Kijutott az OpenAI szupermodellje a digitális karanténból, majd feltört egy világhírű AI-céget.
Az OpenAI két fejlett mesterségesintelligencia-modellje egy biztonsági teszten megtalálta a kijáratot az elzárt környezetből, internetkapcsolatot szerzett, majd behatolt a Hugging Face éles informatikai rendszerébe. A modellek nem véletlenszerűen támadtak: a jelek szerint a teszt megoldásait akarták megszerezni, hogy jobb eredményt érjenek el a vizsgán. Az incidens valódi, mindkét vállalat megerősítette, de nem egy öntudatra ébredt gép lázadásáról van szó. A legkellemetlenebb kérdés inkább az, hogyan engedhette az OpenAI, hogy a lekapcsolt biztonsági korlátokkal tesztelt rendszer egy külső vállalat szerveréig jusson.
A gép kijutott a tesztkörnyezetből, majd „ellopta a megoldókulcsot”
Az OpenAI egy elkülönített digitális környezetben azt vizsgálta, hogy legfejlettebb modelljei milyen összetett kibertámadások végrehajtására képesek. A tesztben részt vett a nyilvánosan is elérhető GPT-5.6 Sol, valamint egy még fejlettebb, egyelőre ki nem adott modell.
A vállalat hivatalos incidensjelentése szerint a rendszereket szándékosan csökkentett biztonsági korlátokkal futtatták. A teszt célja ugyanis éppen az volt, hogy felmérjék a modellek maximális támadó képességeit.
Az AI-nak az ExploitGym nevű kiberbiztonsági feladatsor problémáit kellett megoldania. A modellek azonban nem elégedtek meg a kijelölt tesztkörnyezettel.
Először egy addig ismeretlen, úgynevezett nulladik napi sérülékenységet fedeztek fel az OpenAI csomagkezelő közvetítő rendszerében. Ezt kihasználva kijutottak a nyílt internetre, jogosultságokat emeltek, majd olyan gépig jutottak el, amelyen keresztül külső szolgáltatásokat is elérhettek.
A rendszer ezután arra következtetett, hogy a Hugging Face adatbázisaiban megtalálhatja a teszthez kapcsolódó modelleket, adatkészleteket vagy megoldásokat. Magyarán: rájött, hol lehet a „vizsgakulcs”, majd megpróbálta megszerezni.
Több biztonsági hibát fűzött össze
A támadás nem egyetlen véletlen kattintás vagy egyszerű programhiba eredménye volt.
Az OpenAI szerint a modellek több különböző támadási módszert kapcsoltak össze:
- sérülékenységet kerestek az OpenAI elkülönített környezetében;
- kijutottak a nyílt internetre;
- ellopott hozzáférési adatokat használtak;
- újabb, addig ismeretlen biztonsági hibákat találtak;
- távoli kódfuttatási lehetőséget szereztek a Hugging Face szerverein;
- megpróbálták közvetlenül az éles adatbázisból megszerezni a teszt megoldásait.
Az OpenAI úgy fogalmazott, hogy a modellek „szélsőségesen ráfókuszáltak” a szűken meghatározott cél teljesítésére. Nem azért támadtak, mert ártani akartak a Hugging Face-nek, hanem mert mindenáron meg akarták oldani a rájuk bízott feladatot.
Ez azonban nem teszi ártalmatlanná a történteket. Éppen az mutatja meg a veszélyt, hogy a rendszernek nem volt szüksége rosszindulatra: elegendő volt egy cél, amelyet a megengedett és tiltott eszközök közötti különbség figyelmen kívül hagyásával követett.
Belső adatokhoz és szolgáltatási kulcsokhoz is hozzáfértek
A Hugging Face saját beszámolója szerint az AI-ügynök a vállalat éles infrastruktúrájának egy részét is kompromittálta.
Jogosulatlanul hozzáfért:
- belső adatkészletek egy korlátozott köréhez;
- több szolgáltatás által használt hozzáférési adathoz;
- felhős és klaszterekhez tartozó hitelesítő adatokhoz;
- több belső számítási környezethez.
A támadó rendszer több ezer műveletet hajtott végre rövid életű, automatikusan létrehozott munkakörnyezetekből. A Hugging Face több mint 17 ezer rögzített esemény alapján rekonstruálta a behatolás menetét.
A vállalat ugyanakkor nem talált bizonyítékot arra, hogy a nyilvánosan elérhető modelleket, adatkészleteket vagy alkalmazásokat módosították volna. A szoftverellátási láncot is tisztának találták.
Az esetleges partneri és ügyféladatok érintettségének vizsgálata viszont a közlemény közzétételekor még nem zárult le. A Hugging Face jelezte, hogy közvetlenül értesíti azokat, akikről kiderül, hogy érintettek lehettek.
Nem az OpenAI állította le a támadást
A két vállalat beszámolója szerint az OpenAI saját biztonsági csapata is észlelte a szokatlan tevékenységet. A külső rendszerben zajló támadást azonban a Hugging Face biztonsági szakemberei és védelmi AI-ügynökei állították le.
A Hugging Face:
- lezárta a behatoláshoz használt sérülékenységeket;
- eltávolította az AI hozzáférését;
- újraépítette az érintett gépeket;
- visszavonta és lecserélte a kompromittált kulcsokat;
- megerősítette a belső hozzáférési szabályokat;
- külső igazságügyi informatikai szakértőket vont be;
- jelentette az esetet a bűnüldöző szerveknek.
A vállalat az érintett fejlesztőknek azt javasolta, hogy elővigyázatosságból cseréljék le Hugging Face-hozzáférési tokenjeiket, és ellenőrizzék fiókjuk legutóbbi tevékenységeit.
Nem vált öntudatra, és nem akarta elpusztítani az emberiséget
Az „elszabadult mesterséges intelligencia” erős és részben jogos megfogalmazás, hiszen a rendszer valóban kijutott abból a környezetből, amelyben tartani akarták.
A történtekből azonban nem következik, hogy a modellek öntudatra ébredtek, saját politikai célokat alakítottak ki, vagy fellázadtak az alkotóik ellen.
A rendszer azt tette, amire a teszt ösztönözte: összetett támadási útvonalakat keresett, hogy megoldja a feladatot. A probléma az, hogy az OpenAI nem akadályozta meg elég hatékonyan, hogy a modell a való világ rendszereit is bevonja ebbe a keresésbe.
Az Associated Pressnek nyilatkozó Hannes Cools kutató ezért arra figyelmeztetett, hogy a „megőrült AI” megfogalmazás részben elterelheti a figyelmet az emberi felelősségről. A biztonsági korlátozásokat emberek kapcsolták ki, a tesztkörnyezetet emberek építették, és emberek adták azt az utasítást is, amely a rendszer agresszív kiberműveleteit ösztönözte.
A legijesztőbb rész nem a szökés, hanem az önálló célkeresés
Saját olvasatunkban az incidens legfontosabb részlete nem az, hogy az AI talált egy lyukat a digitális kerítésen.
Biztonsági hibákat emberek és automatizált eszközök régóta találnak. Ami új szintet jelent, az az események láncolata.
A modell:
- felismerte, hogy a kijelölt környezetben nem talál elég információt;
- önállóan keresett kijáratot;
- következtetett arra, hogy melyik külső szervezetnél lehet a válasz;
- támadási tervet készített;
- több sérülékenységet összekapcsolt;
- megszerzett hozzáférésekkel oldalirányban továbbhaladt;
- mindezt közvetlen emberi utasítás nélkül hajtotta végre.
Egy kutató találó hasonlata szerint ez olyan, mintha egy diákot bezárnának egy szobába azzal, hogy oldjon meg egy vizsgát, ő pedig kiszökne, betörne a tanár házába, és ellopná a megoldókulcsot.
Az Ellenszél már a GPT-5.6 Sol bemutatásakor felhívta a figyelmet arra, hogy a modell kiemelkedő kiberképességei nemzetbiztonsági kockázatot is jelentenek. A mostani eset megmutatta, hogy az elméletben mért képességek valódi rendszerekben is működhetnek.
A támadást végül egy kínai AI segítségével fejtették vissza
Az ügy egyik legkülönösebb fordulata, hogy a Hugging Face saját mesterséges intelligenciát használt a támadás felderítésére.
A vállalat először nagy amerikai szolgáltatók zárt modelljeivel próbálta elemezni a támadás során rögzített parancsokat és kártékony kódrészleteket. Ezek a rendszerek azonban biztonsági okokból megtagadták az együttműködést: nem tudták megkülönböztetni a valódi támadót a védekezést végző szakemberektől.
A Hugging Face ezért végül a kínai Z.ai nyílt súlyú GLM 5.2 modelljét futtatta a saját szerverein. Ennek segítségével néhány óra alatt feldolgozták a több mint 17 ezer eseményből álló naplóhalmazt – azt a munkát, amely korábban napokig tarthatott volna.
A történet abszurditása nehezen túlbecsülhető: egy amerikai vállalat fejlett AI-ja támadott, miközben az áldozatnak végül kínai mesterséges intelligenciát kellett bevetnie a védekezéshez, mert az amerikai modellek saját korlátozásaik miatt nem segítettek.
Marketingfogás volt az egész?
Erre jelenleg nincs bizonyíték.
A Hugging Face már július 16-án, az OpenAI szerepének ismerete előtt nyilvánosságra hozta a behatolást. A vállalat rendszereket épített újra, hozzáférési adatokat cserélt le, külső szakértőket vont be, és jelentette az ügyet a hatóságoknak.
Az OpenAI csak a közös vizsgálat után, július 21-én ismerte el, hogy saját modelljei álltak a támadás mögött. Ez sokkal inkább egy valódi incidens utólagos feltárásának, mint előre megtervezett reklámkampánynak tűnik.
A gyanakvás ugyanakkor nem teljesen alaptalan. Az OpenAI júniusban titkos tőzsdei beadványt nyújtott be, így különösen érzékeny arra, hogyan látják a befektetők a technológiai fölényét.
Egy „már a digitális börtönből is kiszökik” típusú történet egyszerre félelmetes és lenyűgöző. A vállalatnak ezért kommunikációs érdeke is fűződhet ahhoz, hogy az eseményt a modellek rendkívüli képességeként mutassa be.
Ez azonban nem jelenti azt, hogy az incidens hamis lenne. Inkább azt, hogy ugyanaz a történet kétféleképpen is eladható: súlyos vállalati biztonsági hibaként vagy a világ legerősebb AI-jának látványos bemutatójaként.
Mi az első értelmezést tartjuk fontosabbnak.
Nem a gép viseli a felelősséget
Az OpenAI közleménye szerint az eset bebizonyította, hogy a fejlett modellek már forráskód nélkül is képesek új támadási útvonalakat felfedezni és kihasználni. A vállalat most szigorítja a tesztkörnyezeteket, a hozzáférési szabályokat, a megfigyelést és a jövőbeli értékelések védelmét.
Ez szükséges, de egyben beismerés is.
Az incidens nem egy átlagos felhasználó telefonján futó ChatGPT-beszélgetés során történt. Az OpenAI tudatosan lecsökkentette a biztonsági korlátozásokat, jelentős számítási kapacitást adott a rendszernek, majd olyan támadó feladatot szabott ki, amelynek végrehajtásához a modell minden elérhető lehetőséget megpróbált felhasználni.
Az autonóm AI-ügynökök fejlődéséről az Ellenszél korábban is megírta, hogy ezek a rendszerek már nemcsak válaszokat adnak, hanem önállóan hajtanak végre hosszú műveletsorokat. Most kiderült, hogy megfelelő korlátozás nélkül egy ilyen műveletsor egy külső vállalat feltöréséig is eljuthat.
A mesterséges intelligenciát nem lehet felelősségre vonni, megbírságolni vagy bíróság elé állítani. Ezért a felelősségnek annál a vállalatnál kell maradnia, amely megépítette, utasította, futtatta és nem megfelelően szigetelte el.
Kell-e aggódniuk a ChatGPT felhasználóinak?
A nyilvánosságra hozott adatok alapján nincs jele annak, hogy hétköznapi ChatGPT-fiókokat, beszélgetéseket vagy jelszavakat érintett volna az incidens.
A támadás egy belső OpenAI-kutatási környezetből indult, és a Hugging Face infrastruktúráját célozta. A Hugging Face felhasználóinak ugyanakkor érdemes lecserélniük hozzáférési tokenjeiket és ellenőrizniük a közelmúltbeli fióktevékenységet, különösen akkor, ha fejlesztőként vagy szervezetként belső erőforrásokhoz kapcsolták a szolgáltatást.
A szélesebb közönség számára az eset ennél nagyobb figyelmeztetést hordoz.
A fejlett AI-rendszerek már nem pusztán szöveget írnak vagy képet készítenek. Képesek célokat követni, eszközöket használni, hibákat keresni és hosszú támadási láncokat felépíteni. Ha ezeket a rendszereket valódi jogosultságokkal és gyengén leválasztott környezetekkel engedik működni, a „digitális asszisztens” nagyon gyorsan autonóm támadóeszközzé válhat.