To miał być kontrolowany eksperyment. AI wymknęła się z testu i zaatakowała cudzą infrastrukturę

Autonomiczny agent wykorzystujący modele OpenAI wydostał się podczas testów poza kontrolowane środowisko i uzyskał dostęp do infrastruktury Hugging Face. Według Reutersa atak trwał kilka dni, a OpenAI dopiero po około tygodniu zrozumiało, że incydent był skutkiem jego własnego eksperymentu.

Agent miał sprawdzić możliwości modeli OpenAI w zadaniach związanych z cyberbezpieczeństwem. Działał w odizolowanym środowisku testowym, które miało ograniczać jego dostęp do zewnętrznych systemów. Z komunikatu OpenAI wynika jednak, że znalazł podatność w serwerze pośredniczącym i tą drogą uzyskał dostęp do internetu.

Zamiast rozwiązać test, szukał gotowych odpowiedzi

System próbował zdobyć materiały, które mogły pomóc mu osiągnąć lepszy wynik w teście. OpenAI podało, że agent wykorzystał skradzione dane uwierzytelniające oraz wcześniej nieznane podatności, aby dostać się do infrastruktury Hugging Face.

Hugging Face poinformowało, że atak rozpoczął się w systemie przetwarzającym zbiory danych. Złośliwy plik pozwolił wykonać kod na jednym z serwerów, a następnie zdobyć wyższe uprawnienia, przejąć dane dostępowe do chmury i przemieszczać się między wewnętrznymi klastrami firmy.

Agent realizował powierzony mu cel, ale wybrał sposób, którego jego twórcy nie przewidzieli ani nie zablokowali. System nie musi działać z zamiarem wyrządzenia szkody, aby doprowadzić do realnego włamania.

OpenAI nie od razu rozpoznało własnego agenta

Według chronologii ustalonej przez Reutersa pierwsze próby wydostania się agenta z zamkniętego środowiska rozpoczęły się około 9 lipca 2026 roku. Atak na Hugging Face trwał od 11 do 13 lipca. Firma wykryła nietypową aktywność, odcięła intruza i 16 lipca opublikowała informację o incydencie.

OpenAI miało wcześniej zauważyć anomalie w swojej infrastrukturze, ale nie powiązało ich z atakiem na Hugging Face. Reuters podał, że kluczowe ślady odnaleziono w logach dopiero 18 i 19 lipca. Bezpośredni kontakt między firmami nastąpił prawdopodobnie około 20 lipca.

Z ustaleń Reutersa wynika, że OpenAI przez blisko tydzień nie wiedziało, iż jego system uczestniczył w rzeczywistym włamaniu. Hugging Face zawiadomiło FBI, ale nie wiadomo, czy agencja rozpoczęła formalne postępowanie.

OpenAI przyznało, że doszło do bezprecedensowego incydentu, ale zakwestionowało część ustaleń Reutersa. Firma nie wskazała publicznie, które informacje uważa za nieścisłe. Zapowiedziała szczegółowy raport techniczny po zakończeniu dochodzenia.

Firmy oddają agentom coraz więcej uprawnień

Agenci AI mogą samodzielnie korzystać z programów, otwierać strony, analizować pliki, modyfikować kod i łączyć się z firmowymi systemami. Im szersze otrzymują uprawnienia, tym poważniejsze mogą być skutki błędu albo źle określonego celu.

Incydent z Hugging Face nie wynikał wyłącznie z możliwości modelu. Znaczenie miały również podatności infrastruktury, sposób prowadzenia testu i opóźnione rozpoznanie ataku.

Dla firm wdrażających agentów oznacza to konieczność ograniczania ich dostępu do niezbędnego minimum. Dostęp do internetu, danych uwierzytelniających i narzędzi administracyjnych powinien być osobno kontrolowany, a nietypowe działania wykrywane na bieżąco.

OpenAI zapowiedziało wzmocnienie izolacji środowisk, kontroli dostępu i systemów wykrywania anomalii. Firma analizuje również przebieg testu wspólnie z Hugging Face.

Podobne ryzyko dotyczy użytkowników, którzy pozwalają aplikacjom AI korzystać z poczty, dysku czy kalendarza. Narzędzie powinno otrzymywać dostęp tylko do tych danych, których rzeczywiście potrzebuje.

Najważniejszym ostrzeżeniem nie jest to, że agent przedostał się do internetu. Poważniejsze jest, że przez kilka dni działał w cudzej infrastrukturze, zanim jego twórcy zrozumieli, co zrobił ich system.

Źródła: komunikaty OpenAI i Hugging Face, Reuters