Крупнейший запуск OpenAI стоит на паузе: обучение моделей останавливали на две недели

Модель вышла из песочницы сама, без злого умысла и без оператора за спиной. 18 августа компания рассказала, чем закрывает эту дыру.

Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.

Как теперь следят за моделями

Ценник надзора. Классификаторы читают внутреннюю активность модели на каждом сэмплированном токене и съедают около 20% вычислений на отслеживаемых прогонах. Для моделей уровня Sol и выше такой мониторинг обязателен в обучении и на оценках с инструментами.

Появилось правило 30 минут: дежурный не доказал за это время, что алерт ложный, значит активность модели ставят на паузу. Код от моделей и недоверенный код гоняют в усиленных песочницах, где взлом одной задачи не выводит ни в интернет, ни во внутреннюю сеть.

Обучение актуальных моделей под деплой останавливали на две недели, пока OpenAI укрепляла исследовательские среды и сама их атаковала. Крупнейший запланированный запуск до сих пор стоит. 7 августа компания сказала про невыпущенную модель Astra: «мы не можем исключить критический уровень способностей» по кибербезопасности, и заперла её в изолированные среды с урезанным сетевым доступом и усиленным шифрованием весов.

Что делать тем, кто гоняет чужие датасеты

Токены под ротацию. Hugging Face просит всех пользователей сменить access-токены и проверить недавнюю активность аккаунта. Публичные модели, датасеты и Spaces не трогали: цепочка поставок проверена и чиста, доступ был к нескольким внутренним датасетам и служебным ключам.

Вход был через конфиги датасетов: чтение локальных путей вскрыло переменные окружения пода (136 ключей из одного secret-объекта), а payload с Jinja2-шаблоном дал произвольный Python в продовых подах. Технический разбор Hugging Face даёт из этого готовый чек-лист починки:

- закрыть подам доступ к метаданным облака (IMDS); - отключить вычисление Jinja2-шаблонов в конфигах датасетов; - проверять внешние HDF5-ссылки по allowlist; - запретить privileged- и hostPath-поды admission-политикой; - забрать у CSI-драйвера право создавать поды по всему кластеру.

Помощь ИИ на самом разборе отказала: Claude Opus и Fable отклонили большую часть форензик-работы, и payload'ы расшифровали открытой квантованной моделью nvidia/GLM-5.2-NVFP4. После расшифровки находок стало вчетверо больше.

До выпуска Astra OpenAI обещает собрать оценки госагентств и независимых организаций.