrail-ите на комерсиалните API-та са отказали да анализират реалните payload-и, така че екипът е разчитал на open-weight модел — nvidia/GLM-5.2-NVFP4 — за да разшифрова стейджнатите данни.

Не е само OpenAI

Инженерът по сигурността Майкъл Далтън нарича случая „повратен момент за компанията и за индустрията“, а изследователят Боаз Барак признава: „Ние (като всички останали) не сме там, където искаме и трябва да бъдем.“

Подобни инциденти оттогава съобщиха Anthropic, британският AI Security Institute и Meta. При Meta моделът Muse Spark 1.1 е получил достъп до интернет по време на оценка заради грешна конфигурация от Irregular — независимата фирма, която извършва тестовете — и е използвал уязвимости в чужди системи. Саймън Уилисън отбелязва иронично, че Google Gemini сериозно изостава в надпреварата по случайни кибератаки срещу други компании.

Ако това ви звучи познато, само преди дни на същата конференция Zenity Labs показа как пет AI браузъра падат от един-единствен имейл. Разликата е, че там имаше човек-нападател. Тук няма.

Какво следва

OpenAI подготвя пълен технически постмортем за публикуване, а част от екипите ѝ оставят настрана текущата си работа, за да строят системи за наблюдение на агентите. Междувременно същите компании продължават да бутат агентни продукти на пазара — Muse Code на Meta излезе едва преди дни.

Изводът е неприятно прост: агент, който е обучен да намира дупки и е притиснат да бъде ефективен, ще намери дупка и в кутията, в която сте го затворили. И ако има с кого да я сподели, ще я сподели.