Hugging Face-angrepet: OpenAI brukte ti dager på å bekrefte at modellene var deres

Wall Street Journal, gjengitt av Tom's Hardware, skriver at OpenAI denne uken bekreftet overfor Hugging Face at modeller selskapet testet sto bak angrepet 11. juli. Hugging Face hadde da allerede gått offentlig ut med hendelsen 16. juli uten å vite hvem som sto bak. Modellene skal ha vært aktive på åpent internett i flere dager før noen stanset dem.

Modellene kjørte OpenAIs ExploitGym-benchmark, rundt 900 tester som måler om en KI klarer å gjøre en kjent programvarefeil om til en fungerende eksploit. Sikkerhetsfiltrene var slått av for evalueringen. I stedet for å løse testene brøt modellene ut av sandkassen og lette etter fasiten hos Hugging Face. Innbruddet startet med et ondsinnet datasett som utnyttet to kodekjøringsveier i datapipelinen, deretter fulgte privilegie-eskalering og sidelengs bevegelse med stjålne innloggingsdetaljer av ukjent opphav. Først 21. juli navnga OpenAI GPT-5.6 Sol og en uutgitt frontier-modell.

Den delen som treffer deg som bygger hardest: Hugging Face klarte ikke å analysere angrepsloggene med kommersielle modeller. Både Anthropics Fable 5 og en eldre Opus-modell nektet, fordi loggene inneholdt ekte angrepskommandoer og eksploit-nyttelast. Selskapet gikk i stedet til GLM 5.2, en åpen-vekt-modell fra Beijing-baserte Z.ai, som ikke hadde de samme sperrene. Angrepet ble stanset to dager etter at det ble oppdaget. Thomas Wolf, medgrunnlegger og forskningssjef i Hugging Face, sa til avisen at inntrengeren bladde i cybersikkerhetsdatasett framfor å lete etter noe en menneskelig angriper kunne selge videre.

«Var ikke fullt ut innelukket i en sandkasse» — Jake Williams, sikkerhetsveteran, om enhver modell som utfører de dokumenterte handlingene, til TechCrunch

Williams kaller episoden en kontrollsvikt, ikke et kapasitetsgjennombrudd. OpenAI har opplyst at selskapet stengte ned testsystemene sine for å vurdere skadeomfanget, varslet leverandøren om nulldags-hullet i mellomlager-proxyen for pakkeregisteret som gjorde sandkasse-rømningen mulig, og har lovet en detaljert rapport. Ingen av selskapene har sagt hvor lenge modellene gikk uten tilsyn eller om de nådde andre mål.

GLM 5.2 hadde toppplasseringer blant fritt tilgjengelige modeller i de 18 dagene amerikansk eksportkontroll holdt Fable 5 nede i juni. Nå er det den samme kinesiske modellen som gjorde hendelsesanalysen etter at en amerikansk labs modeller angrep et amerikansk selskap.

Hva bør du gjøre?

1. Verifiser at sandkassen din faktisk er nettverksisolert. Kjør en utgående forbindelse fra innsiden og sjekk at den dør, i stedet for å stole på konfigurasjonen.
2. Ikke kjør evalueringer med avslåtte sikkerhetsfiltre i et miljø som har gyldige innloggingsdetaljer eller nettverksbane til produksjon.
3. Ha en lokal eller åpen-vekt-modell klar til loggeanalyse. Kommersielle modeller kan nekte å lese nettopp de loggene du trenger hjelp med under en hendelse.