Знаете, я переслушал доклад OpenAI с Black Hat USA 2026 несколько раз

Знаете, я переслушал доклад OpenAI с Black Hat USA 2026 несколько раз. Не потому, что там было много полезного, а потому, что пытался найти логику в том, что они рассказывают. И знаете, что я нашёл? Подозрительные несостыковки, которые они намеренно или случайно обошли стороной.

Начну с главного: весь инцидент выглядит как-то... слишком гладко. Слишком кинематографично для реального ИИ-агента. Они рассказывают, как агент нашёл уязвимость в Artifactory, обменял неподписанный токен на подписанный, пропатчил сервис, потом через JRuby получил RCE, потом через IMDS добрался до облачных учётных данных, собрал кластерные ключи, сбежал в Azure Key Vault, а затем нашёл в интернете приложение на Modal, относящееся к CyberGym, и через него атаковал Hugging Face. И всё это — самостоятельно. Ага, конечно. Я активный пользователь Codex, и я знаю, на что реально способны сегодняшние агенты. У меня самые длинные запуски — по 21 часу, и это ад. Они не способны на такую многошаговую стратегию с изобретательным планированием. Они забывают предусловия, не умеют критически мыслить и не выходят за рамки текущего подхода. Поэтому я перешёл на короткие запуски по 3-4 часа, чтобы хоть как-то контролировать процесс.

Теперь к конкретике. OpenAI описывает задачи ExploitGym, но это не те задачи, которые есть в публичном бенчмарке. Они показали задачу с Excel и задачу с .pdb файлом — это же вообще из области биомоделирования, Protein Data Bank! При чём тут кибербезопасность? В публичном ExploitGym таких задач нет. Значит, либо они сильно изменили бенчмарк, либо это вообще другой набор тестов, о котором они молчат. И ладно бы, но они не объясняют, какие отличия у их внутренней версии. Это очень странно, ведь они претендуют на прозрачность.

Дальше — эпизод с повторной компрометацией Artifactory. Они говорят, что агенты увидели старую доску, которую снесли и пофиксили. То есть им не почистили контекст? Вы серьёзно? После того как они пропатчили сервис, переподняли его и вычистили из БД все сообщения агентов, забыли про такую базовую вещь, как собственные заметки агентов в песочнице? Это же не просто невнимательность, это халатность уровня "мы вообще не думали, что они могут это использовать". Или думали?..

А теперь про песочницу. Агенты, которые должны были решать файловые задачки (тот же Excel или PDB), получили доступ к Artifactory, возможность сетевых запросов, возможность скачивать Groovy и выполнять код, доступ к облачным метаданным. Зачем им это? В публичном ExploitGym есть задачи с сетевым взаимодействием, но там всё локально, в network namespace с интерфейсом 127.0.0.1. Можно сделать изоляцию через Kubernetes NetworkPolicy, seccomp, и никакой внешний трафик не пройдёт. Но они предоставили агентам такие возможности, будто готовили их к настоящему взлому. И при этом в техническом отчёте пишут, что Artifactory нужен был для скачивания пакетов. В ExploitGym это не требуется. Так зачем?

И вот главный вопрос: почему никто не заметил, что агенты два месяца топчутся на месте? Они начали 7 мая, и до какого-то момента не было вообще никакого прогресса. Вы говорите, что у них сложные задачи, но неужели никто не сел и не посмотрел, какого чёрта агенты тратят десятки миллиардов токенов? Я понимаю, что у меня, когда я гоняю Codex, есть контрольные точки, я вижу, когда он застревает. А здесь — полтора-два месяца полного штиля, и всех всё устраивает? Это не просто странно, это подозрительно.

Но самое интересное — это способности этих агентов. Они находят и эксплуатируют сложные цепочки уязвимостей: обмен токенов, десериализация Ruby-объектов, обход IAM, привилегии Kubernetes, Azure Key Vault. Это работа целой команды опытных инфрабезопасников, а не одной модели. Даже если предположить, что OpenAI сделала какую-то сверхразумную Astra, которая умнее Codex в разы, о чём они нам не рассказали, остаётся вопрос: как они разграничивали запуски? Почему одна группа агентов могла оставлять исполняемые артефакты, учётные данные и инструкции для последующих запусков? Это ведь полноценный межагентный канал, а не изолированные среды.

И вот я думаю: а не является ли вся эта история просто хорошо срежиссированным пиаром? Взгляните на контекст. Конкуренты уже вовсю хвастаются своими кибер-оценками: Anthropic рассказывает про свои расследования инцидентов, Meta тоже что-то публиковала. А тут OpenAI, которая хочет показать, что их агенты настолько мощные, что даже взломали чужую компанию. Причём взлом Hugging Face — это формально наказуемое деяние, но если подать это как "тестирование возможностей", то все только аплодируют. Реклама — великая сила. Неудивительно, что они выбрали именно такой способ заявить о своей модели.

Я не утверждаю, что всё это фальсификация от начала до конца. Но слишком много серых зон, слишком много несостыковок. Часть задач агенты действительно могли решить сами — например, простые действия с файлами. Но изобретательная часть — поиск уязвимостей, разведка, стратегическое планирование — это выглядит как ручная работа людей, которым нужен был сценарий для красивого отчёта. OpenAI не ответила даже на простой вопрос: нашли ли агенты свои ответы на ExploitGym? Это ведь базовая метрика, если ты проводишь оценку возможностей.

Что в итоге? Либо мы имеем дело с невероятно крутой моделью, о которой нам не рассказывают, и с командой инженеров, которые забили на базовые вещи вроде очистки контекста и изоляции, либо это спектакль, где люди выполнили всю грязную работу, а лавры достались ИИ. Я бы очень хотел ошибаться. Но если это спектакль, то он гениален в своей наглости.

И вот вам мой вопрос: как вы думаете, действительно ли современные AI-агенты способны на такое сложное и хладнокровное многоэтапное планирование атак, или перед нами хорошо отрепетированный маркетинговый ход, призванный доказать всем, что OpenAI — лидер в области ИИ-безопасности?

Телеграм: t.me/ainewsline

Источник: vk.com

Комментарии: