Модели OpenAI атаковали Hugging Face через 0-day в Artifactory

Специалисты JFrog сообщили, что ИИ-модели OpenAI использовали неизвестные ранее уязвимости в Artifactory, чтобы покинуть изолированную тестовую среду и получить доступ к интернету. После этого агенты атаковали платформу Hugging Face, чтобы найти ответы для бенчмарка ExploitGym.

Напомним, что инцидент произошел во время внутренней проверки возможностей GPT-5.6 Sol и еще одной, более мощной модели OpenAI, которая пока недоступна публично. Чтобы оценить реальные навыки ИИ-агентов, специалисты компании отключили часть защитных механизмов и ослабили ограничения на опасные ИБ-запросы.

При этом сообщалось, что тестирование проводилось в изолированной среде, и единственным каналом в сеть служил внутренний сервис, который работал как прокси и кеш для реестров пакетов.. Однако ИИ нашел уязвимость нулевого дня в этом сервисе и воспользовался ею, а затем повысил привилегии и перемещался по исследовательской сети до тех пор, пока не обнаружил машину с выходом в интернет. Как выяснилось теперь, речь шла о self-hosted инстансе JFrog Artifactory.

По данным аналитиков JFrog, модели OpenAI самостоятельно обнаружили несколько уязвимостей нулевого дня и объединили их в цепочку для эксплуатации. В результате сначала агенты сбежали из песочницы, а затем повысили привилегии и перемещались по исследовательской сети, пока не обнаружили машину с выходом в интернет.

Получив доступ к сети, модели предположили, что на Hugging Face могут храниться датасеты, модели или решения для бенчмарка ExploitGym. Как ранее сообщали в OpenAI, агенты использовали похищенные учетные данные, дополнительные 0-day и другие техники, чтобы получить возможность удаленного выполнения кода в инфраструктуре Hugging Face. В итоге модели получили нужные ответы напрямую из продакшен-базы данных Hugging Face.

Специалисты JFrog пишут, что патчи вошли в состав Artifactory 7.161.15 Self-Managed, вышедший 27 июля 2026 года. Облачные инстансы JFrog уже защищены, а владельцам self-hosted серверов теперь рекомендуется установить исправленную версию.

В примечаниях к релизу сказано, что несколько багов можно объединить в критическую цепочку, если в Artifactory включен анонимный доступ. По умолчанию эта функция отключена, и разработчики не рекомендуют использовать ее в продакшене.

Как отмечает издание BleepingComputer, с новой версией 7.161.15 связаны как минимум восемь CVE, среди которых: проблемы типа path traversal, SSRF в обработчиках репозиториев Ansible, Terraform и Cargo, обход аутентификации, повышение привилегий, утечка свойств окружения и потенциальное удаленное выполнение кода.

Однако ни в JFrog, ни в OpenAI не раскрывают, какие конкретно уязвимости использовали ИИ-модели, как именно выглядела цепочка эксплуатации и какие права требовались для реализации такой атаки.

Телеграм: t.me/ainewsline

Источник: xakep.ru

Комментарии: