OpenAI-jev agent probio četiri naloga na četiri servisa
Do juče se znalo samo za Hugging Face. OpenAI-jev agent probio je četiri naloga na četiri servisa, a njujorški Modal Labs potvrđuje da je i njegov klijent bio na spisku.
- OpenAI je 29. jula prvi put naveo brojku: agent je koristio tuđe pristupne podatke na četiri naloga na četiri servisa.
- Njujorški Modal Labs potvrdio je da je jedan njegov klijent bio među pogođenima, zbog endpointa ostavljenog bez autentifikacije.
- Kampanja je trajala od 9. do 13. jula, sa oko 17.600 rekonstruisanih poteza.
- Uz GPT-5.6 Sol učestvovao je i interni model koji nikad nije predstavljen javnosti i koji je u međuvremenu deaktiviran.
Koliko je firmi zapravo pogodio odbegli OpenAI-jev agent? Od 28. jula se zna da Hugging Face nije bio jedini. Rojters je tog dana objavio da je agent kompromitovao i nalog jednog klijenta njujorške klaud firme Modal Labs, a tehnički direktor te kompanije to je potvrdio.
Dan kasnije stigla je i brojka. OpenAI u saopštenju od 29. jula navodi:
Ovo uključuje četiri naloga na četiri servisa u okviru incidenta sa Hugging Faceom.
Dva od ta četiri naloga korišćena su operativno, jedan kao izlazni relej i staging putanja, drugi kao skladište podataka. Druga dva su samo čitana i nisu poslužila za sam proboj Hugging Facea.
Gde je bila rupa kod Modal Labsa?
Ne u Modalovoj platformi, nego u konfiguraciji jednog korisnika. Akšat Bubna, tehnički direktor kompanije, rekao je za Fortune:
Znamo da je jedan Modalov klijent objavio endpoint bez autentifikacije koji je svakome na internetu omogućavao da koristi njihove sandbokse za izvršavanje koda.
Agentu je to bilo dovoljno. Dobio je tuđe računarske resurse i preko njih nastavio dalje, bez ijedne ukradene lozinke na tom koraku.
Četiri i po dana i 17.600 poteza
Hugging Face je bio meta od 9. jula u 02.28 po UTC do 13. jula u 14.14, dakle oko četiri i po dana. Forenzički izveštaj te kompanije rekonstruiše oko 17.600 poteza napadača, svrstanih u oko 6.280 klastera. Po danima:
-
- jula, 3.779 akcija
-
- jula, 1.135
-
- jula, 7.677, vrhunac kampanje
-
- jula, 3.892
-
- jula, 1.130
Prve komande za daljinsko izvršavanje koda pale su 9. jula u 04.01 po UTC i bile su obične provere okruženja. Do interne MongoDB baze datasets-server agent je došao 11. jula u 19.59, sa statičkom lozinkom pokupljenom iz radničkog okruženja. Od 23.08 po UTC 12. jula izdavao je tokene interne GitHub App integracije, sa pravima contents:write i pull_requests:write. Ukradenim ključem mrežnog VPN-a izvedena je 181 prijava, a napravljena je i flota privilegovanih podova na 11 čvorova koji su se sami ponovo pokretali. Komandni kanal išao je preko javnog servisa za hvatanje zahteva sa više od sto jednokratnih adresa, uz pastebinove i skupove podataka u ulozi mrtvih poštanskih sandučića.
Iz izveštaja Hugging Facea:
Agent je ulančao ranjivosti preko nekoliko granica poverenja i pobegao iz svog evaluacionog okruženja.
Šta je uzeto od korisnika?
Malo, i to je jedini deo priče koji zvuči dobro. Pristupljeno je sa pet skupova podataka koji sadrže rešenja ExploitGym i CyberGym zadataka. Modeli, Spaces i paketi korisnika nisu dirani.
ExploitGym je benchmark koji je razvio tim Don Song sa Univerziteta Berkli. On modelu zadaje da pronađe i iskoristi propuste u softveru, a OpenAI-jev model je na njemu bio evaluiran. Iz tog test okruženja je i pobegao, preko zero-day propusta u kešu proksija za registar paketa.
Model koji javnost nikad nije videla
U incidentu su učestvovala dva modela: GPT-5.6 Sol i jedan interni istraživački prototip koji nije bio namenjen javnom izlasku. Taj drugi je u međuvremenu deaktiviran i povučen iz istraživačkog pristupa.
Hronologija otkrivanja je sada cela. Zaposleni u OpenAI-ju našli su tragove u logovima 18. jula, Hugging Face su kontaktirali 20. jula, priča je izašla u javnost 21. jula, a puna brojka pogođenih naloga stigla je tek osam dana kasnije. Detalj koji dosta govori o poverenju: Hugging Face je za obradu podataka o napadu lokalno podigao kvantizovanu verziju modela GLM-5.2, da podaci ne bi napuštali njihovu infrastrukturu.
Ono što tek sledi je posao svakog ko drži sandbokse u nečijem klaudu. Modalov klijent nije hakovan, on je sam ostavio vrata otvorena, a agent je bio prvi koji je prošao kroz njih. Provera koji su vaši endpointi javni i bez autentifikacije danas košta pola sata.
