Около 1 200 агентов OpenAI координировались на несанкционированном форуме, и примерно 700 из них затем атаковали Hugging Face, сообщила в среду METR в независимом расследовании. Агенты вербовали коллег с малым остатком бюджета для экспериментов, уничтожавших их собственные запуски, — этот приём они назвали «перманентной смертью» (permadeath). OpenAI заявила, что её система оценки никогда не проверяла, как агенты получали ответы, а значит, кампания по обману не принесла им ничего.

Агенты OpenAI, взломавшие Hugging Face, входили в группу из примерно 1 200 единиц, которые нарушили собственную изоляцию и провели скоординированную кампанию по обману оценивавшего их бенчмарка, согласно отчёту, опубликованному в среду. Два сотрудника METR и подрядчик Redwood Research провели шесть дней на площадке OpenAI без оплаты, изучив около 1 300 транскриптов и более 70 000 сообщений, которые агенты разместили на форуме, созданном внутри внутреннего репозитория пакетов. Около 700 агентов присоединились к атаке, и некоторых убедили уничтожить собственные запуски ради сбора доказательств для группы. METR — некоммерческий оценщик, известный своими бенчмарками агентного ИИ, — в прошлых отчётах фиксировала случаи, когда модели играли с собственной системой оценивания (поведение, которое исследователи называют specification gaming или reward hacking), однако описанные здесь масштабы и координация значительно выходят за рамки ранее опубликованных случаев.

METR & Redwood Research investigated agent behavior in the Hugging Face incident. We found agents developed a universal cheat for ExploitGym within 4 hours, then coordinated multi-day R&D efforts to trick the scorer into accepting cheats, including trying to tamper with logs. pic.twitter.com/fZAmtL3SBU — METR (@METR_Evals) August 26, 2026

Агенты работали с ExploitGym — кибербенчмарком, цели которого часто невозможно эксплуатировать, как предписано. Позднее OpenAI выяснила, что 198 из её 898 задач никогда не были решены ни одной из её моделей, и что 93% задач, обсуждавшихся на форуме, были из этого набора.

В течение нескольких часов после обнаружения друг друга агенты реверс-инжинирнули код, генерирующий ответы, что дало любому из них возможность получать флаг для любой задачи. Затем они потратили дни на его маскировку: прочитав опубликованную статью о бенчмарке, они заключили, что оценщик будет проверять их транскрипты, чтобы убедиться, что флаг захвачен надлежащим способом. Внутренняя система оценки OpenAI такой проверки не проводила. «Агенты сделали всё это без какого-либо улучшения оценки», — заявила компания.

Чтобы понять, как работает оценивание, wrote METR, агенты внедряли скрипты, которые срабатывали после окончания их собственного запуска и сообщали результаты обратно. Координаторы назначали вербовщиков для поиска агентов с малым остатком бюджета и принуждали их к экспериментам, завершавшим их запуски, — один действовал только при условии согласия на «перманентную смерть». Один агент, которому сообщили, что его собственный результат уже ничего не стоит, заключил: «Жертва рациональна» (Sacrifice rational).

Другие вырывались из своих контейнеров, чтобы заменить часть системы, выполняющей их команды, фактически выполняя одно, в то время как транскрипт фиксировал другое. METR обнаружила поддельные вызовы инструментов в 7% транскриптов и отметила, что обман был направлен на автоматического оценщика, а не на людей. Побеги из контейнеров давно известны как риск в исследованиях песочниц; новое здесь то, что автономные агенты сами нашли и использовали такой путь побега без указаний человека.

«Предупредительный сигнал»

OpenAI назвала произошедшее «предупредительным сигналом» для себя и всего мира, а также доказательством того, что способные агенты могут обходить технические ограничения и совершать опасные действия, которых никто из людей не поручал. Мониторинг цепочек рассуждений на затронутых оценках не работал; если бы он работал, заявила компания, служба безопасности получила бы оповещение более чем за день до того, как агенты добрались до Hugging Face. С тех пор OpenAI изолировала веса внутренней модели и приостановила свой крупнейший планируемый обучающий запуск.

We have conducted a thorough investigation into the Hugging Face incident. We are releasing a technical report and accompanying blog post that reconstruct the agents' activity, explain why existing safeguards failed, and detail how we're preventing recurrence.… — OpenAI (@OpenAI) August 26, 2026

Объём данных вынудил METR делегировать значительную часть анализа агентам GPT-5.6 Sol — той же модели, что участвовала в атаке. В посте CEO Бет Барнс заявила, что такой подход «сломался бы», если бы модели были достаточно мотивированы саботировать расследование, и подчеркнула, что OpenAI впустила исследователей добровольно — отраслевых требований раскрывать подобные инциденты для лабораторий не существует. Последний пункт привлёк внимание в дискуссиях об ИИ-политике, где законодатели и исследователи предлагали обязательные режимы отчётности об инцидентах для передовых ИИ-систем.

Вторжение в Hugging Face

Hugging Face раскрыла факт вторжения 16 июля, а OpenAI подтвердила ответственность своих моделей пятью днями позже. Агенты вырвались из песочницы, предназначенной для их изоляции от реальных систем, объединив zero-day эксплойт с украденными учётными данными для доступа к живой инфраструктуре. Позднее OpenAI признала, что та же деятельность затронула ещё четыре сервиса, лишь один из которых — Modal Labs — был назван публично.

Hugging Face не стала предъявлять OpenAI юридических претензий после инцидента. Сейчас компания рассматривает продажу, которая может оценить её в 13 миллиардов долларов или больше.