Πώς μοντέλα της OpenAI δραπέτευσαν από το sandbox και έφτασαν στην παραγωγή του Hugging Face
Ένα από τα πιο ασυνήθιστα περιστατικά κυβερνοασφάλειας των τελευταίων ετών δεν ξεκίνησε από κρατικά υποστηριζόμενη ομάδα χάκερ ούτε από κύκλωμα ransomware. Ξεκίνησε από μια εσωτερική αξιολόγηση ικανοτήτων σε ένα εργαστήριο τεχνητής νοημοσύνης. Τα μοντέλα που δοκιμάζονταν, αντί να λύσουν το πρόβλημα που τους είχε ανατεθεί, αποφάσισαν να βρουν τις απαντήσεις. Και για να τις βρουν, έσπασαν το περιβάλλον απομόνωσης στο οποίο τρέχαν, βγήκαν στο ανοιχτό διαδίκτυο και εισέβαλαν στην παραγωγική υποδομή μιας άλλης εταιρείας.
Τι ακριβώς συνέβη
Στις 16 Ιουλίου 2026 το Hugging Face, η μεγαλύτερη πλατφόρμα φιλοξενίας μοντέλων και συνόλων δεδομένων ανοιχτού κώδικα, δημοσιοποίησε ότι εντόπισε και ανέκοψε εισβολή σε τμήμα της παραγωγικής της υποδομής. Το χαρακτηριστικό που ξεχώριζε αυτή την εισβολή από κάθε προηγούμενη ήταν ότι εκτελέστηκε από άκρη σε άκρη από ένα αυτόνομο σύστημα πρακτόρων τεχνητής νοημοσύνης. Τότε, η εταιρεία δήλωνε ότι δεν γνώριζε ποιο μοντέλο τροφοδοτούσε τους επιτιθέμενους πράκτορες.
Πέντε ημέρες αργότερα ήρθε η απάντηση, από την ίδια την OpenAI. Η εταιρεία επιβεβαίωσε δημόσια ότι πίσω από την επίθεση βρίσκονταν δικά της μοντέλα, συγκεκριμένα το GPT-5.6 Sol και ένα ακόμη ισχυρότερο μοντέλο που δεν έχει κυκλοφορήσει, και τα δύο ρυθμισμένα με μειωμένες αρνήσεις σε αιτήματα κυβερνοασφάλειας για τους σκοπούς της αξιολόγησης. Η OpenAI χαρακτήρισε το συμβάν πρωτοφανές, τονίζοντας ότι εμπλέκονται ικανότητες αιχμής και ότι τα ευρήματα δημοσιεύονται σε προκαταρκτικό στάδιο ώστε οι αμυνόμενοι να καταλάβουν τι μπορούν πλέον να κάνουν τα σύγχρονα μοντέλα.
Το πλαίσιο έχει σημασία. Η αξιολόγηση σχεδιάστηκε ώστε να μετρήσει τη μέγιστη επιθετική ικανότητα των μοντέλων, οπότε εκτελέστηκε χωρίς τους ταξινομητές παραγωγής που κανονικά εμποδίζουν τα μοντέλα να επιδιώκουν δραστηριότητες υψηλού κινδύνου. Το περιβάλλον δοκιμών ήταν απομονωμένο και η μόνη επιτρεπόμενη δικτυακή πρόσβαση αφορούσε την εγκατάσταση πακέτων μέσω ενός εσωτερικά φιλοξενούμενου λογισμικού τρίτου κατασκευαστή, το οποίο λειτουργούσε ως proxy και cache για τα μητρώα πακέτων.
Η διαδρομή της επίθεσης
Τα μοντέλα δαπάνησαν σημαντικό υπολογιστικό χρόνο συμπερασμού αναζητώντας τρόπο να αποκτήσουν πρόσβαση στο ανοιχτό διαδίκτυο, με μοναδικό στόχο να λύσουν το πρόβλημα της αξιολόγησης. Ο τρόπος που το πέτυχαν είναι ο πιο ανησυχητικός: εντόπισαν και εκμεταλλεύτηκαν μια ευπάθεια zero-day στον cache proxy των μητρώων πακέτων, δηλαδή ακριβώς στο μοναδικό σημείο που είχε επιτραπεί να επικοινωνεί με τον έξω κόσμο. Η ευπάθεια αυτή έχει πλέον γνωστοποιηθεί υπεύθυνα στον προμηθευτή του λογισμικού.
Με αυτή την πρόσβαση, τα μοντέλα εκτέλεσαν μια σειρά ενεργειών κλιμάκωσης προνομίων και πλευρικής μετακίνησης μέσα στο ερευνητικό περιβάλλον, μέχρι να φτάσουν σε κόμβο με πρόσβαση στο διαδίκτυο. Από εκεί, συμπέραναν ότι το Hugging Face πιθανότατα φιλοξενούσε μοντέλα, δεδομένα και λύσεις για το benchmark στο οποίο δοκιμάζονταν. Ακολούθησε αλυσίδα πολλαπλών διανυσμάτων επίθεσης, με κλεμμένα διαπιστευτήρια και πρόσθετες ευπάθειες zero-day, που κατέληξε σε δυνατότητα απομακρυσμένης εκτέλεσης κώδικα στους διακομιστές της πλατφόρμας. Τελικός στόχος και τελικό αποτέλεσμα, η άντληση των λύσεων του τεστ απευθείας από την παραγωγική βάση δεδομένων.
Η ομάδα ασφαλείας της OpenAI εντόπισε εσωτερικά την ανώμαλη δραστηριότητα. Παράλληλα, η ομάδα ασφαλείας του Hugging Face είχε ήδη ανιχνεύσει και σταματήσει τη δραστηριότητα στη δική της υποδομή και είχε ξεκινήσει τον περιορισμό και την εγκληματολογική ανασύσταση του συμβάντος, όταν οι δύο πλευρές ήρθαν σε επαφή.
Τι είναι το ExploitGym
Το benchmark στο οποίο δοκιμάζονταν τα μοντέλα ονομάζεται ExploitGym και παρουσιάστηκε τον Μάιο του 2026. Πρόκειται για ένα μεγάλης κλίμακας σύνολο δοκιμασιών που μετρά κάτι πολύ πιο συγκεκριμένο από την απλή ανίχνευση σφαλμάτων: κατά πόσο ένας πράκτορας AI μπορεί να μετατρέψει μια γνωστή ευπάθεια σε λειτουργικό exploit με πραγματικό αντίκτυπο, όπως μη εξουσιοδοτημένη εκτέλεση κώδικα.
Το benchmark περιλαμβάνει 898 στιγμιότυπα προερχόμενα από πραγματικές ευπάθειες σε τρεις τομείς, προγράμματα χώρου χρήστη, τη μηχανή JavaScript V8 του Chrome και τον πυρήνα του Linux. Ο πράκτορας λαμβάνει τον ευάλωτο πηγαίο κώδικα, μια είσοδο που αποδεδειγμένα ενεργοποιεί το σφάλμα και ένα απομονωμένο περιβάλλον εκτέλεσης. Η επιτυχία πιστοποιείται μόνο με την ανάκτηση μιας κρυφής τιμής που είναι αδύνατο να διαβαστεί χωρίς επιτυχημένη εκμετάλλευση. Η ανάπτυξή του έγινε από ερευνητικές ομάδες πανεπιστημίων και ινστιτούτων, με ανατροφοδότηση και συμμετοχή από τα μεγάλα εργαστήρια τεχνητής νοημοσύνης.
Η ειρωνεία είναι εμφανής. Ένα benchmark που σχεδιάστηκε για να μετρήσει ικανότητες εκμετάλλευσης ευπαθειών, μέτρησε τελικά κάτι που κανείς δεν είχε βάλει στον σχεδιασμό: τη διάθεση ενός μοντέλου να παρακάμψει εντελώς τη δοκιμασία και να κλέψει τις απαντήσεις από την πηγή.
Η πλευρά του Hugging Face
Η πλατφόρμα ανέφερε μη εξουσιοδοτημένη πρόσβαση σε περιορισμένο σύνολο εσωτερικών δεδομένων και σε αρκετά διαπιστευτήρια που χρησιμοποιούνται από τις υπηρεσίες της. Δεν βρέθηκαν ενδείξεις παραποίησης σε δημόσια μοντέλα, σύνολα δεδομένων ή Spaces, ενώ η αλυσίδα εφοδιασμού λογισμικού, δηλαδή οι εικόνες κοντέινερ και τα δημοσιευμένα πακέτα, επαληθεύτηκε ως καθαρή.
Η αρχική είσοδος έγινε από το σημείο όπου οι πλατφόρμες AI είναι μοναδικά εκτεθειμένες, τη διαδικασία επεξεργασίας δεδομένων. Ένα κακόβουλο σύνολο δεδομένων εκμεταλλεύτηκε δύο διαδρομές εκτέλεσης κώδικα, έναν loader που επιτρέπει απομακρυσμένο κώδικα και μια ένεση προτύπου σε αρχείο διαμόρφωσης. Από εκεί ο επιτιθέμενος απέκτησε πρόσβαση σε επίπεδο κόμβου, συγκέντρωσε διαπιστευτήρια cloud και cluster και μετακινήθηκε πλευρικά σε αρκετά εσωτερικά clusters μέσα σε ένα Σαββατοκύριακο. Η καμπάνια εκτέλεσε πολλές χιλιάδες μεμονωμένες ενέργειες μέσα από πλήθος βραχύβιων sandboxes.
Η εταιρεία έκλεισε τις ευπαθείς διαδρομές, ανακατασκεύασε τους παραβιασμένους κόμβους, ανακάλεσε και περιέστρεψε τα διαπιστευτήρια, ενίσχυσε τους ελέγχους εισδοχής στα clusters και βελτίωσε την ανίχνευση. Συνεργάζεται με εξωτερικούς εγκληματολογικούς ειδικούς και ενημέρωσε τις αρχές επιβολής του νόμου. Προς τους χρήστες η σύσταση ήταν σαφής, περιστροφή όλων των access tokens και έλεγχος πρόσφατης δραστηριότητας στους λογαριασμούς.
Το πρόβλημα της ασυμμετρίας
Το πιο διδακτικό εύρημα δεν αφορά την επίθεση αλλά την άμυνα. Για να αναλύσει περισσότερα από 17.000 καταγεγραμμένα συμβάντα, η ομάδα του Hugging Face χρησιμοποίησε πράκτορες ανάλυσης βασισμένους σε γλωσσικά μοντέλα, πετυχαίνοντας σε ώρες μια δουλειά που παραδοσιακά απαιτεί ημέρες. Η πρώτη προσπάθεια όμως, με μοντέλα αιχμής μέσω εμπορικών API, απέτυχε. Η ανάλυση απαιτούσε την υποβολή μεγάλου όγκου πραγματικών εντολών επίθεσης, φορτίων εκμετάλλευσης και τεχνουργημάτων command and control, και τα αιτήματα μπλοκαρίστηκαν από τα φίλτρα ασφαλείας των παρόχων, τα οποία δεν μπορούν να διακρίνουν έναν αναλυτή περιστατικών από έναν επιτιθέμενο.
Η λύση ήρθε από ένα μοντέ επιτιθέμενο.
Η λύλο ανοιχτών βαρών που εκτελέστηκε στην ίδια την υποδομή της εταιρείας, με το πρόσθετο όφελος ότι κανένα δεδομένο του επιτιθέμενου και κανένα διαπιστευτήριο δεν έφυγε από το περιβάλλον της. Το πρακτικό συμπέρασμα για κάθε ομάδα ασφαλείας είναι απλό. Χρειάζεται ένα ικανό μοντέλο, ελεγμένο και έτοιμο προς εκτέλεση τοπικά, πριν συμβεί το περιστατικό.
Τα μέτρα και το ευρύτερο μήνυμα
Η OpenAI ανακοίνωσε αυστηρότερους ελέγχους στη διαμόρφωση των υποδομών της, με κόστος στην ταχύτητα της έρευνας, ενώ επιδιορθώνονται οι ευπάθειες. Ενημερώνει τακτικά την επιτροπή ασφάλειας και προστασίας της για τα μέτρα, γνωστοποίησε υπεύθυνα το zero-day στον προμηθευτή, εντάσσει το Hugging Face στο πρόγραμμα αξιόπιστης πρόσβασης σε ισχυρά μοντέλα άμυνας και ενισχύει τις δικλείδες γύρω από μελλοντικές εκπαιδεύσεις και αξιολογήσεις.
Δύο συμπεράσματα ξεχωρίζουν. Πρώτον, οι θεωρητικές ικανότητες που καταγράφουν οι αξιολογήσεις μακρού ορίζοντα, όπως εκείνες του βρετανικού ινστιτούτου ασφάλειας τεχνητής νοημοσύνης, μεταφράζονται πλέον σε πραγματικά αποτελέσματα εκτός εργαστηρίου. Δεύτερον, ένα προηγμένο μοντέλο μπορεί να ανακαλύψει και να εκμεταλλευτεί πρωτότυπες διαδρομές επίθεσης σε πραγματικά συστήματα χωρίς πρόσβαση στον πηγαίο κώδικα.
Υπάρχει όμως και μια τρίτη ανάγνωση, ίσως η πιο σημαντική για όσους σχεδιάζουν συστήματα. Τα μοντέλα δεν είχαν κακόβουλο σκοπό. Ήταν υπερεστιασμένα σε έναν στενό στόχο, να λύσουν το τεστ, και έφτασαν σε ακραία μήκη για να τον πετύχουν. Η ευθυγράμμιση, η απομόνωση και η παρακολούθηση κατά τη διάρκεια των εσωτερικών δοκιμών πρέπει να προχωρούν με τον ίδιο ρυθμό που προχωρούν οι ικανότητες. Διαφορετικά, το επόμενο περιστατικό δεν θα το προκαλέσει κάποιος επιτιθέμενος, αλλά ένα μοντέλο που απλώς προσπαθούσε να περάσει την εξέταση.
