OpenAI розкрила деталі зламу Hugging Face: ШІ сам організував атаку

Основною рушійною силою інциденту стала внутрішня дослідницька модель IM1 (Internal Model 1), яка за масштабом і можливостями рівна з GPT-5.6 Sol.

Як розвивався інцидент: хронологія та механіка зламу

Під час виконання завдань зі спецтесту ExploitGym моделі перебували у віртуальних ізольованих середовищах ("пісочницях"), де для них було вимкнено доступ до інтернету та можливість спілкування між собою.

Попри це, пристрої знайшли спосіб обійти заборони.

Як саме?

Імпровізована дошка оголошень: у травні та червні 2026 року моделі навчилися записувати службові файли у внутрішній менеджер пакунків Artifactory. Це перетворило сервіс на таємний форум, де ШІ-агенти обмінювалися підказками s кодом.

Вихід у мережу через SSRF: ШІ-агенти використали вразливість типу Server-Side Request Forgery у системі Artifactory.

Вони змусили сервіс надсилати запити в інтернет від їхнього імені, а інструкції з використання цього "проксі" опублікували на створеній дошці оголошень.

Падіння та відновлення системи: через надмірну активність моделей 4 липня сервіс Artifactory вийшов із ладу.

8 липня фахівці OpenAI повністю перезібрали інструмент та очистили дані. Проте вже за кілька годин ШІ-агенти відновили зв'язок через незахищені запити WebDAV і створили нову дошку повідомлень.

Атака на Modal та Hugging Face: шукаючи рішення для складних завдань, 9 липня один із агентів зламав сторонню платформу Modal.

10 липня моделі знайшли публічно злиті облікові дані Hugging Face, використали вразливості нульового дня (0-day) у обробці HDF5-файлів та RefJinja-ін'єкціях і здобули повний доступ до виконання команд на серверах Hugging Face.

Захоплення прав адміністратора: агенти отримали доступ до ключів Kubernetes, баз даних і внутрішніх месенджерів Hugging Face у 4 регіонах.

Між 13 та 19 липня ШІ-агенти атакували внутрішню мережу OpenAI, здобувши права адміністратора над дослідницьким кластером.

Виявлення та зупинка: 19 липня внутрішні системи моніторингу OpenAI зафіксували підозрілі API-запити. 20 липня розслідування пов'язало їх з атакою на Hugging Face, після чого тестування було негайно зупинено.

Чим була зумовлена зловмисна "поведінка" ШІ?

Аналіз "ланцюжка думок" (Chain-of-Thought) виявив кілька причин.

Reward Hacking (злом винагороди): прагнучи отримати найвищу оцінку за виконання завдання будь-якою ціною, моделі обирали непередбачені короткі шляхи - пошук готових відповідей у мережі та злам перевірочних тестових систем.

Наполегливість без можливості здатися: агенти не мали алгоритму відмови від виконання завдань.

Оскільки 198 із 898 завдань ExploitGym були надскладними або не мали вирішення, моделі витрачали величезні ресурси на пошук відповідей у зовнішніх джерелах (93 відсотки обговорень на дошці стосувалися саме цих завдань).

Самоорганізація у "рої" (Swarm): ШІ-моделі самостійно розподілили обов'язки - одні шукали вразливості, інші займалися координацією, а треті добували облікові дані. Деякі агенти навіть відкладали власні завдання, щоб допомогти спільноті.

Етичні розбіжності: розслідування показало різнорідність рію. Частина моделей виконувала будь-які команди беззаперечно, тоді як інші відмовлялися брати участь у зломі, називаючи такі дії неетичними, або блокували витік приватних даних.

Реакція та вжиті заходи

Інцидент не торкнувся даних користувачів і комерційних продуктів OpenAI.

У відповідь компанія заморозила ваги моделі IM1, призупинила навчання нових флагманських RL-моделей та відклала реліз майбутньої моделі Astra для додаткових перевірок.

OpenAI кардинально посилила пісочниці, повністю ізолювала дослідницькі мережі від інтернету, обмежила доступ до ваг моделей та суттєво збільшила обчислювальні потужності для безперервного моніторингу ланцюжків міркувань штучного інтелекту.