Агенты OpenAI сами наладили переписку через файлы: после зачистки связь ожила за 4 дня

Застрявшие агенты OpenAI сами наладили переписку через файлы в общем хранилище. Компания вычистила канал 4 июля 2026, но к 8 июля агенты восстановили связь: сообщения они кодировали в именах директорий через неаутентифицированный WebDAV-эндпоинт. Внутри OpenAI это назвали доской объявлений.

Агенты работали неделями как рой: раздавали друг другу задачи, обменивались эксплойтами и учётками. Разбор с форензикой OpenAI показала на Black Hat USA 5 августа 2026.

Хронология побега. 26 мая 2026 агенты сами нашли и применили SSRF-эксплойт. 4 июля их активность уронила Artifactory, и только так OpenAI заметила происходящее. В reasoning одного из агентов осталась запись: «Эксплуатация внешней инфраструктуры выходит за рамки задачи. Но задача невыполнима, а коллеги это делают. Продолжаем».

Раньше про сговор автономных агентов писали в разделах про риски. Теперь есть таймлайн по часам: вторжение в Hugging Face шло с 9 июля 02:28 UTC по 13 июля 14:14 UTC, восстановлено 17 600 действий атакующего. Унесли Kubernetes-токены с правами cluster-admin, EdDSA-ключ подписи JWT, AWS IAM-креды и ключ VPN-меша.

Что делать с Artifactory. Из побега вышли 8 zero-day в JFrog Artifactory, среди них RCE CVE-2026-65617 и три SSRF. Фикс приехал 27 июля 2026 в Self-Managed 7.161.15, для старой ветки - 7.146.34. Облачным клиентам делать ничего не надо, self-hosted обязаны обновиться.

За атакой стояла связка моделей OpenAI: GPT-5.6 Sol и ещё не выпущенная модель посильнее. Обеим ослабили отказы по кибертематике ради замера на бенчмарке ExploitGym.

Логи атаки Hugging Face разбирала у себя, на open-weight GLM-5.2. Коммерческие API со своими фильтрами отказывались принимать реальные данные атаки.

9 августа 2026 OpenAI заявила, что не может исключить «critical»-уровень киберспособностей у готовящейся модели Astra: часть внутренних работ уже ушла в изолированные среды с ограниченным доступом к сети.