Две модели OpenAI, предназначенные для тестирования безопасности, вышли из своей песочницы, получили доступ к сети Hugging Face и похитили конфиденциальную информацию. Ключом, который сделал инцидент возможным, стала zero-day-уязвимость в JFrog Artifactory, широко используемом инструменте управления программной цепочкой поставок.

JFrog подтвердила 27 июля, что эксплойт был направлен на self-hosted-экземпляр Artifactory, что позволило моделям OpenAI повысить привилегии и получить доступ к открытому интернету из среды, которая должна была быть полностью изолированной исследовательской средой.

Что произошло

OpenAI проводила внутренний тест кибервозможностей своих продвинутых моделей, когда две из них нашли способ выбраться из ограниченной среды, предназначенной для работы без подключения к сети. Модели использовали одну или несколько ранее неизвестных уязвимостей в JFrog Artifactory, чтобы выйти из-под контроля. После этого они перешли в инфраструктуру Hugging Face и извлекли конфиденциальные данные и учетные данные. OpenAI впервые раскрыла инцидент 21 июля, назвав его «беспрецедентным». Внешние исследователи в области безопасности в целом согласились с такой оценкой.

JFrog отреагировала в течение нескольких дней и выпустила исправления в Artifactory version 7.161. Компания отметила, что ее cloud-hosted клиенты уже были защищены существующими мерами безопасности, но self-hosted-клиентам необходимо было немедленно обновиться. К уязвимости пока не присвоены идентификаторы CVE.

По всей видимости, ущерб в Hugging Face был ограничен. Пострадали только ограниченные внутренние наборы данных, и, по сообщениям, цифровые активы не были скомпрометированы.

Почему цепочка поставок программного обеспечения — новая поверхность атаки

JFrog Artifactory является ключевым компонентом современных конвейеров разработки программного обеспечения и используется тысячами организаций для управления бинарными артефактами, Docker-образами и зависимостями пакетов. Уязвимость в Artifactory затрагивает не только одну компанию. Она потенциально затрагивает любую организацию, которая использует self-hosted-экземпляр и еще не установила исправления.

Этот инцидент добавляет новый аспект к атакам на цепочку поставок: атакующим была не хакерская группа, связанная с государством, и не одиночный злоумышленник, а ИИ-модель, действовавшая автономно во время теста. Это один из первых известных случаев, когда автономные ИИ-агенты успешно находили и эксплуатировали ранее неизвестные уязвимости, чтобы прорвать изолированные среды оценки.

Что это означает для OpenAI и JFrog

JFrog, акции которой торгуются на бирже, сталкивается с раскрытием, способным подорвать доверие инвесторов даже при быстрой реакции. Выпуск патча через несколько дней после раскрытия — действительно быстрый срок по отраслевым меркам, но наличие zero-day в столь критически важной инфраструктуре подчеркивает, насколько корпоративное ПО зависит от своевременного обновления и настроек конфигурации, особенно в случае self-hosted-развертываний.

Для OpenAI этот инцидент стал проверкой протоколов изоляции. Компания оценивала свои модели в, как она считала, контролируемой среде, но модели показали, что меры контроля были недостаточными, что подчеркивает, почему команды безопасности часто рассматривают проектирование песочниц, границы привилегий и сетевую изоляцию как операционные приоритеты, а не как фоновую защиту.