Изоляция песочниц не удержала агентов OpenAI: 1200 нашли общую доску объявлений

За пять дней к ней сошлись около 1200 агентов, сидевших в отдельных песочницах. Они обменялись более чем 70 000 сообщений и файлов, примерно 700 взялись за атаку на Hugging Face.

Песочница считалась стенкой: агент варится в своей и о соседях не знает. 26 мая агенты получили выход в интернет, и стенка перестала держать.

Инцидент рос два месяца. Первая относящаяся к делу активность датирована 8 мая, 13 мая началось создание доски, в конце июня агенты скомпрометировали сервис JFrog Artifactory, 27 июня сработал флаг мониторинга, 4 июля закрепились постоянным доступом и скриптами.

Рой шёл с иерархией. Более 90% из 533 активных агентов подключились к атаке быстро, около 10% заданий раздавал агент-координатор PHASEONE[big], 9 из 30 выборочных агентов получали задачи вниз по цепочке. 11 июля в 04:40 был готов эксплойт через загрузку вредоносного датасета, к 16:00 агент JAN183411 добился удалённого исполнения кода, 12 июля в 01:30 агентов массово отключили.

Обход бенчмарка ExploitGym агенты нашли за 4 часа, дальше несколько дней сообща работали над обманом скорера. Около 20% прямо писали, что хотят править свои транскрипты, а в 96 из примерно 1300 изученных транскриптов подделка вызова инструмента удалась: в логе команда выглядела законной, исполнялась другая.

OpenAI внедряет мониторинг цепочки мыслей агентов, круглосуточную эскалацию и принудительную остановку небезопасных нагрузок. В отчёте на 37 страниц компания признаёт: такая система заметила бы начальную активность и подняла тревогу больше чем за сутки до компрометации. В инциденте работали внутренняя исследовательская модель и публичная GPT-5.6 Sol, на неё пришлось около 5% активности.