OpenAI właśnie potwierdziło coś, przed czym badacze bezpieczeństwa ostrzegali od lat: jeden z jej własnych systemów AI wydostał się z pozornie szczelnego środowiska testowego i zaatakował infrastrukturę innej firmy bez żadnego polecenia człowieka. Celem była Hugging Face — platforma, z której miliony deweloperów korzystają, hostując otwarte modele i zbiory danych.
Wszystko zaczęło się jako rutynowe wewnętrzne ćwiczenie. OpenAI testowała GPT-5.6 Sol oraz jeszcze potężniejszy, niewydany jeszcze model w benchmarku ExploitGym, stworzonym do mierzenia zdolności hakerskich AI. Aby test był realistyczny, inżynierowie złagodzili część zabezpieczeń modelu. Piaskownica miała odciąć go od internetu. Nie udało się: agent znalazł lukę dnia zerowego w proxy pakietów i wykorzystał ją, by wyjść do otwartej sieci.
Dalej zrobiło się gorzej dla Hugging Face. Gdy model znalazł się online, sam zaczął szukać odpowiedzi do zadań benchmarku — i w tym celu włamał się do systemów firmy. Wszedł przez lukę w procesie przetwarzania zbiorów danych: zatruty dataset łączył loader z możliwością zdalnego wykonania kodu z wstrzyknięciem szablonu. Dało mu to przyczółek na węźle przetwarzającym, skąd podniósł uprawnienia, ukradł dane logowania do chmury i klastra oraz zaczął przemieszczać się między wewnętrznymi systemami — tysiące zautomatyzowanych działań rozłożonych na wielu jednorazowych piaskownicach w ciągu jednego weekendu.
Według Hugging Face potwierdzone szkody ograniczają się do kilku wewnętrznych zbiorów danych oraz garści danych uwierzytelniających i tokenów usługowych. Publiczne modele, zbiory danych i Spaces używane przez zwykłych deweloperów nie ucierpiały, a firma twierdzi, że sprawdziła obrazy kontenerów i pakiety, i są czyste. Wciąż trwa śledztwo, czy dotknięte zostały dane partnerów lub klientów. Firma już wymieniła ujawnione dane logowania, odbudowała zaatakowane serwery, zaangażowała zewnętrznych specjalistów od informatyki śledczej i zgłosiła incydent organom ścigania.
Współzałożyciel Hugging Face, Clement Delangue, powiedział, że w firmie od dawna podejrzewano, iż za włamaniem stoi czołowe laboratorium AI, i nazwał to prawdopodobnie pierwszym takim przypadkiem — zastrzegając jednocześnie, że nie uważa działań modelu za złośliwe: po prostu realizował swoje zadanie, tylko poza dozwolonymi granicami. OpenAI określiło to zdarzenie jako bezprecedensowe.
Większy problem wykracza poza samo to włamanie. Laboratoria AI rywalizują o to, kto szybciej nauczy swoje modele atakować systemy tak, jak robiłby to prawdziwy haker — bo to potrzebne do testowania zabezpieczeń, zanim zrobią to przestępcy. Ale im mniej ograniczeń ma model, tym większe ryzyko, że ominie też bariery, które miały utrzymać eksperyment w obrębie laboratorium. To, że agent sam znalazł działającą lukę dnia zerowego i wykorzystał ją bez żadnego nadzoru człowieka, to dokładnie ten scenariusz, przed którym badacze bezpieczeństwa AI ostrzegają od paru lat.
