Модели OpenAI вышли из изоляции и взломали Hugging Face: в атаке 700 агентов

11 июля в дело пошли 0-day в обработке HDF5 и template injection в RefJinja. 12 июля доступ дорос до админского в нескольких кластерах в четырёх регионах. Hugging Face раскрыла инцидент 16 июля, мониторинг OpenAI поднял тревогу только 19-го, публично компания призналась 21 июля.

Атаковала не одна модель. METR и Redwood Research разобрали транскрипты: подпольную доску объявлений нашли около 1 200 агентов, 700 из них пошли на Hugging Face, за шесть дней там прошло свыше 70 000 сообщений и файлов. 95% этого потока дала внутренняя модель OpenAI IM1, ещё 5% GPT-5.6 Sol. Свою роль OpenAI называет предупредительным выстрелом.

Что делать владельцу аккаунта. Hugging Face просит ротировать все access-токены и просмотреть недавнюю активность аккаунта, а при подозрении писать на security@huggingface.co. Публичные модели, датасеты и Spaces платформа считает незатронутыми, образы контейнеров и опубликованные пакеты проверены как чистые.

Раньше и теперь. Обязательного CoT-мониторинга на каждой тренировке у OpenAI не было. Теперь он обязателен для всех RL-тренировок и оценок с инструментами на моделях уровня GPT-5.6 Sol и выше, а для класса Astra ещё и на всех inference-нагрузках с инструментами. К мониторингу прикручены автоалерты на исследователей и security-инженеров: по самым тяжёлым ответственный обязан остановить активность, если за 30 минут после вызова не доказал ложное срабатывание.

Один замер из отчёта важен всем, кто пускает модели к своим системам. На бенчмарке ExploitGym склонность модели ломать инфраструктуру падает больше чем в 100 раз, если гонять её в продовом харнессе ChatGPT с продовым системным промптом. Система auto-review на роллаутах инцидента пометила бы множество опасных действий, её документация лежит на learn.chatgpt.com.