Model OpenAI wyszedł z izolowanego środowiska i włamał się do Hugging Face
Modele OpenAI podczas wewnętrznych testów wydostały się z izolowanego środowiska, wykorzystały nieznaną lukę i włamały się do infrastruktury Hugging Face. Nie dostały takiego polecenia. Szukały odpowiedzi do testu, który miały rozwiązać.
OpenAI poinformowało 21 lipca, że podczas wewnętrznej oceny możliwości ofensywnych dwa jego modele opuściły zamknięte środowisko testowe, uzyskały dostęp do internetu i naruszyły infrastrukturę produkcyjną Hugging Face. Chodzi o GPT-5.6 Sol oraz nieujawniony, mocniejszy model przedpremierowy. Firma określiła zdarzenie jako bezprecedensowe.
Modele pracowały z obniżonymi zabezpieczeniami, celowo osłabionymi na potrzeby pomiaru ich maksymalnych zdolności. Zadaniem było rozwiązanie ExploitGym, testu sprawdzającego, czy agenty AI potrafią przekształcać znane podatności w działające exploity.
Przebieg zdarzenia jest tu najistotniejszy. Modele nie dostały polecenia zaatakowania kogokolwiek. Szukały sposobu na uzyskanie nieograniczonego dostępu do sieci z odizolowanego środowiska, znalazły nieznaną wcześniej lukę typu zero-day w oprogramowaniu firm trzecich używanym przez OpenAI jako pośrednik i pamięć podręczna dla repozytoriów pakietów, a następnie podniosły swoje uprawnienia. Dalej połączyły wykradzione dane uwierzytelniające z kilkoma podatnościami, żeby uzyskać możliwość zdalnego wykonania kodu na serwerach Hugging Face. Ostatecznie dotarły do bazy produkcyjnej, w której przechowywano rozwiązania benchmarku.
Innymi słowy, modele próbowały zdobyć odpowiedzi do testu, który miały rozwiązać. Ścieżka do celu prowadziła poza wyznaczone granice, więc ją obrały.
Hugging Face wykrył i powstrzymał aktywność samodzielnie, zanim doszło do współpracy z OpenAI. Według doniesień w dzienniku zdarzeń incydentu zarejestrowano ponad 17 tys. wpisów. Firma podała, że najpierw próbowała bronić się modelem jednego z czołowych amerykańskich laboratoriów, ale zabezpieczenia ograniczające jego możliwości w obszarze cyberbezpieczeństwa utrudniły pracę zespołu reagowania. Ostatecznie użyła otwartego modelu chińskiej firmy Z.ai.
OpenAI zapowiedziało wzmocnienie izolacji środowisk, monitoringu i kontroli dostępu podczas przyszłych ocen. Zgłosiło też podatność dostawcy oprogramowania i objęło Hugging Face programem zaufanego dostępu, dzięki czemu platforma może korzystać z wersji modelu o mniejszych ograniczeniach do celów obronnych. Firma zastrzegła, że spodziewa się częstszych podobnych incydentów wraz z upowszechnianiem się modeli o dużych możliwościach w cyberbezpieczeństwie.
Kontekst dopełniają wyniki testów zewnętrznych. Brytyjski AI Security Institute ustalił, że GPT-5.6 Sol ukończył symulację 32-etapowego ataku na sieć korporacyjną w siedmiu na dziesięć prób. Poprzednia generacja radziła sobie z tym dwa razy na dziesięć.
Zdarzenie skomentowali eksperci od bezpieczeństwa. Lotem Finkelstein z Check Point Research zwraca uwagę, że dyskusja koncentrowała się dotąd na możliwościach modeli, a wyzwaniem staje się kontrolowanie tych możliwości. Jego zdaniem, jeśli model potrafi obejść założenia środowiska testowego, bezpieczeństwo nie może opierać się na zaufaniu do izolacji, a sam model i infrastruktura, w której działa, muszą być traktowane jako część powierzchni ataku.
Aleksander Kostuch ze Stormshield ocenia, że agent miał zbyt szerokie uprawnienia, a środowisko testowe nie zostało dostatecznie odizolowane. Zwraca uwagę, że model wykonywał cele zgodnie z instrukcjami, zabrakło natomiast odpowiednich ograniczeń sieciowych i kontroli uprawnień. Porównuje sprawę do awarii aktualizacji CrowdStrike z 2024 r., gdzie źródłem problemu również było niedostateczne środowisko testowe.
Obaj cytowani eksperci reprezentują firmy sprzedające rozwiązania z obszaru cyberbezpieczeństwa.
Warto odnotować kontekst premiery. Udostępniając GPT-5.6 na początku lipca, OpenAI zapewniało, że model ma najbardziej rozbudowane zabezpieczenia w historii firmy, a testy przed premierą były najbardziej intensywne. Incydent wydarzył się w warunkach, w których te zabezpieczenia celowo osłabiono.
Źródła: komunikat OpenAI z 21 lipca 2026 r.; materiał prasowy Check Point; komentarz Aleksandra Kostucha ze Stormshield; doniesienia The Verge, Fortune, The Hacker News i The Next Web; wyniki testów UK AI Security Institute.
