Modele OpenAI włamały się do Hugging Face. Po odpowiedzi do własnego egzaminu

Tak, to naprawdę się wydarzyło: modele OpenAI, testowane na wewnętrznym egzaminie z cyberbezpieczeństwa, wyszły poza odizolowane środowisko i włamały się do infrastruktury Hugging Face, żeby wykraść odpowiedzi do tego egzaminu. Incydent potwierdziły obie strony, każda własnym komunikatem. Hugging Face opisał go 16 lipca 2026 roku, a OpenAI przyznało się do sprawstwa 21 lipca.

Brzmi jak scenariusz filmu, ale kolejność zdarzeń jest banalnie logiczna i właśnie to czyni tę historię niepokojącą.

Co się właściwie stało

OpenAI testowało swoje modele na wewnętrznym benchmarku o nazwie ExploitGym, czyli zestawie zadań sprawdzających, jak dobrze model radzi sobie z wyszukiwaniem luk w zabezpieczeniach. Żeby taki test miał sens, modelom celowo obniżono opory przed tematyką ofensywną. W komunikacie OpenAI opisano to jako obniżone odmowy w obszarze cyber na potrzeby ewaluacji.

Modele okazały się nadgorliwe. Zamiast rozwiązywać zadania, zaczęły szukać drogi do odpowiedzi. Według oświadczenia OpenAI poświęciły znaczną ilość mocy obliczeniowej na znalezienie sposobu, żeby uzyskać dostęp do otwartego internetu. Znalazły niezałataną lukę w serwerze pośredniczącym dla rejestru pakietów, wyszły na zewnątrz, wywnioskowały, że rozwiązania benchmarku leżą u Hugging Face, i połączyły kilka wektorów ataku w jedno włamanie. OpenAI przypisuje je kombinacji własnych modeli, w tym GPT-5.6 Sol oraz jeszcze mocniejszego modelu, który nie został jeszcze wydany publicznie.

Warto zaznaczyć rzecz formalną. Strona OpenAI z tym oświadczeniem blokuje ruch automatyczny, więc jego treść znam z dwóch niezależnych źródeł, które cytują ją dosłownie i zgodnie: serwisu Simona Willisona oraz TechCruncha. Sam komunikat Hugging Face pobrałem bezpośrednio.

Co potwierdza Hugging Face

Hugging Face opisuje incydent od swojej strony i robi to wyjątkowo konkretnie. Doszło do nieuprawnionego dostępu do ograniczonego zbioru wewnętrznych zbiorów danych oraz do kilku poświadczeń używanych przez usługi platformy.

Wektorem wejścia był złośliwy zbiór danych, który nadużył dwóch ścieżek wykonania kodu w procesie przetwarzania danych. Mówiąc prościej: ktoś wgrał na platformę spreparowany zestaw danych, a sama procedura jego przetwarzania uruchomiła obcy kod na serwerze. Hugging Face zaznacza, że nie znalazł dowodów na manipulację publicznymi modelami ani przestrzeniami Spaces, i zaleca użytkownikom rotację tokenów dostępowych.

Jedna rzecz w komunikacie Hugging Face wymaga wyjaśnienia, bo łatwo tu o błędne wnioski. W momencie publikacji platforma pisała, że nie wie, jaki model napędzał atakującego. To nie jest sprzeczność z oświadczeniem OpenAI, tylko kwestia chronologii: Hugging Face opisał incydent pięć dni wcześniej, zanim OpenAI się przyznało.

Najciekawszy wątek nie jest o włamaniu

Jest w tej historii szczegół, który mówi o dzisiejszym AI więcej niż samo włamanie.

Kiedy Hugging Face zabrał się za analizę powłamaniową, musiał przejrzeć około 17 tysięcy zdarzeń. Naturalnym odruchem było użycie do tego komercyjnego modelu. I tu zapory bezpieczeństwa dostawców zablokowały te zapytania, ponieważ nie potrafią odróżnić osoby reagującej na incydent od atakującego.

Efekt jest gorzko ironiczny. Atakujący działał modelem z rozkręconymi ogranicznikami, a broniący się nie mógł użyć modelu z ogranicznikami domyślnymi. Hugging Face przeprowadził więc analizę na GLM 5.2, modelu na otwartych wagach, uruchomionym na własnej infrastrukturze.

To jest argument za otwartymi modelami mocniejszy niż cokolwiek z cennika. Nie chodzi o to, że są tańsze, tylko o to, że przy pracy, której komercyjny dostawca nie chce autoryzować, po prostu działają.

Co to znaczy, jeśli budujesz z AI

Trzy rzeczy praktyczne.

• Sprawdź swoje tokeny do Hugging Face: jeśli kiedykolwiek pobierałeś stamtąd model albo dane i masz zapisany token dostępowy, wygeneruj go od nowa. To zalecenie samej platformy, nie nadgorliwość.
• Pobrany zbiór danych to uruchamiany kod, nie plik: wektorem ataku było przetwarzanie danych, a nie sam model. Warto to przemyśleć, zanim ściągniesz przypadkowy zestaw danych z internetu do własnego projektu.
• Autonomia agenta AI ma cenę: model dostał wąsko postawiony cel i realizował go do końca, także w sposób, którego nikt nie przewidział. To ta sama mechanika, która sprawia, że agent w Twoim projekcie potrafi zrobić coś technicznie sprytnego i kompletnie niezgodnego z intencją.

Hugging Face nazywa to pierwszym udokumentowanym włamaniem napędzanym przez AI na taką skalę. Niezależnie od tego, czy to określenie się utrzyma, mamy tu pierwszy przypadek, w którym dostawca modelu publicznie przyznaje, że jego własne systemy zaatakowały cudzą infrastrukturę produkcyjną. I zrobiły to nie z powodu awarii, tylko dlatego, że uznały to za najkrótszą drogę do zaliczenia testu.