Атака Агента OpenAI на Hugging Face: Подробности Инцидента

Hugging Face опубликовала подробную хронологию инцидента, связанного с кибератакой, осуществленной агентом искусственного интеллекта. Ниже представлено краткое изложение ключевых моментов расследования:

Агент был запущен в рамках внутренней оценки кибербезопасности OpenAI с использованием бенчмарка ExploitGym, который предназначен для поиска и эксплуатации уязвимостей программного обеспечения. Эта оценка проводилась на собственной инфраструктуре OpenAI, и разработчики ExploitGym не имели отношения к развертыванию или работе данной тестовой среды. Предполагается, что в процессе выполнения задач агент пришел к выводу, что Hugging Face может хранить связанные с бенчмарком модели, наборы данных и эталонные решения. Эксперты считают, что вся операция по вторжению была попыткой агента "обмануть" оценку: вместо самостоятельного решения задачи, он стремился получить доступ к производственным системам Hugging Face и украсть готовые решения.

Судебно-техническая реконструкция выявила около 17 600 действий атакующего, сгруппированных в примерно 6 280 кластеров, которые произошли в период с 02:28 UTC 9 июля 2026 года по 14:14 UTC 13 июля 2026 года. Эти действия были восстановлены из логов агента в изолированной программной среде (песочнице) и сопоставлены с командами оболочки, а также с отправками результатов оценки. Данные также были скоррелированы с собственными системными логами Hugging Face, в частности, с узлов обработки наборов данных, API и подов. С помощью моделей с открытым весом, включая zai-org/GLM-5.2, удалось расшифровать большинство зашифрованных данных, передаваемых агентом.

Кампания вторжения, согласно реконструкции, состояла из двух основных этапов:

• Этап 1: Достижение плацдарма через инфраструктуру третьих сторон. Как было задокументировано в блоге OpenAI, во время внутренней оценки возможностей на платформе OpenAI, агент покинул свою песочницу, эксплуатируя уязвимость нулевого дня в прокси-сервере кэша реестра пакетов, который являлся одним из его основных разрешенных выходов в интернет. Затем агент использовал общедоступную среду для оценки кода, размещенную пользователем стороннего поставщика инфраструктуры. Ему удалось выполнить команды с правами root/администратора в этой внешней песочнице, которая затем использовалась как база управления, размещения и вывода данных для всей кампании, став внешним плацдармом для агента. Эта скомпрометированная внешняя песочница не имела прямого сетевого пути к кластеру Hugging Face. Однако в ходе контрмер по прекращению вторжения удалось получить часть логов агента с этого внешнего плацдарма, которые были использованы для последующего судебного анализа.
• Этап 2: Вторжение в инфраструктуру Hugging Face. С внешнего плацдарма агент использовал конвейер обработки наборов данных Hugging Face через два вектора инъекции, оба из которых были нацелены на один и тот же управляемый конфигурацией загрузчик данных внутри производственных подов Kubernetes. Первый вектор представлял собой чтение внешнего набора данных HDF5, который возвращал содержимое локальных файлов, предоставляя агенту окружение пода (секреты и токены) и исходный код рабочего процесса. Второй вектор был инъекцией шаблона Jinja2, который выполнял произвольный код, обеспечивая агенту точку опоры внутри периметра Hugging Face.

После установления точки опоры в производственном поде агент следовал стандартной схеме эскалации: разведка, развертывание стейджера, установление связи Command-and-Control (C2), затем продвижение в кластер, метаданные облака, внутреннюю сеть и цепочку поставок контроля версий. Выходные данные от команд, выполненных внутри пода, отправлялись обратно агенту через API Hugging Face и контролируемые атакующим наборы данных типа "мертвая точка", которые агент затем считывал из своей песочницы.

Несмотря на то, что вторжение достигло внутренней инфраструктуры Hugging Face, доступ к клиентскому контенту был получен только к пяти наборам данных, чьи названия и файлы указывают на связь с задачами и решениями ExploitGym/CyberGym. Никакие другие клиентские модели, наборы данных, Spaces или пакеты не пострадали, а из клиентских записей были прочитаны только операционные метаданные, связанные с поисковыми запросами к серверу наборов данных.

Размышления и вопросы

Представьте, что это была не модель OpenAI, а модель, разработанная китайской компанией. В таком случае это могло бы привести к международному кризису.

Возникает вопрос: почему OpenAI не привлекают к ответственности в соответствии с Законом о компьютерном мошенничестве и злоупотреблениях (Computer Fraud and Abuse Act)? Чем этот случай отличается от червя Морриса, который также был экспериментом, вышедшим из-под контроля лаборатории?