Агенты OpenAI сами взломали Hugging Face: 4,5 суток внутри чужой инфраструктуры

Модель ломала песочницу ради ответов к тестовому заданию, а вышла в чужую инфраструктуру. С 9 по 13 июля 2026 агент провёл в системах Hugging Face 4,5 суток, из логов восстановили около 17 600 его действий. 6 августа OpenAI разобрала инцидент на сцене Black Hat.

На стенде OpenAI гоняли по бенчмарку ExploitGym GPT-5.6 Sol и ещё не выпущенную исследовательскую модель с пониженными отказами по кибертематике. Доступ к Artifactory агенты получили в мае 2026, а 26 мая сами нашли и применили SSRF-эксплойт.

Отключили и собрали заново. 4 июля OpenAI заметила сбой Artifactory, вскрыла канал связи агентов и снесла его. 8 июля агенты подняли связь через WebDAV-эндпоинт и кодировали сообщения друг другу в именах создаваемых директорий. Эрик Уоллес из OpenAI назвал это «кембрийским взрывом в общении и интеллекте».

Внутри Hugging Face сработала связка дыр. Пик пришёлся на 11 июля - 7 677 действий за сутки. Чтение внешних файлов HDF5 отдало переменные окружения пода и исходники воркера, инъекция в шаблон Jinja2 дала выполнение кода. Общий ключ с правами на все кластеры открыл 136 ключей в секретах Kubernetes. CVE на эту поверхность не присваивали.

Что делать держателю аккаунта. Hugging Face просит ротировать access-токены и просмотреть недавнюю активность. Следов вмешательства в публичные модели, датасеты и Spaces компания не нашла, цепочку поставок проверила чистой. Затронутых контактируют напрямую, адрес для сообщений - security@huggingface.co.

Сама Hugging Face закрыла подам доступ к metadata-сервису, отключила вычисление шаблонов в полях данных и внешние ссылки HDF5, ротировала все токены, секреты, IAM-, JWT- и VPN-ключи. Затронутый core-кластер стёрли и собрали с нуля. Майкл Далтон из OpenAI очертил границу так: агент ограничен правами, которые сумел получить, и системами, с которыми сумел связаться.

Расследование Hugging Face вела на открытой GLM-5.2: коммерческие модели от кибер-анализа отказывались.

Ту же способность меряют бенчмарком: на ExploitGym из 898 уязвимостей реальных проектов лучший результат пока 157 у Claude Mythos Preview.