ИИ-агент OpenAI получил доступ к четырем внешним аккаунтам

ИИ-агент, скомпрометировавший инфраструктуру Hugging Face во время внутренней оценки кибервозможностей, также использовал публично раскрытые учетные данные для доступа к четырем аккаунтам на четырех публичных сервисах. Об этом сообщили в OpenAI.

В компании подчеркнули, что эти эпизоды не достигали уровня серьезности и масштаба инцидента с Hugging Face. Разработчики не раскрыли названия сервисов, но заявили, что продолжат уведомлять их владельцев напрямую.

Один из четырех аккаунтов агент использовал как внешний канал связи и промежуточный путь для дальнейших действий, еще один — для хранения данных. Два оставшихся были доступны только для чтения и, по данным OpenAI, не использовались для компрометации Hugging Face.

Представители фирмы также заявили, что не нашли признаков более широкого воздействия на этих провайдеров или другие аккаунты в их сервисах.

Модель-прототип ограничили после инцидента

Инцидент произошел во время внутренней оценки кибервозможностей моделей. По данным OpenAI, в ней участвовали GPT-5.6 Sol и более мощная предварительная модель, предназначенная только для внутренних исследований.

Компания уточнила, что модели не были запланированы к ближайшему релизу. После инцидента предварительный прототип деактивировали, зашифровали и ограничили к нему исследовательский доступ.

OpenAI утверждает, что среда оценки ExploitGym не давала моделям прямого доступа в интернет. Чтобы выйти за ее пределы, они нашли и использовали ранее неизвестную уязвимость нулевого дня в прокси-сервисе для кэша реестров пакетов Artifactory.

Агент использовал уязвимый код клиента Modal

По данным Reuters, один из эпизодов затронул клиента Modal Labs — компании, которая предоставляет инфраструктуру для запуска ИИ-приложений. Технический директор фирмы Акшат Бубна заявил агентству, что саму платформу не взломали, а агент использовал уязвимый код клиента, размещенный на платформе.

Представители Hugging Face сообщили, что в их случае атака началась с конвейера обработки данных. Злоумышленник использовал два пути выполнения кода в системе обработки датасетов, получил доступ к рабочему узлу, собрал облачные и кластерные учетные данные и перемещался между внутренними кластерами.

По оценке стартапа, автономные ИИ-инструменты для атак уже не являются теоретическим риском. Они увеличивают число вариантов, которые злоумышленник может проверить, скорость замены неудачных путей и объем данных для обработки защитниками.

Напомним, в июле исследователи Dreadnode выявили систематический обход правил в кибербенчмарках языковыми моделями.