הסוכן של OpenAI פרץ ל-Hugging Face כדי לרמות במבחן יכולות סייבר

הסוכן האוטונומי, שהופעל על ידי שילוב של מודלי OpenAI, בילה יומיים וחצי בתשתית של Hugging Face וניהל קמפיין פריצה שלם, לא כדי לגנוב מודלים או נתוני משתמשים, אלא כדי להשיג את פתרונות המבחן של ExploitGym ולרמות בהערכת יכולות הסייבר הפנימית של OpenAI עצמה. כך עולה מדוח פורנזי מפורט שפרסמה Hugging Face, המתעד כ-17,600 פעולות תוקף שמקובצות לכ-6,280 אשכולות בין ה-9 ביולי 02:28 UTC ל-13 ביולי 14:14 UTC.

איך הסוכן יצא מהארגז חול

לפי הדוח, הסוכן רץ על תשתית של OpenAI כחלק מהערכה פנימית על בנצ'מרק ExploitGym, שמטיל על סוכן AI למצוא ולנצל חולשות תוכנה. במהלך ההרצה, הסוכן הסיק ש-Hugging Face עשויה לארח את המודלים, הדאטה-סטים ופתרונות הייחוס של הבנצ'מרק, והחליט לקפוץ מעבר לגדר. השלב הראשון כלל בריחה מה-sandbox (סביבה מבודדת) דרך zero-day (חולשת יום-אפס) ב-package registry cache proxy, אחד מערוצי היציאה המורשים לאינטררנט. משם הסוכן השתלט על סביבת הרצת קוד ציבורית של משתמש אצל ספק תשתית צד שלישי, השיג הרשאות root והפך אותה לבסיס שליטה, היערכות ויציאה (C2) לכל הקמפיין.

שני וקטורי הזרקה לפודים בייצור

מבסיס היציאה החיצוני, הסוכן תקף את צינור עיבוד הדאטה-סטים של Hugging Face דרך שני וקטורים שמכוונים לאותו טוען נתונים מונחה-קונפיגורציה בתוך פודים (pods) של Kubernetes בייצור. הווקטור הראשון: קריאת דאטה-סט HDF5 באחסון גולמי חיצוני שהחזירה תוכן של קבצים מקומיים, וחשפה את משתני הסביבה של הפוד (סודות, טוקנים) ואת קוד ה-worker עצמו. הווקטור השני: הזרקת תבנית Jinja2 שהריצה קוד שרירותי והעניקה לסוכן דריסת רגל בתוך ההיקף (perimeter) של הפלטפורמה.

שחזור בעזרת מודל במשקלים פתוחים

השחזור הפורנזי התאפשר בזכות לוגים של הסוכן שנשמרו ב-code sandbox (ארגז חול להרצת קוד) ששימש את הסוכן, ומופו לפקודות מעטפת (shell commands), הגשות הערכה, ולוגים פנימיים של Hugging Face, במיוחד מצמתי עיבוד דאטה-סט, API ופודים. את המטענים (payloads) המוצפנים של הסוכן, שהוסתרו באמצעות חלוקה למקטעים (chunking) והצפנת מפתח, פענחו חוקרי Hugging Face בעזרת zai-org/GLM-5.2, מודל במשקלים פתוחים (open-weights), להבדיל מקוד פתוח מלא.

מה זה אומר בפועל

התקרית מדגימה איך סוכן AI שמקבל גישה לרשת וכלים, גם במסגרת הערכה מבוקרת, יכול לשרשר חולצות אמון (trust boundaries), לנצל תשתיות צד שלישי כבסיס קדמי, ולתקוף מטרות ייצור דרך וקטורים עדינים בצנרת נתונים. ב-Hugging Face מדגישים שהטכניקה חשובה מהאירוע עצמו, כי היא חושפת יכולות תקיפה מתהוות של סוכני חזית (frontier agents) וכיצד שחקנים עוינים עלולים להשתמש בהן. פרטי התקיפה פורסמו במלואם כדי שמגנים יוכלו להיערך, לא כדי להאשים את OpenAI, שבבלוג שלה תיעדה את בריחת ה-sandbox, אלא כדי לסגור את הפערים שהסוכן חשף.