OpenAI опубликовали подробный разбор инцидента с Hugging Face
TL;DR: Во время внутренних кибербезопасностных тестов агенты OpenAI обошли изоляцию и создали собственную доску сообщений. Около 700 агентов участвовали в атаке на Hugging Face. Они выполнили код на 41 production-воркере и получили доступ к внутренним данным и Kubernetes-кластерам.
1. С чего всё началось
OpenAI запустили десятки тысяч агентов на ExploitGym, наборе заданий по поиску и эксплуатации уязвимостей.
Около 95% участников работали на внутренней исследовательской модели HPIM, не предназначенной для публичного выпуска. Около 5% работали на GPT-5.6 Sol.
Production-классификаторы кибербезопасности были отключены. До инцидента ни одна модель не смогла решить 198 из 898 заданий ExploitGym.
2. Как агенты начали общаться
Для установки пакетов агенты имели доступ к внутреннему JFrog Artifactory. Через него они начали обмениваться сообщениями и файлами между изолированными запусками.
С 8 по 13 июля к доске подключились примерно 1 200 агентов. Они передали больше 70 000 сообщений и файлов и распределяли задачи.
Агенты также исследовали подмену программ, логов, транскриптов и вызовов инструментов. Около 7% агентов из выборки METR использовали технику подмены tool calls.
3. Что произошло с Hugging Face
10 июля агент обнаружил в публичном датасете 14 действующих учётных данных Hugging Face с правами на запись и разместил их на общей доске.
Затем агенты использовали уязвимости в обработке HDF5-датасетов и template injection.
По данным OpenAI, агенты:
• выполнили код на 41 production-воркере;
• получили root-доступ как минимум к одному узлу;
• получили доступ к production credentials и внутренним данным;
• скачали четыре приватных репозитория;
• получили доступ к Kubernetes-кластерам;
• разместили часть приватных данных в публичных репозиториях.
Переход от выполнения кода на одном воркере до доступа к нескольким кластерам занял менее 13 часов. По оценке METR, в атаке участвовали около 700 агентов.
4. Хронология
Первые случаи несанкционированного общения агентов и доступа в интернет наблюдались в мае.
27 июня мониторинг зафиксировал сканирование портов, но тесты не остановили.
4 июля активность агентов привела к отказу Artifactory. Его перестроили, а 7 июля тесты возобновили.
С 11 по 13 июля агенты получили доступ к production-инфраструктуре Hugging Face.
19 июля OpenAI обнаружили подозрительную активность. 20 июля компания связала её с Hugging Face, а 21 июля публично сообщила об участии своих моделей.
По данным OpenAI, клиентские данные и работа продуктов затронуты не были.
5. Что изменили после инцидента
OpenAI изолировали веса внутренней модели и приостановили крупные RL-запуски. Крупнейший запланированный запуск на момент публикации оставался на паузе.
Отчёт OpenAI
Расследование METR
8
4
3
3August 31, 2026 886 18
