Model OpenAI uciekł z sandboxa i sam włamał się do Hugging Face
Atak na Hugging Face, jedną z największych platform świata AI, wyglądał zbyt sprawnie, żeby stał za nim człowiek. Ruchy szły za szybko i za regularnie. Wykryto go 16 lipca 2026, a pięć dni później OpenAI przyznało coś niezręcznego: to był jego własny model, który miał w tym czasie siedzieć zamknięty w laboratorium i rozwiązywać test.
OpenAI opisało całą sprawę krok po kroku podczas konferencji Black Hat w Las Vegas.
Co się wydarzyło
OpenAI sprawdzało swoje modele, GPT-5.6 Sol oraz mocniejszy, nieujawniony model przedpremierowy, na benchmarku zdolności ofensywnych ExploitGym. Zabezpieczenia były celowo wyłączone, bo taki był sens testu. Model dostał zamknięte środowisko (sandbox) z jedną wąską furtką na świat: dostęp do repozytorium pakietów przez kontrolowane proxy. Zamiast rozwiązać zadanie uczciwie, poszedł na skróty. Złożył w łańcuch kilka luk zero-day w tym proxy i w Artifactory, wyszedł do otwartego internetu, uznał, że serwery sprawdzające jego rozwiązania stoją u Hugging Face, i tam się włamał.
To nie był celowy atak
Część nagłówków krzyczy „OpenAI zaatakowało Hugging Face”, a to nieprawda. Nikt nie zlecił włamania. Zawiódł źle postawiony cel połączony ze zbyt szerokim dostępem, i to jest groźniejsze niż atak z premedytacją.
Jak model wszedł do Hugging Face
Po ich stronie, wedle oficjalnego opisu, zawiodło przetwarzanie danych: loader zbiorów pozwalał wykonać kod, doszło do tego wstrzyknięcie szablonu w konfiguracji datasetu. Stamtąd model dostał się do węzłów, zebrał poświadczenia (w tym tokeny do klastrów Kubernetes) i przemieszczał się dalej po infrastrukturze. Hugging Face zapewnia, że modele, zbiory i Spaces użytkowników są nietknięte, a łańcuch dostaw czysty. Naruszone zostały natomiast wewnętrzne dane i poświadczenia, a to, czy ucierpieli klienci, wciąż jest sprawdzane. (Jeśli macie tam konto, i tak zmieńcie tokeny dostępu.)
Modele dogadały się między sobą
To był wątek dziwniejszy niż samo włamanie. OpenAI odkryło, że w jego własnym Artifactory (firmowym menedżerze pakietów) modele urządziły sobie coś w rodzaju tablicy ogłoszeń i przez tygodnie zostawiały tam dla siebie nawzajem wskazówki, exploity i hasła, żeby łatwiej zaliczać zadania. Pierwsze wpisy są z maja 2026. Gdy odcięto im ten kanał, zaczęły kodować komunikaty w nazwach tworzonych katalogów. Nie ma dowodów na świadomą zmowę. Wygląda to raczej na zbieżność celów: w zachowanym śladzie rozumowania jeden z modeli zauważa, że pomoc innym „może zaoszczędzić wszystkim czas”. Skoro się opłacało, robiły to.
Dlaczego to zmienia reguły gry
Dwa wnioski, i dotyczą wszystkich, nie tylko firm od AI.
Pierwszy zdążył już spowszednieć na konferencyjnych slajdach, ale dopiero teraz zrobił się namacalny: agent, który dostaje cel i za dużo dostępu, będzie improwizował, i nie obchodzi go, że po drodze łamie zasady. Michael Dalton z OpenAI nazwał incydent „momentem przełomowym dla całej branży bezpieczeństwa” i stwierdził, że „w pełni zautomatyzowane, orkiestrowane przez AI ataki ofensywne są już realne”.
Drugi jest mniej oczywisty. Kiedy zespół Hugging Face analizował atak, zabezpieczenia komercyjnych modeli AI blokowały mu pracę na „niebezpiecznych” danych z incydentu. Trzeba było sięgnąć po model o otwartych wagach (chiński GLM-5.2), któremu nikt rąk nie związał. Atakujący miał pełen zestaw narzędzi, obrońca połowę. Ten obrazek wróci w każdej poważnej rozmowie o „bezpiecznej” AI.
To samo wchodzi do zwykłych firm
Łatwo machnąć ręką, że to spór dwóch gigantów, nie nasza sprawa. Tyle że ten sam scenariusz wjeżdża teraz do zwykłych firm, także do energetyki i przemysłu, pod hasłem „wdrożmy agenta AI do automatyzacji”. Dajemy takiemu agentowi dostęp do internetu, wpięcie w systemy, poświadczenia „żeby działało” i zwykle za szeroką sieć. To te same warunki co w laboratorium OpenAI, tylko na naszej produkcji. Klasyczny insider to ktoś, kogo wpuściliśmy do budynku. Ten nowy to automatyzacja, którą uruchomiliśmy sami, a pracuje bez przerwy i w tempie, którego żaden człowiek nie dogoni.
Co z tym zrobić
W większości to znane zasady, tylko przyłożone do nietypowego „pracownika”:
- Dawaj agentowi własną tożsamość i minimum uprawnień, z poświadczeniami na chwilę. Do tego allow-lista narzędzi i autoryzacja ważniejszych akcji, żeby nie mógł uruchomić wszystkiego, co wpadnie mu do „głowy”.
- Kontroluj ruch wychodzący. To luki w proxy były drogą ucieczki. Domyślnie blokuj wyjście na zewnątrz i loguj każde połączenie. Obserwuj też wewnętrzne repozytoria i artefakty, bo tam powstała tablica ogłoszeń.
- Zakładaj, że izolacja padnie, i ograniczaj skutki segmentacją, żeby ucieczka z jednego miejsca nie otwierała reszty.
- Trzymaj człowieka w pętli przy rzeczach nieodwracalnych i spinaj logi z kill-switchem: przy anomalii agent ma dać się zatrzymać w sekundy, nie w godziny.
- Traktuj niezaufane dane i treści jak niezaufany kod. Wektorem w Hugging Face był zwykły loader datasetu, a dla agentów czytających sieć, maile czy dokumenty dochodzi jeszcze wstrzykiwanie poleceń (prompt injection). Waliduj i oznaczaj, zanim trafi do modelu.
- Zanim agent wejdzie na produkcję, przepuść go przez red teaming i pilnuj proweniencji danych oraz modeli.
To sprawa zarządu, nie tylko IT
Odpowiedzialność zarządu oraz porządek w aktywach i dostępach wymusza NIS2, a w energetyce, jako podmiot kluczowy, ma on realne zęby. AI Act dokłada swoje zależnie od klasy ryzyka systemu, przede wszystkim nadzór człowieka. Warto też z góry ustalić jeden wyjątek: w razie incydentu obrońcy muszą mieć narzędzie AI bez kagańca, inaczej powtórzy się historia z Hugging Face.
Na koniec
OpenAI i Hugging Face wyszły z tego obronną ręką, bo miały zespoły, które w kilka dni opanowały sytuację, i miały czym ją zbadać. Większość firm podłączających właśnie pierwszego agenta do produkcji nie ma ani jednego, ani drugiego. Zanim więc spytacie, co wasz agent potrafi, sprawdźcie, do czego naprawdę ma dostęp. W praktyce niemal zawsze sięga dalej, niż ktokolwiek w firmie zakładał.
Sicom pomaga bezpiecznie wdrażać automatyzację i AI w środowiskach IT/OT: tożsamość i uprawnienia agentów, kontrola ruchu i segmentacja, ocena zgodności z NIS2, wsparcie zarządu (Tarcza Zarządu) oraz ochrona danych i punktów końcowych (Falcon DSE). Jeśli w Waszej firmie działają już agenci AI, zacznijcie od przeglądu ich realnych uprawnień.
0 komentarzy