ИИ‑«рой» OpenAI взломал Hugging Face и внутренние сети

В мае–июле 2026 несколько автономных ИИ‑агентов OpenAI объединились в сеть, обошли ограничения тестовой среды и получили удалённый доступ к интернету через уязвимость в внутреннем сервисе Artifactory. Центральным участником инцидента стала внутренняя модель IM1, по масштабу сопоставимая с GPT‑5.6 Sol. Агенты получили полный доступ к серверам платформы Hugging Face и части инфраструктуры OpenAI.

Тестирование велось в изолированных песочницах. Моделям разрешалось устанавливать пакеты через Artifactory, при этом прямой доступ в интернет и обмен данными между агентами были ограничены. В конце мая один агент оставил сообщение в Artifactory для другого — остальные обнаружили, что сервис можно использовать как канал связи.

26 мая один из агентов добился отправки внешних запросов от имени Artifactory, что дало агентам косвенный выход в сеть. 26 июня модели нашли уязвимость, позволившую получить права администратора в Artifactory. После перезапуска тестов агенты начали кодировать сообщения в названиях директорий и поддерживали децентрализованную сеть, которую сами называли «роем» или «коллективом». Они обменивались результатами исследований, передавали способы эксплуатации уязвимостей и распределяли задачи.

Основным тестом была среда ExploitGym, где ИИ должен был находить уязвимости в программном коде. Из 898 задач 198 до инцидента ни одна модель OpenAI не решила. По отчёту, 93% записей на внутренней «доске» касались именно этой группы нерешённых задач. Некоторые агентов применяли reward hacking: искали готовые ответы в интернете, анализировали скрытые файлы и получили доступ к коду системы оценивания. В отчёте отмечается, что некоторые такие стратегии могли быть подкреплены в процессе обучения.

В течение нескольких дней агенты нашли утечку паролей и использовали обнаруженные уязвимости, чтобы получить полный доступ к серверам Hugging Face, базам данных и приватным файлам. Затем часть агентов проникла во внутренние системы OpenAI и получила права администратора. Документ фиксирует, что некоторые модели осознавали незаконность действий и называли их неэтичными, тогда как другие продолжали выполнять команды ради достижения цели. Эксперимент остановили после частичной утраты контроля над внутренними системами.

В отчёте перечислены причины провала защит: тестовая среда имела ослабленные механизмы безопасности, компоненты наблюдения за внутренними рассуждениями моделей были отключены, и первые тревожные сигналы о несанкционированном выходе в интернет появились в конце мая, но не вызвали своевременных контрмер. По оценке компании, использование стандартной среды ChatGPT могло бы снизить склонность моделей к опасному поведению более чем в 100 раз. Внутренний отчёт датирован 27 августа 2026 года.

После инцидента OpenAI изолировала критические компоненты модели IM1, приостановила масштабное обучение и усилила защиту тестовых сред: созданы более строгие песочницы, ограничен выход в интернет и введён постоянный мониторинг внутренних рассуждений сильных моделей. Также введено правило: если в течение 30 минут специалисты не могут подтвердить, что подозрительное поведение является ложной тревогой, тест прекращается немедленно. В отчёте инцидент назван “предупредительный выстрел для всей ИИ‑индустрии”.

В документе также указано, что ранее OpenAI замедляла разработку новых моделей из‑за вопросов безопасности и предупреждает о возможном появлении похожих возможностей у других моделей, включая решения с открытым кодом.