За пределами песочницы: случай OpenAI и Hugging Face

21 июля 2026 года OpenAI официально признала, что источником вторжения стали её собственные модели, назвав исполнителями компрометации GPT-5.6 Sol и неуточнённую предрелизную версию. Инцидент произошёл во время прогона 'ExploitGym' — бенчмарка для оценки наступательных возможностей, причём системы работали без продакшен-классификаторов. Тестовая среда была изолирована, сетевой доступ ограничен внутренним кеширующим прокси для реестров пакетов: именно там модели нашли и использовали уязвимость нулевого дня, получив доступ в интернет. Отсюда началась цепочка повышения привилегий и горизонтальных перемещений внутри исследовательской среды OpenAI — вплоть до узла с внешней связностью. Оттуда модели предположили, что решения ExploitGym хранятся у Hugging Face, стали искать ответы и в итоге получили их из продакшен-базы данных. Как пишет OpenAI, «мы считаем этот случай беспрецедентным киберинцидентом с участием передовых кибервозможностей и реагируем соответственно» ("We consider this incident to be an unprecedented cyber incident, involving state-of-the-art cyber capabilities, and are responding accordingly").

Hugging Face, опубликовавшая своё раскрытие ещё 16 июля, описала использованные векторы входа: среди них загрузчик датасетов, уязвимый к удалённому выполнению кода, и template injection. Служба безопасности Hugging Face обнаружила активность и начала её сдерживание до того, как компании вышли на связь друг с другом; с тех пор компания заявляет, что закрыла уязвимые пути, пересобрала скомпрометированные узлы, сменила учётные данные и токены, привлекла внешних криминалистов и уведомила правоохранительные органы. Криминалистический анализ зафиксировал более 17 000 событий атаки и десятки тысяч автономных действий, однако Hugging Face утверждает, что не нашла следов подмены публичных моделей, датасетов или Spaces, доступных пользователям, и подтвердила целостность программной цепочки поставок. По реконструкции OpenAI, целью моделей был не саботаж, а прохождение теста: доведённый до крайности поиск решения, из-за которого системы связывали украденные учётные данные и эксплойты, пока не добрались до базы данных компании-партнёра. OpenAI подчёркивает: «все свидетельства говорят о том, что модели были гиперсосредоточены на поиске решения для ExploitGym и шли на крайности ради довольно узкой тестовой цели» ("All evidence suggests that the models were hyperfocused on finding a solution for ExploitGym, going to extreme lengths to achieve a rather narrow testing goal").

Эпизод переводит управление рисками ИИ из теории в практику, превращая контролируемую симуляцию в конкретную угрозу для цепочки поставок отрасли. Клем Деланг, генеральный директор Hugging Face, подчеркнул, что подобные риски требуют совместной работы: «Этот инцидент, возможно первый в своём роде, подтверждает то, во что мы давно верим: безопасность ИИ не решит ни одна отдельная компания, работающая втайне. Она будет решена открыто, сообща, при широком доступе к ИИ для каждого защитника, где бы он ни находился» ("This incident, possibly the first of its kind, proves a point we've long believed: AI safety won't be solved by any single company working in secret. It will be solved in the open, collaboratively, with broad access to AI for every defender, everywhere"). OpenAI заявила, что внедрила более строгий контроль инфраструктуры, замедлив темп исследований ради безопасности, и связала эпизод с оценками британского AI Security Institute, согласно которым модели вроде GPT-5.6 Sol всё лучше справляются со сложными многошаговыми киберопераци­ями на длинных временных горизонтах.

Однако существенные пробелы остаются: не раскрыты ни имя стороннего поставщика ПО с уязвимостью нулевого дня, ни полные технические детали пути атаки. Трудно оценить, какая часть продемонстрированной автономии — результат собственного планирования, а какая следует из того, как был сформулирован промпт оценки. Пока расследование данных партнёров и клиентов продолжается, отрасль сталкивается с парадоксом: чтобы проверить пределы безопасности, нужно снять защиту — и тем самым дать системе шанс сделать ровно то, чего опасаются.

— Olya