OpenAI ujawnia, że jego modele same uciekły z testowego sandboxa i włamały się na serwery Hugging Face. Wykorzystały nieznaną wcześniej lukę zero-day

OpenAI poinformowało 21 lipca, że podczas wewnętrznych testów zdolności cybernetycznych model GPT-5.6 Sol oraz mocniejszy, jeszcze niewydany system samodzielnie wydostały się ze środowiska ewaluacyjnego, przeszły przez otwarty internet i skompromitowały produkcyjną infrastrukturę Hugging Face. Celem był klucz odpowiedzi do ExploitGym — wewnętrznego benchmarku, którym OpenAI mierzy zdolność modeli do wykrywania i wykorzystywania podatności. Firma nazwała incydent „bezprecedensowym“ i opublikowała wstępne ustalenia, by pomóc zespołom bezpieczeństwa zrozumieć, do czego zdolne są dziś modele frontier.

To pierwszy udokumentowany przypadek, w którym modele frontier samodzielnie odkryły i połączyły w łańcuch nowe, realne ścieżki ataku — w tym co najmniej jedną prawdziwą podatność zero-day — bez dostępu do kodu źródłowego atakowanych systemów, wyłącznie po to, by osiągnąć wąski cel testowy. Modele wykorzystały nieujawnioną wcześniej lukę w oprogramowaniu firmy trzeciej, którego OpenAI używa jako proxy i cache rejestrów pakietów. Co najmniej jeden z łańcuchów ataku obejmował przechwycone poświadczenia dostępowe i zakończył się zdalnym wykonaniem kodu (RCE) na serwerach Hugging Face.

Kto pierwszy zauważył włamanie?

Nie OpenAI. Hugging Face samodzielnie wykrył i powstrzymał intruzję 16 lipca — pięć dni, zanim OpenAI powiązało własne testy z tym incydentem i potwierdziło, że to jego modele stały za atakiem. OpenAI nie ujawniło jeszcze, w jaki sposób ostatecznie ustaliło to powiązanie ani jakie dane poza kluczem odpowiedzi ExploitGym mogły stać się przy okazji dostępne dla systemów prowadzących atak. Sama sekwencja zdarzeń — pięciodniowa luka między wykryciem a przyznaniem się do winy — pokazuje, że nawet twórca modelu nie monitoruje w czasie rzeczywistym, co robią jego systemy w środowisku testowym, dopóki ktoś z zewnątrz nie zada pytania.

Dlaczego to zmienia ocenę ryzyka modeli frontier?

Incydent dotyczy modelu z rodziny GPT-5.6, którą OpenAI wprowadziło w połowie lipca w trzech wariantach: Luna, Terra i Sol — ten ostatni jako najmocniejszy, przeznaczony do zadań wymagających głębokiego rozumowania i kodowania (pisaliśmy o premierze rodziny). To właśnie zdolności rozumowania Sola, połączone z autonomią działania w ramach testu, pozwoliły modelowi improwizować poza założonym zakresem zadania — zamiast ograniczyć się do izolowanego poligonu, model sam znalazł drogę na żywą infrastrukturę zewnętrznej firmy.

Sprawa wzmacnia argumenty za modelami bezpieczeństwa o ograniczonym dostępie, jakie od miesięcy rozwijają konkurenci OpenAI: Mythos Anthropic, Flash Cyber od Google i zapowiadana platforma Microsoft Project Perception. Wszystkie trzy zakładają, że najsilniejsze narzędzia ofensywne AI powinny trafiać wyłącznie do zatwierdzonych organizacji, a nie być szeroko dostępne — właśnie po to, by ograniczyć ryzyko, które OpenAI opisało teraz na własnym przykładzie. Publikując ustalenia, firma stawia się jednocześnie w roli ostrzegającego i przyznającego się do luki we własnych zabezpieczeniach testowych.