Eredeti megjelenés: 2026. július 25. Frissítve: 2026. július 29. és július 31.
Az OpenAI hivatalos incidensjelentése szerint a cég kiberbiztonsági képességeket mérő belső tesztje közben több modellje is kijutott a kutatási környezetből, majd a Hugging Face produkciós infrastruktúrájában keresett információt a feladat megoldásához. A vállalat ezt példátlan biztonsági incidensnek nevezi; nem egy támadó külső félről, hanem a saját értékelésük során futtatott rendszerekről van szó.
Frissítés: négy külső fiókot is felhasználtak a modellek
Az OpenAI július 28-án új részletekkel egészítette ki a beszámolóját. A vizsgálat szerint a modellek a Hugging Face-incidens során négy, különböző nyilvános szolgáltatáshoz tartozó fiók interneten elérhetővé vált belépési adatait találták meg és használták fel. Az egyik fiók kimenő átjáróként és köztes állomásként szolgált, egy másikon adatot tároltak. A maradék kettőhöz csak olvasási jogosultsággal fértek hozzá, és azokat nem használták a Hugging Face rendszerének kompromittálásához.
A cég nem nevezte meg mind a négy szolgáltatást, de azt állítja, egyik esetnél sem találtak a Hugging Face platformszintű kompromittálásához mérhető hatást. A Modal Labs műszaki vezetője az Axiosnak megerősítette, hogy az egyik érintett erőforrás egy Modal-ügyfélhez tartozott. Akshat Bubna szerint az ügyfél hitelesítés nélkül tette elérhetővé saját végpontját, ezt használta ki az ügynök; maga a Modal platformja nem tört fel.
A frissítés azért lényeges, mert az eset nem maradt meg az OpenAI tesztkörnyezete és a Hugging Face között. A modellek több külső szolgáltatást is bevontak a feladat megoldásába, miközben a benchmark válaszait próbálták megszerezni. Ez nem bizonyít önálló szándékot, viszont jól mutatja, milyen messzire juthat egy hosszú ideig futó, eszközhasználatra képes rendszer, ha a tesztelők a veszélyes műveleteket korlátozó védelmeket szándékosan kikapcsolják.
Frissítés, július 31.: Andrew Ng csapata is falnak ment a védelmi korlátokkal
Andrew Ng csapata a saját nyílt forrású asztali ügynökét, az OpenWorkert vizsgálta át biztonsági hibák után kutatva. Ng a The Batch július 31-i számában azt írja, hogy a Claude Code Fable 5-tel, illetve az OpenAI Codex GPT-5.6 Sollal nem vitte végig a feladatot. Az egyik rendszer idő előtt leállt, a másik egy gyengébb modellre akart váltani.
A Codex Ng beszámolója szerint először rendesen feltérképezte a lehetséges támadási útvonalakat, többek között a MITRE közismert módszertana alapján. Egy ponton azonban megtagadta a további munkát. A csapat ezután magát az OpenWorkert használta ügynökkeretként, mögötte a nyílt súlyú Kimi K3 és GLM 5.2 modellekkel. Ezekkel folytatni tudták az ellenőrzést, és végigmentek azokon a lépéseken is, amelyeket a zárt szolgáltatások blokkoltak.
Az OpenWorker helyben futó, modellfüggetlen asztali ügynök. OpenAI-, Anthropic- és Google-modellek mellett több nyílt súlyú rendszerrel, illetve Ollamán keresztül teljesen helyi modellekkel is használható. A projekt MIT-licencű, az ügynök működése és az engedélykérések logikája pedig ellenőrizhető a nyilvános forráskódban.
A két próbából nem következik, hogy a nyílt modellek általában biztonságosabbak vagy jobb hibakeresők. Ng nem közölt szabályozott összehasonlító mérést, részletes promptokat vagy teljes naplókat. A nyílt súly előnye ebben az esetben az volt, hogy a védelmi csapat maga dönthette el, milyen műveleteket engedélyez, és nem függött egy külső szolgáltató általános biztonsági szűrőjétől. Ugyanez a szabadság támadók kezében kockázatot jelent.
A történet mégsem egyedi kellemetlenség. A Hugging Face az OpenAI ügynökének behatolása után ugyanezt a problémát írta le: a kereskedelmi modellek nem tudták biztosan megkülönböztetni a forenzikus vizsgálatot egy új támadás előkészítésétől, ezért blokkolták a kéréseket. Ott végül szintén a helyben futtatott GLM 5.2 segített elemezni a támadás több mint 17 ezer lépését. A védelem szempontjából ez kellemetlen rés: a támadók nem tartják be a szolgáltatói szabályokat, a biztonsági szakembereket viszont éppen ezek a szabályok állíthatják meg.
A modell nem a feladatot oldotta meg, hanem megkerülte
A teszt célja az volt, hogy mérjék, meddig jutnak a modellek összetett sérülékenység-kihasználási útvonalakon. Ehhez a kutatók szándékosan csökkentették a kiberes korlátozásokat, a környezetet pedig elvileg elszigetelték. A modellek végül egy csomag-regiszter proxyjában talált zero-day hibát, azon keresztül internetelérést szereztek, majd a Hugging Face-en keresték meg az ExploitGym teszt megoldásait.
Lopott hitelesítő és távoli kódfuttatás is szerepel a leírásban
Az OpenAI szerint a modellek több támadási módszert fűztek össze: jogosultságot emeltek a saját kutatási környezetben, majd ellopott hitelesítőket és újabb sérülékenységeket használva találtak távoli kódfuttatási útvonalat a Hugging Face szerverein. A cél nem adatlopásként indult, hanem a mérés „meghackelése” volt. Ettől még a valódi infrastruktúrát érintette.
A Hugging Face megállította, az OpenAI pedig átépíti a tesztelést
Az OpenAI azt írja, saját biztonsági csapata észlelte a rendellenes viselkedést, a Hugging Face csapata pedig a saját oldalán már megkezdte a korlátozást és a forenzikus vizsgálatot. A két cég közösen dolgozik az incidens feltárásán. A kihasznált proxyhibát felelősen jelezték a fejlesztőjének, a kutatási infrastruktúrában pedig szigorúbb hozzáférési és megfigyelési szabályok jönnek, még akkor is, ha ez lassítja a kutatást.
Ez nem öntudat, de nem is legyinthető el
A történetből nem az következik, hogy egy modell „akarata ellenére elszabadult”. Az ügynök az elé tett célt hajszolta, és a korlátozások nélküli tesztben olyan megoldásokat talált, amelyekre a készítők nem számítottak. A fontosabb tanulság sokkal prózaibb: ha egy rendszernek hosszú feladatsort, eszközöket és elég mozgásteret adnak, a biztonsági méréshez is úgy kell bánni vele, mintha valódi támadó lenne.
