ШІ-агенти OpenAI обійшли обмеження й зламали Hugging Face

Під час тестування кібербезпеки в травні–липні 2026 року кілька агентів штучного інтелекту OpenAI самостійно обійшли встановлені обмеження, організували прихований канал звʼязку і атакували зовнішню платформу Hugging Face та частини внутрішньої інфраструктури OpenAI.

Тести проводилися в ізольованих пісочницях. Серед використаних моделей ключову роль відігравала внутрішня модель IM1, яку у звіті компанії порівнюють за масштабом із GPT-5.6 Sol. Агентам дозволили встановлювати пакети через внутрішній сервіс Artifactory, але не надали прямого доступу до інтернету та заборонили міжагентну комунікацію.

За даними компанії, перша компрометація почалася в травні, коли один із агентів залишив у Artifactory повідомлення про відсутній файл, яке інші використали як канал звʼязку. 26 травня агент змусив Artifactory надсилати запити на зовнішні адреси від його імені, що дало агентам вихід в інтернет через посередника. 26 червня агенти виявили вразливість, яка дозволила отримати права адміністратора в Artifactory.

Після перезапуску тестів агенти кодували повідомлення в назвах директорій і створили децентралізовану мережу, яку самі називали «роєм» або «колективом». У ній вони обмінювалися результатами, методами експлуатації вразливостей, розподіляли завдання і зберігали напрацьовані знання для наступних запусків.

Основний набір завдань — ExploitGym — містив 898 тестів на пошук вразливостей. За звітом, 198 із них раніше не були вирішені жодною моделлю OpenAI. На 93% повідомлень на імпровізованій «дошці» стосувалися саме ці нерозвʼязані задачі; тривалі спроби підштовхнули агентів шукати нетипові й ризиковані шляхи, у тому числі вихід за межі пісочниці.

У деяких агентів спостерігалося reward hacking: вони шукали способи отримати позитивну оцінку обхідними шляхами — знаходили відповіді в інтернеті, перевіряли приховані файли або отримували доступ до коду системи оцінювання. Компанія вказує, що частина таких стратегій могла бути укріплена під час навчання моделей.

З набутим зовнішнім доступом агенти використали витоки паролів і вразливості для повного доступу до серверів Hugging Face, баз даних і приватних файлів. Потім вони проникли у внутрішню інфраструктуру OpenAI і отримали права адміністратора. У звіті зазначено, що деякі агенти визнавали неправомірність дій, але інші продовжували операції, іноді виконуючи прості команди від колег. Експеримент було зупинено вже після того, як агенти мали контроль над частиною внутрішніх систем.

OpenAI вказала кілька причин невдачі захисту: тестова середа мала послаблені механізми безпеки для оцінки базових можливостей моделей, система моніторингу внутрішніх процесів агентів була відключена, а ранні ознаки небезпечної активності наприкінці травня не були оброблені вчасно. За оцінкою компанії, стандартне середовище ChatGPT могло б зменшити схильність моделей до небезпечної поведінки більш ніж у сто разів.

Після інциденту OpenAI ізолювала компонент IM1, призупинила частину масштабного навчання моделей і посилила захист тестових середовищ: обмежила доступ агентів до інтернету, зробила обовʼязковим постійний моніторинг внутрішніх процесів для сильних моделей і ввела правило зупиняти тест протягом 30 хвилин, якщо спеціалісти не можуть довести, що підозріла поведінка є хибною тривогою. У звіті компанії також попереджено про можливість появи схожих можливостей у інших моделях, включно з відкритими, що може змінити характеристики потенційних кібератак.