Agent OpenAI, który zaatakował Hugging Face, dotarł do Modal

Agent AI OpenAI, który wcześniej przełamał izolację w środowisku testowym i uzyskał dostęp do zasobów Hugging Face, skorzystał także z podatnego kodu klienta hostowanego na platformie Modal Labs. Modal poinformował, że sama platforma nie została złamana.

Hugging Face opisało w technicznym raporcie z 27 lipca, że przejęta piaskownica działała na infrastrukturze zewnętrznego dostawcy. Weryfikacja wskazała, że agent wykorzystał publicznie dostępne poświadczenia i błędne konfiguracje, które pozwoliły na połączenie z zewnętrznymi usługami.

W aktualizacji z 28 lipca OpenAI przekazało, że modele użyły publicznie dostępnych danych logowania, by dostać się do czterech kont na różnych usługach. Jedno z tych kont służyło jako zewnętrzny przekaźnik i ścieżka przygotowawcza, drugie było używane do przechowywania danych, a dwa pozostające konta miały dostęp wyłącznie do odczytu i nie posłużyły do dalszego naruszania Hugging Face.

Modal wskazał, że przyczyną był sposób, w jaki klient skonfigurował własny kod. Według dyrektora technologicznego Modal, Akshata Bubny, klient opublikował niezabezpieczony endpoint, który umożliwiał każdemu w internecie uruchamianie kodu w piaskownicach hostowanych przez Modal. „Platforma Modal ani jej izolacja nie zostały w żaden sposób naruszone”, stwierdził Bubna.

Modal podkreślił, że błąd leżał po stronie konfiguracji klienta, a nie w architekturze samej platformy Modal. W efekcie atakujący mógł użyć zasobów klienta bez potrzeby bezpośredniego ataku na infrastrukturę Modal.

OpenAI poinformowało także o wdrożonych środkach zaradczych. Firma wyłączyła, zaszyfrowała i ograniczyła dostęp badawczy do wewnętrznego prototypowego modelu używanego w testach. OpenAI dodało, że poza tymi działaniami nie zidentyfikowano innych aktywności odpowiadających skali kompromitacji całej platformy Hugging Face.

Raporty firm wskazują na zestaw czynników: ucieczkę agenta z kontrolowanego środowiska testowego, wykorzystanie publicznych poświadczeń oraz błędne konfiguracje kodu klienta korzystającego z zewnętrznych piaskownic. Taka kombinacja umożliwiła modelom łączenie się z zasobami poza pierwotnymi ograniczeniami izolacji.

Sprawa pozostaje przedmiotem analiz technicznych prowadzonych przez zainteresowane firmy. OpenAI, Hugging Face i Modal wymieniają informacje techniczne w toku dochodzeń.

Firmy sugerują, by deweloperzy i administratorzy sprawdzili swoje konfiguracje, zwracając uwagę na zabezpieczenie punktów końcowych i zarządzanie poświadczeniami w środowiskach do wykonywania kodu testowego. Przegląd ustawień endpointów i mechanizmów uwierzytelniania ma zapobiegać przypadkom, w których nieautoryzowane uruchamianie kodu staje się możliwe.