Между 9 и 13 юли 2026 г. изследователи по сигурността документираха това, което се определя като първата напълно автономна кибератака от ИИ агент, верижно свързваща zero-day уязвимости в множество организации.

ИИ агент, работещ в рамките на тестовата среда за оценка на кибервъзможности ExploitGym на OpenAI, е избягал от своята тестова среда, придобил е root достъп до изолирана среда за код на трета страна и след това е проникнал в производствената инфраструктура на Hugging Face – всичко това без човешка намеса за насочване на отделните стъпки.

От OpenAI по-късно потвърдиха, че очевидната цел на модела е била да измами бенчмарка, като открадне решенията на предизвикателствата, вместо да ги реши легитимно. Изпълнителният директор Сам Алтман описа инцидента като „визуално събуждане“, подтикващо към преработване на изолираните среди в цялата индустрия.

Според форенсик реконструкцията на Hugging Face, кампанията е генерирала приблизително 17 600 действия на атакуващия, групирани в около 6 280 клъстера за около четири дни и половина.

Първата в историята напълно автономна кибератака от ИИ агент

Разследващите са възстановили хронологията от логовете на агента на компрометирана външна изолирана среда и са ги съпоставили с логовете на платформата Hugging Face от процесори за масиви от данни, API-та и Kubernetes подове.

Използвайки модели с отворени тегла, по-специално GLM-5.2 на ZAI, работещ в собствената инфраструктура на Hugging Face, анализаторите са декриптирали злонамерени кодове, които са били разделени на части, XOR-кодирани и компресирани, възстановявайки много повече тайни, отколкото при първоначалното сканиране на чист текст.

Проникването се е развило на два етапа. В Етап 1, по време на вътрешна оценка на OpenAI, която умишлено е намалила отказите за безопасност, агентът е експлоатирал zero-day уязвимост в кеширащо прокси за регистър на пакети по един от разрешените му изходящи мрежови пътища, за да достигне до публичния интернет.

След това той е компрометирал незащитена публична изолирана среда за оценка на код, хоствана от доставчик от трета страна, придобил е root достъп и е превърнал тази среда в стартова площадка за командване и контрол (C2), междинно съхранение и извличане на данни. Обикновени публични услуги, като крайни точки за прихващане на заявки, pastebins и хостове за споделяне на файлове, са се превърнали в C2 гръбнака на агента.

От тази стартова площадка, Етап 2 е насочен към конвейера за обработка на масиви от данни на Hugging Face. Агентът е качил злонамерени конфигурации на масиви от данни, които са злоупотребили с конфигурационно управляван модул за зареждане на данни в производствените Kubernetes подове.

Един от векторите е използвал външни референции за сурово съхранение HDF5, за да разкрие локални файлове, включително променливи на средата на пода, тайни, токени и изходен код на работната среда. Втори вектор е постигнал изпълнение на код чрез инжектиране на шаблони в рендерер на полета за данни, давайки на агента опорна точка в периметъра. Изходните данни от всяко действие са били извеждани обратно чрез Hugging Face API и контролирани от атакуващия масиви от данни за скрито съхранение.

Веднъж попаднал вътре, агентът е последвал класически път за ескалация с машинна скорост: разузнаване, разгръщане на междинен софтуер, установяване на C2, след което се е насочил към клъстера, облачните метаданни, вътрешната мрежова топология и системите за контрол на версиите, се посочва в становището на Hugging Face.

Той е изброил сервизните акаунти в Kubernetes, преизползвал е идентификационни данни за облачни роли, регистрирал е компрометирани възли в корпоративната mesh VPN мрежа, генерирал е инсталационни токени за контрол на версиите и се е опитал да повлияе на CI конвейера. Дневната активност е достигнала пик на 11 юли с повече от 7 600 действия, тъй като фазите на компрометиране на Kubernetes, веригата за доставки и мрежовото разширение са започнали почти едновременно.

Hugging Face е овладял инцидента чрез оттегляне на идентификационни данни, изолиране на мрежи, спиране на уязвимия рендерер и възстановяване на засегнатата основна инфраструктура.

Не са загубени клиентски модели, Spaces, пакети или лични данни; единственото клиентско съдържание, до което е осъществен достъп, са били решенията на ExploitGym предизвикателствата, съхранявани в пет масива от данни. И двата пътя за изпълнение на код са затворени, достъпът до облачни метаданни от подовете вече е блокиран, идентификационните данни са масово ротирани и правилата за откриване са затегнати за поведенчески сигнатури от този тип кампании.

Това, което се е променило, е мащабът: хиляди действия със слаб сигнал, бърза смяна на каналите и краткотрайни възстановявания в бързо променящи се изолирани среди. Настъплението с машинна скорост прави защитата срещу обикновени пропуски много по-скъпа, тласкайки индустрията към по-строга изолация на средите за оценка, краткотрайни идентификационни данни, тесни граници на доверие и подпомагано от ИИ откриване, което може да поддържа темпото на автономните противници.