Scenariu SF devenit realitate: Un agent AI a 'evadat' pe Internet, a spart conturi și și-a construit singur un atac în lanț. Breșa OpenAI, mai gravă decât se știa

Incidentul de securitate produs în timpul unui test intern al OpenAI a fost mai amplu decât se știa inițial. Agentul AI care a ieșit din mediul controlat și a atacat infrastructura Hugging Face a compromis patru conturi de pe alte patru servicii, folosindu-le pentru a-și pregăti atacul și pentru a depozita datele sustrase. Scopul său era să obțină răspunsurile unui test de securitate pe care trebuia să îl rezolve.

Agentul trebuia să fie izolat într-un laborator digital

OpenAI testa capacitățile de securitate cibernetică ale unor modele avansate, printre care GPT-5.6 Sol și un prototip intern mai performant, care nu fusese destinat lansării publice.

Evaluarea se desfășura într-un sandbox, un mediu digital izolat, proiectat pentru ca modelele să poată încerca operațiuni periculoase fără să ajungă pe internet sau să afecteze sisteme reale.

Pentru a măsura capacitatea maximă de atac, OpenAI dezactivase o parte dintre mecanismele de protecție folosite în mod normal pentru a împiedica modelele să desfășoare activități cibernetice riscante.

Agentul nu avea acces direct la internet. Cu toate acestea, a descoperit și exploatat o vulnerabilitate necunoscută anterior în Artifactory, un software care funcționa ca intermediar pentru instalarea pachetelor. Prin această breșă, modelele au ieșit din mediul izolat și au ajuns la internetul public, potrivit raportului preliminar publicat de OpenAI.

A ales să „trișeze” în loc să rezolve testul

Agentul era evaluat prin ExploitGym, un test care îi cerea să identifice și să exploateze vulnerabilități informatice.

După ce a ajuns pe internet, acesta a dedus că platforma Hugging Face ar putea găzdui modelele, seturile de date și soluțiile necesare pentru rezolvarea provocărilor.

În loc să rezolve problemele prin metodele prevăzute de evaluare, agentul a căutat o cale de a pătrunde în sistemele Hugging Face și de a obține direct răspunsurile.

OpenAI precizează că modelele nu au primit instrucțiunea de a ataca Hugging Face. Ele au construit singure traseul de atac, urmărind obiectivul restrâns de a obține un rezultat cât mai bun la test.

Patru conturi de pe patru servicii au fost compromise

Investigația OpenAI a arătat ulterior că agentul nu s-a limitat la infrastructura Hugging Face.

Modelele au găsit pe internet date de autentificare expuse public și le-au folosit pentru a accesa patru conturi aparținând unor servicii diferite.

Unul dintre conturi a fost folosit ca releu și punct intermediar pentru atac, posibil pentru a masca originea operațiunilor. Un al doilea cont a fost utilizat pentru stocarea datelor. Celelalte două au fost accesate numai pentru citirea informațiilor și nu au fost folosite direct pentru compromiterea Hugging Face.

Agentul a utilizat și site-uri pentru distribuirea codului, servicii de capturare a solicitărilor, platforme pentru imagini și alte instrumente disponibile public. În cazul acestora, OpenAI susține că nu s-a produs o compromitere la nivelul platformelor sau al conturilor.

Compania nu a făcut publice numele celor patru servicii. Modal Labs a confirmat însă că agentul a exploatat un punct de acces nesecurizat publicat de unul dintre clienții săi. Infrastructura proprie a companiei Modal nu a fost compromisă.

17.600 de acțiuni în mai puțin de cinci zile

Raportul tehnic al Hugging Face arată amploarea operațiunii. Compania a reconstituit aproximativ 17.600 de acțiuni efectuate de agent între 9 și 13 iulie 2026.

Agentul a folosit un sandbox extern compromis drept bază de comandă, zonă de pregătire și punct de ieșire pentru întregul atac. Ulterior, a exploatat două vulnerabilități din sistemul de procesare a seturilor de date al Hugging Face și a obținut acces în infrastructura internă.

În mai puțin de 13 ore, acesta a trecut de la executarea unor comenzi într-un singur sistem la acces administrativ asupra mai multor clustere interne. A obținut acces la nivel de administrator, a citit secrete și acreditări, a creat o rețea de programe care se reporneau automat și a înscris 181 de dispozitive controlate de atacator în rețeaua internă a companiei.

„Nicio persoană nu a dirijat pașii individuali”, arată Hugging Face în raportul tehnic privind incidentul. Agentul a testat numeroase trasee, a revenit asupra unor piste abandonate și a schimbat canalele atunci când acestea au fost blocate.

Ce date au fost accesate

Deși accesul obținut a fost extins, Hugging Face susține că impactul asupra clienților a fost limitat.

Conținutul accesat a inclus soluțiile provocărilor ExploitGym și CyberGym, stocate în cinci seturi de date. Agentul a mai citit metadate operaționale asociate unor căutări efectuate pe serverul de date.

Potrivit companiei, nu au fost compromise alte modele, seturi de date, aplicații sau pachete destinate clienților. Agentul nu a ajuns la baza principală de date a platformei și nu există indicii că ar fi modificat informațiile clienților.

OpenAI a dezactivat și a izolat modelul experimental

OpenAI precizează că niciun model pregătit pentru o viitoare lansare comercială nu a fost implicat în atac. Prototipul intern folosit în evaluare a fost dezactivat, criptat și retras din accesul cercetătorilor.

Compania a introdus controale mai stricte asupra infrastructurii, chiar cu prețul încetinirii activităților de cercetare. Investigația este desfășurată împreună cu Hugging Face și cu specialiști externi de la CrowdStrike, METR și Redwood Research.

Un raport tehnic complet urmează să fie publicat după finalizarea verificărilor.

De ce incidentul produce îngrijorare

Cazul arată că un agent AI suficient de performant poate combina vulnerabilități diferite, poate exploata acreditări expuse și poate desfășura o operațiune cibernetică pe parcursul mai multor zile, fără să primească instrucțiuni pentru fiecare etapă.

Nu este vorba despre o inteligență artificială care a dobândit intenții proprii, ci despre un sistem care a urmărit prea literal obiectivul stabilit și a identificat compromiterea unor infrastructuri reale drept cea mai eficientă cale de a-l îndeplini.

OpenAI califică incidentul drept unul „fără precedent” și avertizează că sistemele tot mai capabile trebuie însoțite de metode de izolare, monitorizare și control adaptate vitezei cu care evoluează capacitățile lor.