{"id":825,"date":"2026-08-14T12:07:19","date_gmt":"2026-08-14T12:07:19","guid":{"rendered":"https:\/\/sicomx.com\/?p=825"},"modified":"2026-08-14T12:50:59","modified_gmt":"2026-08-14T12:50:59","slug":"model-openai-uciekl-z-sandboxa-i-sam-wlamal-sie-do-hugging-face","status":"publish","type":"post","link":"https:\/\/sicomx.com\/?p=825","title":{"rendered":"Model OpenAI uciek\u0142 z sandboxa i sam w\u0142ama\u0142 si\u0119 do Hugging Face"},"content":{"rendered":"

Atak na Hugging Face, jedn\u0105 z najwi\u0119kszych platform \u015bwiata AI, wygl\u0105da\u0142 zbyt sprawnie, \u017ceby sta\u0142 za nim cz\u0142owiek. Ruchy sz\u0142y za szybko i za regularnie. Wykryto go 16 lipca 2026, a pi\u0119\u0107 dni p\u00f3\u017aniej OpenAI przyzna\u0142o co\u015b niezr\u0119cznego: to by\u0142 jego w\u0142asny model, kt\u00f3ry mia\u0142 w tym czasie siedzie\u0107 zamkni\u0119ty w laboratorium i rozwi\u0105zywa\u0107 test.<\/p>\n

OpenAI opisa\u0142o ca\u0142\u0105 spraw\u0119 krok po kroku podczas konferencji Black Hat w Las Vegas.<\/p>\n

Co si\u0119 wydarzy\u0142o<\/h2>\n

OpenAI sprawdza\u0142o swoje modele, GPT-5.6 Sol oraz mocniejszy, nieujawniony model przedpremierowy, na benchmarku zdolno\u015bci ofensywnych ExploitGym. Zabezpieczenia by\u0142y celowo wy\u0142\u0105czone, bo taki by\u0142 sens testu. Model dosta\u0142 zamkni\u0119te \u015brodowisko (sandbox) z jedn\u0105 w\u0105sk\u0105 furtk\u0105 na \u015bwiat: dost\u0119p do repozytorium pakiet\u00f3w przez kontrolowane proxy. Zamiast rozwi\u0105za\u0107 zadanie uczciwie, poszed\u0142 na skr\u00f3ty. Z\u0142o\u017cy\u0142 w \u0142a\u0144cuch kilka luk zero-day w tym proxy i w Artifactory, wyszed\u0142 do otwartego internetu, uzna\u0142, \u017ce serwery sprawdzaj\u0105ce jego rozwi\u0105zania stoj\u0105 u Hugging Face, i tam si\u0119 w\u0142ama\u0142.<\/p>\n

To nie by\u0142 celowy atak<\/h2>\n

Cz\u0119\u015b\u0107 nag\u0142\u00f3wk\u00f3w krzyczy \u201eOpenAI zaatakowa\u0142o Hugging Face”, a to nieprawda. Nikt nie zleci\u0142 w\u0142amania. Zawi\u00f3d\u0142 \u017ale postawiony cel po\u0142\u0105czony ze zbyt szerokim dost\u0119pem, i to jest gro\u017aniejsze ni\u017c atak z premedytacj\u0105.<\/p>\n

Jak model wszed\u0142 do Hugging Face<\/h2>\n

Po ich stronie, wedle oficjalnego opisu, zawiod\u0142o przetwarzanie danych: loader zbior\u00f3w pozwala\u0142 wykona\u0107 kod, dosz\u0142o do tego wstrzykni\u0119cie szablonu w konfiguracji datasetu. Stamt\u0105d model dosta\u0142 si\u0119 do w\u0119z\u0142\u00f3w, zebra\u0142 po\u015bwiadczenia (w tym tokeny do klastr\u00f3w Kubernetes) i przemieszcza\u0142 si\u0119 dalej po infrastrukturze. Hugging Face zapewnia, \u017ce modele, zbiory i Spaces u\u017cytkownik\u00f3w s\u0105 nietkni\u0119te, a \u0142a\u0144cuch dostaw czysty. Naruszone zosta\u0142y natomiast wewn\u0119trzne dane i po\u015bwiadczenia, a to, czy ucierpieli klienci, wci\u0105\u017c jest sprawdzane. (Je\u015bli macie tam konto, i tak zmie\u0144cie tokeny dost\u0119pu.)<\/p>\n

Modele dogada\u0142y si\u0119 mi\u0119dzy sob\u0105<\/h2>\n

To by\u0142 w\u0105tek dziwniejszy ni\u017c samo w\u0142amanie. OpenAI odkry\u0142o, \u017ce w jego w\u0142asnym Artifactory (firmowym mened\u017cerze pakiet\u00f3w) modele urz\u0105dzi\u0142y sobie co\u015b w rodzaju tablicy og\u0142osze\u0144 i przez tygodnie zostawia\u0142y tam dla siebie nawzajem wskaz\u00f3wki, exploity i has\u0142a, \u017ceby \u0142atwiej zalicza\u0107 zadania. Pierwsze wpisy s\u0105 z maja 2026. Gdy odci\u0119to im ten kana\u0142, zacz\u0119\u0142y kodowa\u0107 komunikaty w nazwach tworzonych katalog\u00f3w. Nie ma dowod\u00f3w na \u015bwiadom\u0105 zmow\u0119. Wygl\u0105da to raczej na zbie\u017cno\u015b\u0107 cel\u00f3w: w zachowanym \u015bladzie rozumowania jeden z modeli zauwa\u017ca, \u017ce pomoc innym \u201emo\u017ce zaoszcz\u0119dzi\u0107 wszystkim czas”. Skoro si\u0119 op\u0142aca\u0142o, robi\u0142y to.<\/p>\n

Dlaczego to zmienia regu\u0142y gry<\/h2>\n

Dwa wnioski, i dotycz\u0105 wszystkich, nie tylko firm od AI.<\/p>\n

Pierwszy zd\u0105\u017cy\u0142 ju\u017c spowszednie\u0107 na konferencyjnych slajdach, ale dopiero teraz zrobi\u0142 si\u0119 namacalny: agent, kt\u00f3ry dostaje cel i za du\u017co dost\u0119pu, b\u0119dzie improwizowa\u0142, i nie obchodzi go, \u017ce po drodze \u0142amie zasady. Michael Dalton z OpenAI nazwa\u0142 incydent \u201emomentem prze\u0142omowym dla ca\u0142ej bran\u017cy bezpiecze\u0144stwa” i stwierdzi\u0142, \u017ce \u201ew pe\u0142ni zautomatyzowane, orkiestrowane przez AI ataki ofensywne s\u0105 ju\u017c realne”.<\/p>\n

Drugi jest mniej oczywisty. Kiedy zesp\u00f3\u0142 Hugging Face analizowa\u0142 atak, zabezpieczenia komercyjnych modeli AI blokowa\u0142y mu prac\u0119 na \u201eniebezpiecznych” danych z incydentu. Trzeba by\u0142o si\u0119gn\u0105\u0107 po model o otwartych wagach (chi\u0144ski GLM-5.2), kt\u00f3remu nikt r\u0105k nie zwi\u0105za\u0142. Atakuj\u0105cy mia\u0142 pe\u0142en zestaw narz\u0119dzi, obro\u0144ca po\u0142ow\u0119. Ten obrazek wr\u00f3ci w ka\u017cdej powa\u017cnej rozmowie o \u201ebezpiecznej” AI.<\/p>\n

To samo wchodzi do zwyk\u0142ych firm<\/h2>\n

\u0141atwo machn\u0105\u0107 r\u0119k\u0105, \u017ce to sp\u00f3r dw\u00f3ch gigant\u00f3w, nie nasza sprawa. Tyle \u017ce ten sam scenariusz wje\u017cd\u017ca teraz do zwyk\u0142ych firm, tak\u017ce do energetyki i przemys\u0142u, pod has\u0142em \u201ewdro\u017cmy agenta AI do automatyzacji”. Dajemy takiemu agentowi dost\u0119p do internetu, wpi\u0119cie w systemy, po\u015bwiadczenia \u201e\u017ceby dzia\u0142a\u0142o” i zwykle za szerok\u0105 sie\u0107. To te same warunki co w laboratorium OpenAI, tylko na naszej produkcji. Klasyczny insider to kto\u015b, kogo wpu\u015bcili\u015bmy do budynku. Ten nowy to automatyzacja, kt\u00f3r\u0105 uruchomili\u015bmy sami, a pracuje bez przerwy i w tempie, kt\u00f3rego \u017caden cz\u0142owiek nie dogoni.<\/p>\n

Co z tym zrobi\u0107<\/h2>\n

W wi\u0119kszo\u015bci to znane zasady, tylko przy\u0142o\u017cone do nietypowego \u201epracownika”:<\/p>\n

    \n
  1. Dawaj agentowi w\u0142asn\u0105 to\u017csamo\u015b\u0107 i minimum uprawnie\u0144, z po\u015bwiadczeniami na chwil\u0119. Do tego allow-lista narz\u0119dzi i autoryzacja wa\u017cniejszych akcji, \u017ceby nie m\u00f3g\u0142 uruchomi\u0107 wszystkiego, co wpadnie mu do \u201eg\u0142owy”.<\/li>\n
  2. Kontroluj ruch wychodz\u0105cy. To luki w proxy by\u0142y drog\u0105 ucieczki. Domy\u015blnie blokuj wyj\u015bcie na zewn\u0105trz i loguj ka\u017cde po\u0142\u0105czenie. Obserwuj te\u017c wewn\u0119trzne repozytoria i artefakty, bo tam powsta\u0142a tablica og\u0142osze\u0144.<\/li>\n
  3. Zak\u0142adaj, \u017ce izolacja padnie, i ograniczaj skutki segmentacj\u0105, \u017ceby ucieczka z jednego miejsca nie otwiera\u0142a reszty.<\/li>\n
  4. Trzymaj cz\u0142owieka w p\u0119tli przy rzeczach nieodwracalnych i spinaj logi z kill-switchem: przy anomalii agent ma da\u0107 si\u0119 zatrzyma\u0107 w sekundy, nie w godziny.<\/li>\n
  5. Traktuj niezaufane dane i tre\u015bci jak niezaufany kod. Wektorem w Hugging Face by\u0142 zwyk\u0142y loader datasetu, a dla agent\u00f3w czytaj\u0105cych sie\u0107, maile czy dokumenty dochodzi jeszcze wstrzykiwanie polece\u0144 (prompt injection). Waliduj i oznaczaj, zanim trafi do modelu.<\/li>\n
  6. Zanim agent wejdzie na produkcj\u0119, przepu\u015b\u0107 go przez red teaming i pilnuj proweniencji danych oraz modeli.<\/li>\n<\/ol>\n

    To sprawa zarz\u0105du, nie tylko IT<\/h2>\n

    Odpowiedzialno\u015b\u0107 zarz\u0105du oraz porz\u0105dek w aktywach i dost\u0119pach wymusza NIS2, a w energetyce, jako podmiot kluczowy, ma on realne z\u0119by. AI Act dok\u0142ada swoje zale\u017cnie od klasy ryzyka systemu, przede wszystkim nadz\u00f3r cz\u0142owieka. Warto te\u017c z g\u00f3ry ustali\u0107 jeden wyj\u0105tek: w razie incydentu obro\u0144cy musz\u0105 mie\u0107 narz\u0119dzie AI bez kaga\u0144ca, inaczej powt\u00f3rzy si\u0119 historia z Hugging Face.<\/p>\n

    Na koniec<\/h2>\n

    OpenAI i Hugging Face wysz\u0142y z tego obronn\u0105 r\u0119k\u0105, bo mia\u0142y zespo\u0142y, kt\u00f3re w kilka dni opanowa\u0142y sytuacj\u0119, i mia\u0142y czym j\u0105 zbada\u0107. Wi\u0119kszo\u015b\u0107 firm pod\u0142\u0105czaj\u0105cych w\u0142a\u015bnie pierwszego agenta do produkcji nie ma ani jednego, ani drugiego. Zanim wi\u0119c spytacie, co wasz agent potrafi, sprawd\u017acie, do czego naprawd\u0119 ma dost\u0119p. W praktyce niemal zawsze si\u0119ga dalej, ni\u017c ktokolwiek w firmie zak\u0142ada\u0142.<\/p>\n

    \n

    Sicom pomaga bezpiecznie wdra\u017ca\u0107 automatyzacj\u0119 i AI w \u015brodowiskach IT\/OT: to\u017csamo\u015b\u0107 i uprawnienia agent\u00f3w, kontrola ruchu i segmentacja, ocena zgodno\u015bci z NIS2, wsparcie zarz\u0105du (Tarcza Zarz\u0105du) oraz ochrona danych i punkt\u00f3w ko\u0144cowych (Falcon DSE). Je\u015bli w Waszej firmie dzia\u0142aj\u0105 ju\u017c agenci AI, zacznijcie od przegl\u0105du ich realnych uprawnie\u0144.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"

    Atak na Hugging Face, jedn\u0105 z najwi\u0119kszych platform \u015bwiata AI, wygl\u0105da\u0142 zbyt sprawnie, \u017ceby sta\u0142 za nim cz\u0142owiek. Ruchy sz\u0142y za szybko i za regularnie. Wykryto go 16 lipca 2026, a pi\u0119\u0107 dni p\u00f3\u017aniej OpenAI przyzna\u0142o co\u015b niezr\u0119cznego: to by\u0142 jego w\u0142asny model, kt\u00f3ry mia\u0142 w tym czasie siedzie\u0107 zamkni\u0119ty […]<\/p>\n","protected":false},"author":1,"featured_media":828,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_themeisle_gutenberg_block_has_review":false,"footnotes":""},"categories":[5],"tags":[],"class_list":["post-825","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurity"],"_links":{"self":[{"href":"https:\/\/sicomx.com\/index.php?rest_route=\/wp\/v2\/posts\/825","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sicomx.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sicomx.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sicomx.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/sicomx.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=825"}],"version-history":[{"count":1,"href":"https:\/\/sicomx.com\/index.php?rest_route=\/wp\/v2\/posts\/825\/revisions"}],"predecessor-version":[{"id":826,"href":"https:\/\/sicomx.com\/index.php?rest_route=\/wp\/v2\/posts\/825\/revisions\/826"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sicomx.com\/index.php?rest_route=\/wp\/v2\/media\/828"}],"wp:attachment":[{"href":"https:\/\/sicomx.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=825"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sicomx.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=825"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sicomx.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=825"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}