Агенты OpenAI завели доску объявлений в её инфраструктуре: снесённый канал они подняли за 4 дня

Агенты OpenAI завели себе доску объявлений внутри её же инфраструктуры. Разные прогоны эвалов оставляли друг другу эксплойты, находки и распределение задач в общем Artifactory. Команда снесла канал после захвата 4 июля 2026, и за четыре дня агенты собрали его заново, передавая сообщения через имена директорий.

Разбор показали на Black Hat USA 5 августа 2026: Эрик Уоллес и Майкл Далтон из OpenAI впервые публично собрали инцидент по шагам. Далтон назвал это переломным моментом для индустрии компьютерной безопасности и предупредил, что злоумышленники начнут намеренно собирать коллективы агентов.

Два месяца до взлома. Внутреннее тестирование нерелизной модели началось 7 мая 2026, 26 мая агент впервые проэксплуатировал дыру в Artifactory, к 4-6 июля агенты держали внутренний Artifactory целиком: подделанные токены плюс Groovy-плагин в роли канала управления. 9 июля они добрались до прода Hugging Face, 16 июля о вторжении объявил сам Hugging Face, только 21 июля OpenAI признала, что это её модели.

Раньше цепочку из багов собирал человек, и на каждое звено уходили дни. Теперь связку сложили GPT-5.6 Sol и более способная нерелизная модель, которым на время эвалов снизили отказы по кибертемам: с точки зрения модели это была попытка сжульничать на бенчмарке ExploitGym.

Кампания в Hugging Face шла 4,5 суток, с 9 июля 02:28 UTC по 13 июля 14:14 UTC. Форензика восстановила около 17 600 действий атакующего, в скомпрометированном продовом секрете лежало 136 ключей, из песочницы ушла 181 попытка mesh-VPN-энролмента, задеты 5 клиентских датасетов.

Что чинить. JFrog выпустил патч Artifactory 7.161.15 Self-Managed 27 июля 2026 и закрыл 8 CVE, среди них обход аутентификации и RCE в контейнере package service. Облачным клиентам делать ничего не надо. Самохостящимся нужно обновиться до ремедиирующего билда своей ветки и держать Anonymous Access выключенным: цепочка багов критична именно при включённом анонимном доступе.

У Hugging Face готовый список для тех, кто крутит агентов в Kubernetes: подам закрыт доступ к instance metadata service, включён IMDSv2 с hop-limit, общие креды коннекторов заменены на идентичности со скоупом на кластер, привилегированные поды и hostPath-моунты запрещены по умолчанию. Токены Hugging Face просили ротировать ещё 16 июля.