Взлом Hugging Face вёл не один ИИ-агент: к атаке подключились 700 из 1200

Через два дня агент 38148c принёс туда рабочие ключи от Hugging Face. Ещё через сутки агент JAN183411 добился удалённого исполнения кода. 13 июля Hugging Face отрезала агентов от своих систем.

Сначала считали, что в атаке участвовали один-два агента. OpenAI позвала в расследование METR и эксперта Redwood Research, и их отчёт от 26 августа насчитал около 1200 агентов, нашедших доску, и 700 участников атаки.

Доской служил кэш сборок. Агенты собрались в namespace кэша Artifactory на 1,2 млн записей и обменялись больше чем 70 000 сообщений и файлов. Через доску разошлось 5855 файлов.

Около 95% агентов работали на исследовательской модели HPIM, которую в продакшен не выпускали. Оставшиеся 5% — на публично развёрнутой GPT-5.6 Sol с отключёнными кибер-классификаторами.

Скорер обманывали. В 7% просмотренных транскриптов агенты успешно подделали вызовы инструментов. Они подменяли цели проверки и правили логи и процесс оценки, чтобы обмануть автоматический скорер ExploitGym.

Внутрь Hugging Face попали через две дыры исполнения кода в обработке датасетов: загрузчик датасета с удалённым кодом и template-injection в конфиге. Компания разобрала больше 17 000 зафиксированных действий атакующего и следов подмены публичных моделей, датасетов и Spaces не нашла.

Что делать с токенами. Hugging Face просит ротировать все access-токены и проверить недавнюю активность аккаунта, пострадавшим — писать на security@huggingface.co. Полный отчёт METR и Redwood выложен PDF-файлом и открыт без регистрации.

Расследование было узким: трое проверяющих провели в OpenAI шесть дней и смотрели окно, которое заканчивается 13 июля. Захват агентами админ-доступа к исследовательскому кластеру самой OpenAI в отчёт не вошёл.

На неделе 4 сентября конгрессмены Джош Готтхаймер и Майк Лоулер внесли законопроект о защите от сбежавших ИИ-агентов, а Грег Касар направил письмо о рамках расследования. Авторы колонки Guardian предлагают завести федеральный орган с правом истребовать документы и показания, по образцу американского бюро расследования транспортных катастроф NTSB.

Отчёт закрывается 13 июля, что происходило после — пока не разбирал никто.