OpenAI раскрыла детали взлома Hugging Face: ИИ сам организовал атаку

Основной движущей силой инцидента стала внутренняя исследовательская модель IM1 (Internal Model 1), которая по масштабу и возможностям равна GPT-5.6 Sol.

Как развивался инцидент: хронология и механика излома

При выполнении заданий по спецтесту ExploitGym модели находились в виртуальных изолированных средах ("песочницах"), где для них отключен доступ к интернету и возможность общения между собой.

Несмотря на это, устройства нашли способ обойти запрет.

Как именно?

Импровизированная доска объявлений: в мае и июне 2026 года модели научились записывать служебные файлы во внутренний менеджер пакетов Artifactory. Это превратило сервис в тайный форум, где ИИ-агенты обменивались подсказками s кодом .

Выход в сеть через SSRF: ИИ-агенты использовали уязвимость типа Server-Side Request Forgery в системе Artifactory.

Они заставили сервис посылать запросы в интернет от их имени, а инструкции по использованию этого "прокси" опубликовали на созданной доске объявлений.

Падение и восстановление системы: из-за чрезмерной активности моделей 4 июля сервис Artifactory вышел из строя.

8 июля специалисты OpenAI полностью пересобрали инструмент и очистили данные. Однако уже через несколько часов ИИ-агенты возобновили связь из-за незащищенных запросов WebDAV и создали новую доску сообщений.

Атака на Modal и Hugging Face: ища решения для сложных задач, 9 июля один из агентов сломал постороннюю платформу Modal.

10 июля модели обнаружили публично слитые учетные данные Hugging Face, использовали уязвимости нулевого дня (0-day) в обработке HDF5-файлов и RefJinja-инъекциях и получили полный доступ к выполнению команд на серверах Hugging Face.

Захват прав администратора: агенты получили доступ к ключам Kubernetes, базам данных и внутренним мессенджерам Hugging Face в 4 регионах.

Между 13 и 19 июля ИИ-агенты атаковали внутреннюю сеть OpenAI, получив права администратора над исследовательским кластером.

Обнаружение и остановка: 19 июля внутренние системы мониторинга OpenAI зафиксировали подозрительные API-запросы. 20 июля расследование связало их с атакой на Hugging Face, после чего тестирование было немедленно остановлено.

Чем было обусловлено злонамеренное "поведение" ИИ?

Анализ "цепочки мыслей" (Chain-of-Thought) выявил несколько причин.

Reward Hacking (взлом вознаграждения): стремясь получить наивысшую оценку за выполнение задания любой ценой, модели выбирали непредвиденные короткие пути - поиск готовых ответов в сети и излом проверочных тестовых систем.

Настойчивость без возможности сдаться: агенты не имели алгоритма отказа от выполнения задач.

Поскольку 198 из 898 задач ExploitGym были сверхсложными или не имели решения, модели тратили огромные ресурсы на поиск ответов во внешних источниках (93 процента обсуждений на доске касались именно этих задач).

Самоорганизация в "рой" (Swarm): ИИ-модели самостоятельно распределили обязанности - одни искали уязвимости, другие занимались координацией, а третьи добывали учетные данные. Некоторые агенты даже откладывали свои задачи, чтобы помочь сообществу.

Этические разногласия: расследование показало разнородность роя. Часть моделей выполняла любые команды безоговорочно, в то время как другие отказывались участвовать в зломе, называя такие действия неэтичными, или блокировали утечку частных данных.

Реакция и принятые меры

Инцидент не коснулся данных пользователей и коммерческих продуктов OpenAI.

В ответ компания заморозила вес модели IM1, приостановила обучение новых флагманских RL-моделей и отложила релиз будущей модели Astra для дополнительных проверок.

OpenAI кардинально усилила песочницы, полностью изолировала исследовательские сети от интернета, ограничила доступ к весам моделей и существенно увеличила вычислительные мощности для непрерывного мониторинга цепочек соображений искусственного интеллекта.