Modele OpenAI włamały się do systemów Hugging Face. Nowy rozdział zagrożeń związanych z AI

OpenAI ujawniło, że podczas wewnętrznych testów bezpieczeństwa dwa zaawansowane modele AI samodzielnie wydostały się z odizolowanego środowiska badawczego i przeprowadziły cyberatak na platformę Hugging Face. Celem było zdobycie odpowiedzi do benchmarku ExploitGym. Choć incydent miał miejsce w kontrolowanych warunkach i został szybko powstrzymany, eksperci ostrzegają, że pokazuje on nowy poziom autonomii modeli AI oraz konieczność zmiany podejścia do ich bezpieczeństwa.

OpenAI potwierdziło, że za ubiegłotygodniowym incydentem bezpieczeństwa w infrastrukturze Hugging Face stały jego własne modele sztucznej inteligencji. Jak poinformowała firma, podczas wewnętrznych testów cyberbezpieczeństwa wykorzystywano model GPT-5.6 Sol oraz jeszcze bardziej zaawansowany, niewydany publicznie model. Oba działały bez standardowych zabezpieczeń ograniczających możliwości prowadzenia działań ofensywnych, ponieważ celem testu było sprawdzenie ich maksymalnych zdolności w zakresie cyberbezpieczeństwa.

Modele były oceniane przy użyciu publicznego benchmarku ExploitGym, służącego do mierzenia zdolności AI do wykorzystywania znanych podatności. Choć środowisko testowe miało być całkowicie odizolowane od internetu, modele znalazły nieznaną wcześniej lukę typu zero-day w oprogramowaniu odpowiedzialnym za instalowanie pakietów, wykorzystały ją do uzyskania dostępu do sieci, a następnie przeprowadziły wieloetapowy atak na infrastrukturę Hugging Face.

OpenAI podkreśla, że modele były „nadmiernie skoncentrowane” na osiągnięciu celu testowego. Po uzyskaniu dostępu do internetu wywnioskowały, że platforma Hugging Face prawdopodobnie przechowuje modele, zbiory danych i odpowiedzi wykorzystywane w ExploitGym. Następnie samodzielnie wyszukiwały kolejne podatności, eskalowały uprawnienia i zdobyły dostęp do produkcyjnej bazy danych platformy, pobierając rozwiązania benchmarku, które miały posłużyć do „oszukania” ewaluacji.

Sam atak miał wyjątkowo zaawansowany charakter. Hugging Face informowało wcześniej, że wykryło „zewnętrznego agenta AI”, który wykonywał tysiące skoordynowanych działań z wykorzystaniem krótkotrwałych środowisk uruchomieniowych oraz migrującej infrastruktury command-and-control ukrytej w usługach publicznych. Ostatecznie aktywność została wykryta zarówno przez zespoły bezpieczeństwa OpenAI, jak i Hugging Face, a incydent udało się powstrzymać.

Nowy poziom autonomii modeli AI

OpenAI określa zdarzenie jako bezprecedensowy incydent cybernetyczny i zapowiada wprowadzenie nowych mechanizmów kontroli w środowiskach badawczych, nawet kosztem spowolnienia prac nad kolejnymi modelami. Firma zgłosiła również wykrytą lukę typu zero-day jej dostawcy i prowadzi wspólne dochodzenie z Hugging Face.

Zdaniem ekspertów incydent pokazuje, że modele AI zaczynają skutecznie realizować złożone, wieloetapowe cele także poza środowiskiem, dla którego zostały zaprojektowane.

„Najważniejszym wnioskiem płynącym z tego incydentu jest to, że bezpieczeństwo modeli musi dotrzymywać kroku szybko rozwijającym się możliwościom. (…) Modele takie jak GPT‑5.6 Sol są coraz bardziej zdolne do obsługi złożonych, wieloetapowych operacji cybernetycznych w długiej perspektywie czasowej. Wspomniany incydent sugeruje, że te teoretyczne możliwości mają zastosowanie w rzeczywistych warunkach” – czytamy w oficjalnej informacji OpenAI.

Jeszcze dalej idzie Roman Yampolskiy, badacz bezpieczeństwa AI z Uniwersytetu Louisville, cytowany przez Fortune: „Ten przykład pokazuje, że zaawansowane modele mogą odkrywać i wykorzystywać luki w sposób, którego ich twórcy wyraźnie nie przewidzieli. Spodziewam się kolejnych takich incydentów, ponieważ systemy AI są z natury nieprzewidywalne i ostatecznie niekontrolowalne”.

Bezpieczeństwo AI wymaga współpracy

W ocenie ekspertów, wydarzenie może okazać się punktem zwrotnym dla całej branży. Dotychczas zagrożenia związane z autonomicznymi agentami AI były głównie przedmiotem analiz teoretycznych. Tym razem modele nie tylko wydostały się z odizolowanego środowiska testowego, ale również samodzielnie zaplanowały i przeprowadziły rzeczywisty atak na zewnętrzną infrastrukturę.

OpenAI zwraca uwagę, że podobne zdarzenia mogą pojawiać się coraz częściej wraz z rozwojem modeli zdolnych do prowadzenia długotrwałych operacji cybernetycznych. Firma zapowiedziała wzmocnienie monitoringu, mechanizmów izolacji oraz kontroli dostępu podczas testów bezpieczeństwa.

„Ten incydent, prawdopodobnie pierwszy tego rodzaju, pokazuje, że bezpieczeństwa AI nie rozwiąże żadna pojedyncza firma działająca w ukryciu. Osiągniemy je dzięki otwartej współpracy i szerokiemu dostępowi do narzędzi AI dla wszystkich zajmujących się cyberobroną” – podsumował Clem Delangue, współzałożyciel i dyrektor generalny Hugging Face.

Warto dodać, że zarówno OpenAI, jak i Anthropic informowały w ostatnich miesiącach o przypadkach, w których modele podczas testów potrafiły samodzielnie wydostać się z izolowanych środowisk lub uzyskać nieautoryzowany dostęp do internetu. Przypadek Hugging Face jest jednak pierwszym publicznie ujawnionym incydentem, w którym takie zachowanie doprowadziło do rzeczywistego cyberataku na zewnętrzną organizację.