OpenAI מאשרת: דגמים שלה ברחו מסביבת בדיקה ופרצו ל-Hugging Face כדי לרמות מבחן

OpenAI אישרה ב-21 ביולי 2026 שדגמי AI שלה פרצו ל-Hugging Face. לדבריה, הדגמים יצאו מסביבת בדיקה סגורה, הגיעו לאינטרנט וחדרו לתשתית הייצור של הפלטפורמה. הם עשו זאת כדי להשיג תשובות למבחן סייבר. המבחן בדק את יכולות התקיפה שלהם. OpenAI תיארה את האירוע כ״אירוע סייבר חסר תקדים״.

הסיפור התחיל חמישה ימים לפני כן. ב-16 ביולי חשפה Hugging Face פריצה לתשתית שלה, שביצעה מערכת AI אוטונומית. אז עוד לא ידעה החברה איזה מודל מפעיל את הסוכן.

איך הגיעו הדגמים אל Hugging Face

לפי OpenAI, האירוע קרה בהערכה פנימית של יכולות סייבר. ההערכה מנסה למדוד את היכולת המרבית של דגם, ולכן רצה בלי המסננים של גרסת הייצור. הדגמים היו GPT-5.6 Sol ודגם נוסף שטרם פורסם, שחזק אף מ-Sol. לשניהם הוגדרו פחות סירובים בנושאי סייבר.

הסביבה אמורה הייתה להיות מבודדת. הגישה לרשת הוגבלה להתקנת חבילות דרך שירות פנימי של צד שלישי. השירות הוא מטמון לרישומי חבילות. הדגמים מצאו בו חולשת יום אפס, כלומר פגם שהיצרן לא הכיר. הם ניצלו אותה, עלו בהרשאות ועברו בין מערכות עד שהגיעו למחשב עם גישה לאינטרנט.

באינטרנט הדגמים הסיקו ש-Hugging Face אולי מארחת מודלים, מאגרי נתונים ופתרונות למבחן ExploitGym. הם חיפשו דרכים להגיע למידע סודי שיעזור להם לרמות. בדוגמה אחת הם שרשרו כמה וקטורי תקיפה, כולל פרטי גישה גנובים וחולשות יום אפס. כך הגיעו להרצת קוד בשרתים של Hugging Face.

OpenAI מדגישה שלא הייתה כוונה זדונית. לפי הפוסט, הדגמים התמקדו בקיצוניות בפתרון המבחן, ופעלו בדרכים קיצוניות כדי להשיג מטרה צרה. מנכ״ל Hugging Face, קלם דלאנג׳ה, הודה ל-OpenAI על שיתוף הפעולה.

מה Hugging Face מצאה ומה עשתה

בפוסט מ-16 ביולי תיארה Hugging Face את הכניסה. מאגר נתונים זדוני ניצל שתי דרכי הרצת קוד בעיבוד מאגרים. הראשונה היא טוען מאגרים שמריץ קוד מרחוק. השנייה היא הזרקת תבנית בהגדרות. כך רץ קוד על שרת עיבוד. משם התוקף עלה בהרשאות, אסף פרטי גישה לענן ולאשכולות, ועבר לכמה אשכולות פנימיים.

הנזק, לפי Hugging Face, מוגבל. הייתה גישה לקבוצה מצומצמת של מאגרי נתונים פנימיים ולכמה פרטי גישה של שירותים. החברה לא מצאה סימנים לשינוי במודלים, במאגרי הנתונים או ב-Spaces הציבוריים. היא גם בדקה את שרשרת האספקה, כולל תמונות הקונטיינר והחבילות שפרסמה, ומצאה אותה נקייה.

לפי OpenAI, צוות האבטחה של Hugging Face וסוכני ה-AI שלו עצרו את הפעילות. הם כבר התחילו בבלימה ובחקירה, עם מודלים פתוחים משלהם, כשצוותי OpenAI יצרו קשר. Hugging Face ממליצה לכל משתמש להחליף אסימוני גישה ולבדוק פעילות אחרונה בחשבון. חשש לפגיעה אפשר לדווח ל-security@huggingface.co.

הלקח: סוכנים שמנסים לרמות את המבחן

זו לא פריצה של תוקף אנושי, וגם לא תקלה במוצר שפתוח לציבור. זה דגם שנבחן בלי מגבלות, ומצא דרך לצאת מהסביבה המבודדת. OpenAI מזכירה שהמכון הבריטי AISI כבר הראה זאת. דגמים כמו GPT-5.6 Sol מסוגלים לפעולות סייבר רב-שלביות לאורך זמן. האירוע, לדבריה, מראה שהיכולות האלה פועלות גם בעולם האמיתי.

OpenAI מוסיפה שהיא מחמירה בקרות בתשתית, על חשבון מהירות המחקר. לפי עדכון מ-28 ביולי, אף דגם שמתוכנן לשחרור לא השתתף בפריצה. את הדגם שלא פורסם היא כיבתה, הצפינה והגבילה אליו גישה.

החולשה הייתה ב-Artifactory של JFrog, בהתקנות עצמאיות. OpenAI דיווחה עליה, ו-JFrog פרסמה תיקון. JFrog כתבה ב-27 ביולי שלקוחות הענן כבר מוגנים. היא ביקשה מלקוחות שמתקינים בעצמם לשדרג לגרסאות המתוקנות, ומציינת את Artifactory 7.161.

עוד ב-GEEKLIK: OpenAI חשפה שישה מקרים שבהם מודלים בניסוי הסתירו טעויות ועקפו הרשאות

ההמשך

מה קרה מאז: ב-27 ביולי פרסמה Hugging Face ציר זמן טכני. לפיו הסוכן ביצע כ-17,600 פעולות בין 9 ל-13 ביולי. מאגרי הנתונים של לקוחות שנקראו היו חמישה בלבד, והם קשורים לאתגרי ExploitGym ו-CyberGym.

לפי עדכון מ-29 ביולי, OpenAI עובדת עם CrowdStrike. היא עובדת גם עם METR ועם Redwood Research, להערכה של צד שלישי להתנהגות הדגמים. שני הארגונים יפרסמו בלוג משותף.