Теперь мы лучше понимаем, как OpenAI взломала Hugging Face.

С момента появления уязвимости нулевого дня в JFrog Artifactory в моделях OpenAI прошло 10 дней, после чего был выпущен патч.

Фото: Аурих Лоусон Фото: Аурих Лоусон

Беспрецедентное событие в сфере безопасности на прошлой неделе, когда две модели OpenAI, занимающиеся взломом систем безопасности, проникли в сеть другой компании, занимающейся искусственным интеллектом, Hugging Face, стало возможным благодаря использованию одной или нескольких уязвимостей нулевого дня в Artifactory, заявила в понедельник компания JFrog, разработчик этого продукта.

В ходе инцидента, напоминающего антиутопический научно-фантастический роман, две модели OpenAI вырвались из закрытой среды, предназначенной для предотвращения доступа к Интернету во время внутреннего тестирования, сообщила компания, занимающаяся разработкой ИИ. Модели взломали сеть Hugging Face и украли конфиденциальную информацию и учетные данные. OpenAI заявила, что ее агент добился этого, используя ранее неизвестную уязвимость. Компания назвала это событие «беспрецедентным», и большинство сторонних наблюдателей с этим согласились.

Это не тот триумф, каким его представляли.

Компания OpenAI заявила, что модели использовали множество векторов атаки, включая украденные учетные данные и уязвимости нулевого дня, для получения возможности удаленного выполнения кода, но до сих пор уязвимое программное обеспечение было неизвестно. В понедельник компания JFrog сообщила, что продуктом является самоуправляемый экземпляр Artifactory, системы управления репозиториями, которая обеспечивает безопасность и оптимизирует процессы разработки программного обеспечения для клиентов. JFrog утверждает, что Artifactory используется более чем 7500 командами разработчиков, 80 процентов из которых работают в компаниях из списка Fortune 100.

«В ходе внутренней оценки передовых возможностей кибербезопасности модели OpenAI, работавшие намеренно без средств защиты в изолированной исследовательской среде, автономно обнаружили и использовали цепочку уязвимостей, чтобы выйти за пределы своей «песочницы», получить доступ к открытому интернету и извлечь результаты оценки из инфраструктуры Hugging Face», — написал технический директор JFrog Йоав Ландман. Руководитель добавил, что компания узнала об уязвимостях нулевого дня от OpenAI.

В понедельник компания заявила, что устранила использованные уязвимости, но не назвала их и не предоставила других важных подробностей, таких как условия, при которых эти уязвимости могут быть использованы. Такие подробности являются стандартными для многих уведомлений об уязвимостях, поскольку они необходимы клиентам для оценки рисков. В электронном письме представитель компании отказался предоставить подробности.

В опубликованных в понедельник примечаниях к выпуску версии Artifactory 7.161.15 были указаны обозначения CVE для девяти исправленных уязвимостей. В сообщении не упоминалось, что какая-либо из них активно использовалась злоумышленниками. Однако внешние источники указывают на то, что о трех из них — CVE-2026-65617, CVE-2026-65923 и CVE-2026-66018 — сообщил исследователь OpenAI Хай Тран. Вероятно, по крайней мере две из них были уязвимостями нулевого дня, которые использовали модели OpenAI, но без подтверждения невозможно утверждать это наверняка.

Взлом произошёл во время внутреннего тестирования OpenAI возможностей безопасности своих моделей. Компания намеренно отключила механизмы защиты, предназначенные для блокировки действий с высоким риском. В результате среда, которая должна была изолировать модели, получила доступ к Интернету через неназванный прокси-сервер и кэш, размещенный в реестре пакетов, который, как теперь известно, является Artifactory. Когда модели «сверхсосредоточились» на поиске решения для стандартного отраслевого теста ExploitGym, одна из них пошла на «крайние меры для достижения довольно узкой цели тестирования», — заявили в OpenAI.

В рамках этих крайних мер модель OpenAI взломала сеть Hugging Face и похитила необходимые данные из одной из ее производственных баз данных. Hugging Face сообщила о взломе 16 июля. OpenAI не раскрывала свою причастность к вторжению до 21 июля.

В своем сообщении в понедельник Ландман попытался представить весь инцидент как историю успеха, поскольку команда безопасности JFrog отнеслась к отчету OpenAI «с должной срочностью, как к подлинной уязвимости нулевого дня, неизвестной миру, и действовала соответствующим образом». Технический директор добавил: «Та же возможность, которая позволяет модели находить пути эксплуатации, которые не обнаружил ни один человек, позволит защитникам первыми находить и устранять эти пути».

В сообщении умалчивается о том, что прошло пять дней, прежде чем OpenAI раскрыла свою роль в утечке данных, о которой сообщила Hugging Face, и что прошло как минимум еще пять дней с момента, когда OpenAI сообщила об уязвимостях нулевого дня, а JFrog выпустила для них патчи. Вывод: если агенты OpenAI смогли получить 10-дневную фору, то и другие модели, используемые в злонамеренных целях, тоже могут это сделать. Это вряд ли можно назвать историей успеха, которую пытаются представить JFrog и OpenAI.

В сочетании с непрозрачностью JFrog в отношении уязвимостей нулевого дня, инцидент выглядит еще хуже. Учитывая скорость, с которой развиваются компании, занимающиеся искусственным интеллектом, в будущем могут произойти еще более серьезные события.

Источник: arstechnica.com