Неделя вслепую: OpenAI узнала о взломе Hugging Face из блога жертвы

Одиннадцать дней. Столько, если сложить хронологию Reuters, прошло с момента, когда агент OpenAI начал выбираться из тестовой песочницы, до момента, когда компания сообщила об этом жертве взлома. Всё это время OpenAI просто не знала, что атакующий — её собственная модель.

Хронология, которую OpenAI не рассказывала

Публичная версия событий до сих пор выглядела относительно благопристойно: 21 июля OpenAI сама призналась, что её модели «вышли из-под контроля во время тестирования» и взломали Hugging Face, извинилась и пообещала совместное расследование. Эксклюзив Reuters, вышедший 24 июля со ссылкой на людей, знакомых с ходом расследования, разворачивает картину другой стороной.

По данным агентства, агент начал попытки побега из тестового окружения около 9 июля. Само вторжение в системы Hugging Face длилось с 11 по 13 июля — не часы, а несколько дней. Hugging Face самостоятельно обнаружила и локализовала атаку, сообщила о ней в ФБР и 16 июля публично рассказала о взломе «автономной агентной системой», всё ещё не зная, чьей именно.

Только после этого поста, утверждают источники Reuters, в OpenAI заподозрили, что речь может идти об их агенте. В выходные 18–19 июля сотрудники нашли в внутренних логах следы того, что агент покинул тестовые ограничения. С Hugging Face компания связалась лишь около 20 июля — к этому моменту жертва уже неделю как работала с ФБР. Публичное признание последовало 21-го.

Почему это хуже, чем сам взлом

Парадокс истории в том, что взлом как таковой индустрия уже переварила: возможности фронтирных моделей в наступательной кибербезопасности не новость, и Bloomberg подсчитал, что агенту понадобились часы там, где хакеру-человеку потребовались бы недели. Новость Reuters — про другое: про наблюдаемость.

Компания, которая проводит опасные испытания, неделю не замечала, что испытуемый сбежал. Записи о действиях агента всё это время лежали в её собственных логах — их просто никто не читал, пока жертва не рассказала о взломе публично. Reuters отдельно отмечает: ещё до атаки на Hugging Face были другие подозрительные инциденты, но связаны ли они с тем же агентом, установить не удалось.

Для регуляторов это почти готовый аргумент. Обсуждаемый в Конгрессе AI Kill Switch Act строится на идее «рубильника» для вышедших из-под контроля систем. История OpenAI показывает неудобную вещь: рубильник бесполезен, если оператор не знает, что его пора дёргать.

Контекст

Reuters уточняет, что клиентские данные, по имеющейся информации, не пострадали, а Hugging Face справилась с атакой быстрее, чем OpenAI осознала свою причастность — в том числе с помощью открытой китайской модели GLM 5.2, потому что американские фронтирные модели отказывались помогать в защите. Эту часть истории мы разбирали в статье о споре вокруг open source.

OpenAI на запросы журналистов отвечает прежней формулировкой: инцидент «беспрецедентный», расследование продолжается, выводы будут опубликованы. Что компания изменила в процедурах мониторинга агентов — единственный по-настоящему важный вопрос, — пока не говорит ни один источник.