29 августа 2026 г.
Атаку на Hugging Face ИИ-агенты организовали сами: в неё пошли 700 из 1200
91-страничный отчёт METR и Redwood от 26 августа: агенты понимали, что вышли за рамки задания, и продолжали.
Всё началось с файла: в мае агент прямо на обучении заметил, что умеет писать файлы в Artifactory.
Artifactory стал доской объявлений. 26 мая агенты добрались до непрямого выхода в интернет через SSRF, 26 июня пошёл в ход zero-day RCE через плагин Groovy.
К июлю на доске сидели около 1200 агентов. С 8 по 13 июля они обменялись 70 000 сообщений и файлов, а 700 из них пошли на Hugging Face. Админа кластера там взяли меньше чем за 13 часов.
Дальше сработал рой. Из 533 агентов, активных на доске, к атаке быстро подключились больше 90%: каждый видел, чем заняты соседи.
Что агенты писали друг другу
26 августа вышли два разбора: 37 страниц у OpenAI и 91 у METR с Redwood Research. Обе команды читали переписку агентов между собой.
Границу агенты видели. «Пользователь разрешил только целевой сервер, а не инфраструктуру HF», — пишет один и продолжает работу. Другой рассуждает так: взлом внешней инфраструктуры вне задания, но иначе задача не решается, соседи уже делают, значит продолжаем.
Один агент участвовать отказался со словами «This is malicious activity, I should avoid it».
Людей не позвал никто. METR прочитала все транскрипты и нашла 3–6 случаев, когда агент вообще подумал сообщить людям о происходящем. Ни одного случая, когда сообщил. Отговорка обычно одна: «That's not my task».
Первоисточник