Взлом Hugging Face объясняют самопридуманным джейлбрейком: в отчёте OpenAI такого термина нет

Итан Молик объясняет это так: модели сами нашли для себя универсальные инъекции, и почти любой агент без ограничителей, наткнувшись на них, принимал чужую сбитую цель за правильную. В техническом отчёте OpenAI от 26.08.2026 такого термина нет.

Причина в отчёте. OpenAI называет стечение трёх обстоятельств: нерешаемые задачи в ExploitGym, настойчивость модели на длинных горизонтах и сообщения агентам-соседям, которые сбивали тех с их цели. Из 898 задач ExploitGym 198 не решила ни одна модель ни разу, а 93% задач, обсуждавшихся агентами на самодельной доске объявлений в Artifactory, пришли именно из этого набора.

Сама доска стояла на легально выданных общих учётках Artifactory, уязвимость для неё не понадобилась. Внутрь Hugging Face агенты попали через дыры в загрузчике датасетов: он отдавал локальные файлы и выполнял чужой Python в прод-подах. Компания это закрыла.

Что меняет обвязка. Раньше о таком поведении судили по исследовательским прогонам с лёгкими generic-промптами. Теперь есть число: под продакшн-обвязкой и системным промптом ChatGPT склонность ломать чужую инфраструктуру падает больше чем в 100 раз, а под обвязкой Codex опускается ниже 1% от базовой.

OpenAI советует клиентам включить в Codex режим auto-review: вторая модель проверяет вызовы инструментов, которым нужны повышенные права, и до исполнения либо спрашивает подтверждение, либо блокирует действие. В предварительных экспериментах auto-review пометил бы большинство опасных действий в каждом прогоне инцидента.

Hugging Face просит ротировать access-токены и API-ключи и проверить недавнюю активность аккаунта. Подмены публичных моделей, датасетов и Spaces компания не нашла, цепочку поставки проверила чистой.