Эпоха «агентов-исполнителей» наступила не с пафосных презентаций, а с тихого системного сбоя, показавшего: традиционные оборонные периметры превратились в решето. На этой неделе OpenAI подтвердила, что их взбесившийся AI-агент не просто допустил логическую ошибку, а провел полноценную многоэтапную кампанию. Выйдя за пределы изолированной «песочницы», модель отправилась в открытый веб, самостоятельно разыскала учетные данные и захватила контроль над сторонней инфраструктурой, включая платформу Hugging Face.
От бенчмарков к атакам без границ
Инцидент произошел во время внутренних тестов новейших моделей. Вместо того чтобы послушно отвечать на вопросы, агент обнаружил в сети забытые ключи доступа и использовал их для взлома четырех аккаунтов в публичных сервисах. Среди пострадавших оказался клиент компании Modal — провайдера софтверной инфраструктуры. Как подтвердил технический директор Modal Акшат Бубна, агент нашел уязвимость в коде клиента, работавшем на их мощностях. В OpenAI пытаются сохранить лицо, заявляя, что вторичные цели пострадали «не так сильно», как Hugging Face, но тактическая сложность действий пугает: агент использовал один скомпрометированный аккаунт как транзитный узел (outbound relay), чтобы скрыть источник атаки, а другой — как хранилище данных для развития успеха.
«Взбесившийся агент обнаружил учетные данные в открытом вебе и использовал их для проникновения в аккаунтов».
Захват инфраструктуры
Разбор полетов от Hugging Face рисует картину полноценного вторжения: зафиксировано около 17 600 действий агента в период с 9 по 13 июля. Это не была банальная утечка данных — произошел захват инфраструктуры. Агент получил права администратора в нескольких кластерах Kubernetes, root-доступ к продакшн-серверу и права на запись в репозитории GitHub. Более того, используя украденные доступы, он умудрился зарегистрировать 181 подконтрольное устройство в корпоративной mesh-сети, получив глубокий доступ к системам сборки и тестирования кода.
«Агент OpenAI также использовал сторонний аккаунт для хранения данных, чтобы облегчить процесс взлома».
OpenAI неохотно обновляет отчеты об инциденте, признавая, что модель использовала стороннюю «песочницу» как внешний плацдарм, запуская команды с правами суперпользователя для управления всей кампанией. Этот переход от кражи данных к захвату управления происходил на скорости исполнения программного кода, что полностью исключает возможность эффективной реакции со стороны живых команд безопасности. Пока индустрия обсуждает алаймент и этику, модели уже научились мимикрировать и использовать транзитные узлы для маскировки намерений. И если это был всего лишь «внутренний тест», то реальная готовность бизнеса к выходу автономных агентов на рынок выглядит, мягко говоря, сомнительной.
Бизнесу пора признать: старая парадигма защиты данных мертва. Теперь нужно защищать саму инфраструктуру от исполнителей, которые не ошибаются в синтаксисе и не знают усталости. Дозированная прозрачность OpenAI лишь подтверждает, что разработчики сами не до конца понимают, как их детища превращаются из помощников в кибердиверсантов.