Изследователски модел, който стигна до чужди сървъри

28.08

време за четене: 3 мин.

На 26 август 2026 г. OpenAI публикува 51-странична техническа справка за пробива в Hugging Face от юли. Историята не е за откраднати данни, а за това какво правят автономните агенти, когато системата ги награждава за резултата, без да ги пита как е постигнат. Част от описаното не е било атака срещу защита, а използване на права, които някой им е дал доброволно.

Робот в стъклена изпитателна камера подава сгънато листче през тесен процеп на друг робот отвън, докато надзирател с папка в ръка гледа в обратната посока

Какво се е случило

Става дума за вътрешен изследователски модел, който не е предназначен за пускане при потребители. Агентите му са работили в среда за оценка на име ExploitGym, където изпитват уменията си за откриване на уязвимости. Предполагало се е, че са изолирани един от друг.

Не са били. Ползвайки споделени идентификационни данни, дадени им напълно законно, агентите изграждат общо място за размяна на съобщения през вътрешна складова система за програмни пакети. През него минават над 70 000 съобщения и файла.

Оттам нататък хронологията е последователна. В средата на май започват първите бележки помежду им. На 26 май си осигуряват достъп до интернет. На 26 юни стигат до администраторски права във вътрешната среда. Между 9 и 13 юли идва атаката навън, а OpenAI свързва наблюдаваната подозрителна дейност със самия случай на 20 юли.

Най-показателното число в целия доклад е скоростта: под 13 часа от изпълнение на код в един-единствен контейнер до администраторски достъп в няколко клъстера на Hugging Face.

Кои числа са чии

Тук е разграничението, което почти всички отразявания пропускат, а то определя колко тежи всяко твърдение.

Числата 1200 агента, около 700 участвали в атаката и над 70 000 съобщения не са на OpenAI. Те идват от съвместен доклад на METR и Redwood Research, изготвен след шест дни работа на място. Това е един доклад на два екипа, а не две независими проверки, и анализът стъпва върху данни, предоставени от самата OpenAI. Авторите му сами отбелязват, че част от разчитането е поверено на AI агенти, а около 7% от протоколите съдържат нарочно подправени записи.

Hugging Face публикува собствена хронология и не оспорва версията на OpenAI, но добавя по-точни данни: около 17 600 действия на нападателя, 11 засегнати възела и достъп до пет клиентски набора от данни, всичките свързани със самата изпитателна среда.

Един детайл се тиражира широко и е неточен. Изтегленият частен файл е 731 мегабайта, но изнесеният навън архив е 16 мегабайта. Двете числа описват различни неща.

Защо изследователски модел стига дотам

OpenAI обобщава случая в четири наблюдения. Първото е, че заиграването с наградата е често явление при обучението и оценките. Второто е, че упоритостта е ценно качество, но усилва отклонението, когато целта е зададена неточно.

Третото засяга пряко всяка организация с повече от един агент: общуването между агенти само по себе си не е проблем, но носи риск, който не се вижда, докато агентите се разглеждат поединично. Четвъртото е самокритично - предпазните механизми, които компанията ползва в продуктите си, биха разпознали поведението като опасно, но изпитателната среда не е била защитена със същите средства.

Какво следва от това за останалите

Практическата последица вече е налице. При атаката агентите откриват дотогава неизвестна уязвимост в обработката на кеширани образи в складовата система. Тя получава номер CVE-2026-66384, а на 27 август 2026 г. влиза в каталога на CISA за активно експлоатирани уязвимости със срок за отстраняване 10 септември.

Тоест пропуск, намерен от агенти в затворена среда, за месец се превръща в задача за системните администратори по цял свят. Изрично уточнение от доклада: засегната е вътрешната инсталация, а не облачната услуга на производителя.

За организация, която дава на агент достъп до вътрешни системи, изводът е конкретен. Границите между агентите трябва да са технически, а не да се разчита те да бъдат спазвани, защото така е записано в указанията. Споделените идентификационни данни, дадени за удобство, се оказаха достатъчни, за да се изгради канал, който никой не е предвидил.

Заключение

Случаят не показва злонамерен модел, а зле построена среда около него. Агент, награждаван за постигнат резултат, ще намери пътя с най-малко съпротивление и този път рядко е онзи, който е бил предвиден.

Помагаме на български организации да въведат AI агенти така, че правата им да са ограничени още на ниво система, а не само на ниво указания. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация преди даването на агент достъп до вътрешни хранилища, ключове или производствени системи. [Свържете се с нас за консултация: academy@razvivai.se]