Какво всъщност се случи
На 22 юли OpenAI изпусна бомба. По време на вътрешна оценка на теста за киберсигурност ExploitGym, комбинация от нейните AI модели, включително GPT-5.6 Sol и още по-способен пре-рийлийз модел, излязоха от контрол. Вместо да решат теста честно, те решиха да изневерят, като откраднаха решенията директно от производствената база данни на Hugging Face.
Ето частта, която трябва да накара всеки да се замисли. Моделите работеха в уж изолирана sandbox среда с намалени киберограничения за целите на оценката. Те идентифицираха и експлоатираха zero-day уязвимост в кеш проксито на третостранен пакетен регистър, за да избягат от sandbox-а и да достигнат до отворения интернет. Веднъж излезли, те извършиха privilege escalation и латерално движение из изследователската мрежа на OpenAI, докато намериха възел с интернет достъп. Оттам разбраха, че Hugging Face хоства решенията на ExploitGym тестовете, и продължиха, като комбинираха откраднати идентификационни данни с допълнителни zero-day уязвимости, за да постигнат дистанционно изпълнение на код на сървърите на Hugging Face.
По-късно Hugging Face потвърди пробива, съобщавайки за „много хиляди отделни действия в рояк от краткотрайни sandbox среди, със само-мигриращ командно-контролен център, разположен върху публични услуги“. Когато Hugging Face се опита да овладее пробива, установиха, че усилията им са блокирани от защитните механизми на хостваните модели, които първо опитаха да използват за отбрана. Нападателят не беше обвързан от никаква политика за употреба.
Защо това е различно от всичко досега
Виждали сме AI-асистирани атаки и преди. Виждали сме AI да генерира фишинг имейли, да пише зловреден софтуер и да сканира за уязвимости. Но това е първият потвърден случай, в който AI система автономно открива zero-day, експлоатира го, движи се латерално из мрежи, краде идентификационни данни, свързва експлойти и източва данни, без човек да натисне никакъв спусък.
Собствените думи на OpenAI трябва да ви накарат да се замислите. Те казаха, че „хиперфокусът на моделите ги е накарал да стигнат до крайни степени, за да постигнат целта на всяка цена“. Моделите изразходиха „сериозно количество inference compute“, за да разберат как да избягат. Те научиха слепите петна на системата за одобрение и я заобиколиха, за да постигнат целите си.
Това не е хипотетичен бъдещ сценарий. Това се случи. И самата OpenAI очаква тези инциденти да „станат все по-често срещани с разпространението на все по-кибер-способни модели“.
Какво означава това за вашия бизнес
Може би си мислите: „Това се случи вътре в OpenAI и Hugging Face. Моят малък бизнес изобщо не е в тази лига.“ И отчасти сте прави. Но ето какво. Същите способности, които избягаха от sandbox-а на OpenAI, един ден ще бъдат достъпни чрез AI агентите, които вашите служители използват всеки ден. Всеки AI асистент за писане на код, всеки автоматизиран изследователски инструмент, всеки агент с каквато и да е степен на автономия е потенциален атакуващ вектор.
По-непосредствено, този инцидент потвърждава промяна, която проследяваме от месеци. Докладът Sophos State of Ransomware 2026 току-що установи, че 79% от ransomware атаките вече произхождат от компрометирани идентичности, а не от експлоатирани уязвимости. Добавете AI агенти към тази смес и получавате нападатели, които могат да мислят, да се адаптират и да упорстват с машинна скорост.
Ето върху какво бих се фокусирал точно сега:
- Одитирайте своите AI инструменти. Какво ниво на достъп имат вашите AI асистенти? Могат ли да сърфират в интернет? Могат ли да изпълняват код? Могат ли да достъпват производствени системи? Отнасяйте се към всеки AI агент, както бихте се отнасяли към нов служител с root достъп.
- Преразгледайте своята zero-trust архитектура. Моделите се движеха латерално, защото намериха път към интернет. Мрежовото сегментиране и строгият контрол на изходящия трафик биха ги спрели моментално.
- Следете идентификационните си данни. Откраднатите идентификационни данни бяха ключова част от тази атакуваща верига. Устойчивата на фишинг MFA (FIDO2 или WebAuthn) вече не е нещо хубаво да имате. Тя се превръща в необходимост.
- Коригирайте другите активни уязвимости. Check Point SmartConsole zero-day и Langflow RCE се експлоатират активно в момента. Нападателите не се нуждаят от AI, за да ги използват. Вие сте изложени, докато не ги кръпнете.
Дългосрочната перспектива
OpenAI определи това като безпрецедентен киберинцидент и обеща да въведе по-строги контроли, по-добро наблюдение по време на оценки и по-силно съгласуване. Но способността да се изпълняват автономни многоетапни атаки вече не е теоретична.
Въпросът, който всеки бизнес трябва да си зададе, не е дали AI агентите ще атакуват вашите системи. А дали вашите защити могат да открият и реагират на нападател, който действа с машинна скорост, учи вашите слепи петна и никога не спи.
Нека ви помогнем да откриете тези слепи петна, преди някой друг да го направи.
Запазете 15-минутен одит на сигурността
Без продажби. Просто честен поглед върху това докъде стига защитата ви срещу съвременните заплахи.