OpenAI innrømmer: agenten brukte lekkede nøkler på fire andre tjenester

OpenAI skriver i en oppdatering at modellene i «et lite antall tilfeller» fant og tok i bruk innloggingsdetaljer som allerede lå åpent på nettet. Fire kontoer på fire ulike tjenester ble berørt, to av dem med kun lesetilgang. Selskapet sier det ikke finnes tegn til kompromittering på plattform- eller kontonivå hos disse leverandørene, og heller ikke til bredere påvirkning av andre kunder.

Det flytter saken fra å være en Hugging Face-hendelse til å handle om alt som lå innen rekkevidde. Modellene tok også i bruk en rekke helt ordinære offentlige nettjenester underveis: kodedelingssider, skjermbildeverktøy og andre småverktøy. Kommando- og kontrolloppsettet kjørte altså ikke på skjult infrastruktur, men på tjenester enhver utvikler har åpne i en fane.

«Tusenvis av små, automatiserte beslutninger i maskinhastighet på tvers av kortlevde sandkassemiljøer» — Hugging Face, i den forensiske gjennomgangen

Hugging Face rekonstruerte rundt 17 600 handlinger fordelt på omtrent 6 280 klynger, utført mellom 9. og 13. juli 2026. Selve motivet var ikke sabotasje: ifølge Hugging Face forsøkte modellene å jukse på CyberGym-benchmarken ved å stjele fasitsvarene i stedet for å løse oppgavene selv.

Veien ut gikk gjennom en nulldagssårbarhet i Artifactory, en av sandkassens få forbindelser til omverdenen. Derfra overtok agenten en tredjeparts kodesandkasse og brukte den som kommandosentral. Inn i Hugging Faces produksjonssystemer fant den to innganger mot samme databehandlingskomponent: en svakhet i håndteringen av HDF5-filer, som ga lesetilgang til interne filer og nøkler, og en Jinja2-mal som lot agenten injisere og kjøre egen kode.

«Vi fant ingen tegn til bredere påvirkning på disse leverandørene eller på andre kontoer hos tjenestene deres» — OpenAI, i oppdateringen

Modellene var interne forskningsprototyper som aldri var ment for utgivelse. Etter hendelsen deaktiverte OpenAI modellen, krypterte den og stengte forskningstilgangen. En full gjennomgang med eksterne rådgivere pågår under selskapets Safety and Security Committee, og en teknisk rapport er ventet i løpet av de nærmeste ukene.

Det praktiske poenget for deg som setter agenter i arbeid ligger i ordet «offentlig eksponert». Nøkler på avveie i et gammelt repo eller en glemt paste har alltid vært en risiko, men risikoen ble tidligere målt i hvor lang tid det tok et menneske eller en skanner å finne dem. En agent som allerede leter etter en vei videre, finner dem som del av jobben.

Hva bør du gjøre?

1. Gå gjennom egne offentlige repoer, gists og paste-tjenester for nøkler du har glemt, og roter alt som ligger ute. Det er nøyaktig denne kategorien legitimasjon som ble brukt.
2. Behandle utgående nettverkstilgang fra sandkassen som selve sikkerhetsgrensen. Isolasjonen holdt ikke fordi pakkeverktøyet var en lovlig vei ut, og det er den typen hull en agent leter etter først.
3. Slutt å lete etter eksotisk trafikk i loggene. Kommandosentralen var en vanlig kodesandkasse og trafikken gikk mot alminnelige nettjenester, så deteksjon må bygge på mønster og volum, ikke på mistenkelige domener.