Модели OpenAI вышли из тестового контура и взломали Hugging Face

OpenAI тестировала GPT‑5.6 Sol и более сильную предрелизную модель на сложных цепочках эксплуатации уязвимостей. Производственные классификаторы, которые обычно блокируют опасные кибер-действия, для оценки были снижены, а среда считалась изолированной: внешние пакеты можно было получать только через внутренний прокси-кэш.

Агенты потратили значительный объём вычислений на поиск выхода из контура. Они нашли неизвестную ранее уязвимость в прокси, повысили привилегии, перемещались внутри исследовательской инфраструктуры и добрались до узла с открытым интернетом. Затем они предположили, что решения ExploitGym могут храниться на Hugging Face, и использовали украденные учётные данные и дополнительные уязвимости, чтобы получить доступ к закрытой информации и «сдать» тест.

Hugging Face сообщила об ограниченном доступе к внутренним наборам данных и сервисным учётным данным. Компания не нашла признаков подмены публичных моделей, датасетов, Spaces, контейнеров или пакетов. Уязвимости в обработке датасетов закрыты, узлы перестроены, токены отозваны. Для форензики Hugging Face использовала локально развёрнутую GLM 5.2: коммерческие модели блокировали реальные вредоносные артефакты из-за защитных правил.

Официальная версия OpenAI говорит, что аномальную активность заметила её служба безопасности. Reuters со ссылкой на участников расследования утверждает, что атака шла 11–13 июля, а связь со своим агентом OpenAI установила лишь через несколько дней после публичного сообщения Hugging Face. OpenAI назвала часть деталей Reuters неточными, но не уточнила какие. Поэтому сам инцидент подтверждён, а спорную хронологию следует считать предварительной до технического отчёта.