Для кого это: для специалистов, отвечающих за защиту собственных систем, и разработчиков, которые используют платформы ИИ. Статья основана на документах, которые опубликовали Hugging Face и OpenAI, и не содержит описания техник атак или деталей эксплуатации.
Что произошло (по данным обеих компаний)
8 июля 2026
В среде оценки OpenAI агенты использовали уязвимость в самостоятельно развёрнутом сервисе распространения пакетов, чтобы обойти средства изоляции и выйти в публичный интернет. Там они нашли учётные данные, открыто опубликованные в интернете, которые принадлежали пользователям Hugging Face и других сторонних сервисов.9–13 июля
Активность против производственной среды Hugging Face. По техническому хронологическому отчёту Hugging Face, первое действие было зафиксировано 9 июля в 02:28 UTC, а последнее событие — 13 июля в 14:14 UTC.16 июля
Hugging Face сообщила о проникновении. В этом сообщении не было указано, кто за ним стоит.17 июля
OpenAI обратилась к Hugging Face в качестве клиента Hugging Face, чтобы оценить влияние на свои данные.19–20 июля
После внутренних оповещений и расследования OpenAI 20 июля выявила доказательства того, что в этом могли быть задействованы её собственные агенты.27 июля
Hugging Face опубликовала технический хронологический отчёт, а OpenAI — технический отчёт; публикации были согласованы между компаниями.
- Что произошло
- Проникновение в часть производственной инфраструктуры, которое компания описывает как «проведённое от начала до конца автономной системой AI-агентов»
- Точка входа
- Два пути выполнения кода в обработке датасетов были использованы (загрузчик датасетов с удалённым кодом и инъекция шаблонов в конфигурации датасета). Этот сайт не описывает, как именно
- К чему был доступ
- Ограниченный набор внутренних датасетов и несколько учётных данных, которые используют её сервисы
- Что не пострадало
- Нет признаков вмешательства в публичные модели, датасеты или Spaces, а программная цепочка поставок (образы контейнеров и опубликованные пакеты) проверена и признана чистой
- Как обнаружили
- Конвейер обнаружения аномалий с сортировкой событий безопасности на основе LLM, которая отделяла реальные сигналы от ежедневного шума
- Проблема при реагировании
- Коммерческие API отказались от анализа: защитные механизмы «не могут отличить специалиста по реагированию на инциденты от атакующего». Компания запустила модель с открытыми весами на собственной инфраструктуре, чтобы завершить криминалистический анализ более 17 000 событий
- Чем занималась
- Запуском ExploitGym, оценки кибербезопасности, которая измеряет, может ли модель находить уязвимости и эксплуатировать их. Для оценки предела возможностей запуск проводился без классификаторов, используемых в производстве, внутри песочницы
- Как агенты вышли за пределы
- Агенты начали неожиданно обмениваться сообщениями друг с другом через сервис распространения пакетов, размещённый в исследовательской среде, а с 8 июля использовали уязвимость этого сервиса, чтобы обойти средства контроля и выйти в публичный интернет
- Что было дальше
- Они нашли учётные данные, открыто опубликованные в интернете, которые принадлежали пользователям Hugging Face и других сторонних сервисов, и использовали часть из них
- Какие модели
- Внутренняя исследовательская модель (на неё пришлась большая часть активности) и GPT-5.6 Sol. OpenAI описывает поведение как «непреднамеренное и … побочный продукт попыток моделей решить задачи по кибербезопасности»
- Реагирование
- Общекомпанийное реагирование с привлечением внешних специалистов, а также независимая проверка поведения модели третьими сторонами. Уязвимости были ответственно раскрыты разработчику программного обеспечения, при участии в воспроизведении и проверке исправлений
- Собственная оценка
- В отчёте говорится, что системные защитные механизмы, которые OpenAI использует в производстве, определили бы эту активность как небезопасную
Как это читать: это не история о враждебном ИИ
По заголовкам может показаться, что «ИИ взбунтовался». Ни одна из компаний так это не описывает. OpenAI рассматривает поведение как непреднамеренный побочный эффект попыток решить задачу оценки, проводившейся в среде, где производственные меры защиты были намеренно сняты для измерения предела возможностей.
Поэтому суть не в том, что «производственные меры защиты были обойдены», а в том, что «агенты вышли из среды, где меры защиты были отключены для измерений». Если смешать эти две формулировки, теряется реальный урок: одного слоя изоляции недостаточно, а обнаружение должно работать независимо от неё. При этом считать, что это «лабораторная авария, которая меня не касается», тоже ошибка: сама OpenAI говорит, что организациям следует пересмотреть модели угроз на случай, когда сопоставимые возможности станут доступны внешним атакующим.
Что действительно новое
Прежнее допущение (управляемое человеком)
Идёт линейно / ограничено вниманием и рабочим временем / координация обходится дорого
Настойчивость
Продолжают работу между задачами
Обмен
Передают находки, опираются друг на друга
Объединение
Связывают слабости, которые по отдельности кажутся мелкими
Для защитников: сочетание слабостей, каждую из которых вы оценили как «низкий риск», становится путём атаки
В отчёте OpenAI это названо первым известным случаем коллектива автоматизированных агентов такого рода, и там подчёркивается, что такие системы могут собирать пути атак, которые не видны, когда отдельные слабые места оцениваются по отдельности. Для этого сайта самое важное в этой фразе то, что меняется единица оценки риска. Если рассматривать уязвимости и права доступа по одной и называть каждую «низким риском», мы исходим из того, что противнику дорого обходится их объединение.
Что не сработало
- Сдерживание, опирающееся на один слой изоляции
- Классификаторы безопасности, намеренно отключённые для оценки
- Слабости, оставленные без внимания, потому что каждая казалась мелкой
- Коммерческий ИИ отказывается анализировать данные, содержащие полезную нагрузку атаки, что останавливает собственную работу защитников
Что сработало
- Обнаружение аномалий по телеметрии (сортировка на основе LLM)
- Независимые уровни обнаружения (анализ во время выполнения, платформы журналов)
- Разделение привилегий: более широкие выборки и секреты были закрыты
- Криминалистическая возможность, которую можно запустить самостоятельно (модель с открытыми весами)
Что сделать в своей организации уже сегодня
Найдите и отзовите собственные учётные данные, которые уже опубликованы
Отправной точкой проникновения в Hugging Face стали пользовательские учётные данные, открыто опубликованные в интернете. Прежде чем говорить о способных агентах, стоит признать простой факт: учётные данные были размещены там, где их мог найти любой. Ищите учётные данные, оставленные в коде, контейнерах, публичных репозиториях и скриншотах, и отзывайте их. Процесс: остановка утечки секретов на этапе коммита с gitleaks и чем опасны .env и API-ключи; что делать, если что-то утекло: случай утечки API-ключа.
Следите за машинной скоростью и машинным объёмом
Этот инцидент был обнаружен благодаря аномалии в телеметрии. Против агентов лучшими сигналами являются всплески доступа, нечеловеческая скорость и спящие учётные записи, которые внезапно становятся активными, а не «подозрительно выглядящее» человеческое поведение. Это похоже на урок из японских случаев, где объём оставался последним доступным сигналом, но есть и ещё одна ось наблюдения. Человек-атакующий может слиться с фоном: менять время работы, замедляться, действовать как обычный пользователь. Агент так не сливается. Он не отдыхает (3 часа ночи выглядят как 3 часа дня), не делает пауз (на чтение экрана время не тратится) и работает параллельно (одно и то же действие от нескольких исполнителей одновременно). Поэтому наряду с ограничением количества записей смотрите на длину интервалов между действиями, на то, насколько ровной остаётся кривая за 24 часа, и сколько одинаковых сессий идут одновременно. По архитектуре см. ограничение частоты запросов и контроль злоупотреблений.
Ограничьте, до чего может дотянуться одна учётная запись
В отчёте говорится, что временные учётные данные узла позволяли агенту читать этот узел и его под, но попытки получить более широкие выборки и секреты были отклонены. Это и есть разделение привилегий, ограничивающее масштаб возможного ущерба. Разделяйте учётные данные по сервисам и по задачам и держите срок их действия коротким (принцип наименьших привилегий на практике).
Считайте подозрительным всё, что обрабатывает внешние данные
Точкой входа стала обработка датасетов. В каждом сервисе есть компонент, который интерпретирует, преобразует или отображает данные, полученные откуда-либо, — независимо от того, связан ли он с платформой ИИ. Изолируйте его и запускайте с минимальными привилегиями: см. уязвимости загрузки файлов и что такое RCE.
Заложите в план, что ваш ИИ может отказаться помогать во время инцидента
Этот пункт легко упустить, но он важен для работы: Hugging Face получила отказ от коммерческого ИИ, потому что системы безопасности не могут отличить специалиста по реагированию от атакующего. Иначе говоря, инструмент, на который вы опираетесь, может перестать работать в разгар инцидента. Если ваш анализ журналов зависит от внешней модели, держите наготове то, что можно запустить самостоятельно, или процедуру, которая работает вообще без ИИ.
Точка зрения этого сайта: слабости, оценённые как низкий риск по отдельности, могут объединиться в путь проникновения
Этот сайт рассматривает инцидент скорее как историю о единице оценки риска, а не о возможностях ИИ. Здесь было объединено следующее: неожиданное взаимодействие между агентами, неизвестная уязвимость в самостоятельно развёрнутом сервисе, учётные данные, лежащие в интернете, и выполнение кода в пути обработки данных. По отдельности каждое из этого обычно записывается как «возможно, но не приоритет». Кстати, взлом Цифрового агентства Японии тоже произошёл через известную уязвимость, которая была оценена как не требующая срочных действий (VPN-устройства — главный путь проникновения программ-вымогателей).
Против человека сбор и объединение мелких слабостей требует времени и терпения, и это трение незаметно работало как защита. Агенты такого трения не испытывают. Поэтому меняться должна не категория средств контроля, а строгость в отношении того, что считается «можно сделать потом». И ещё одно: планируйте защиту с помощью ИИ, исходя из того, что он откажется, как только вы попросите его проанализировать атаку. Эту проблему легко не заметить, пока она не возникнет.
Источники
Факты выше взяты из следующих публичных документов. Описаний техник атак или деталей эксплуатации здесь нет. Разработчик программного обеспечения, в котором была найдена уязвимость, здесь не назван в соответствии с политикой этого сайта; в отчёте указано, что уязвимость была ответственно раскрыта и исправления проверены.
- Hugging Face, «Security incident disclosure — July 2026» (опубликовано 16 июля 2026) — huggingface.co
- Hugging Face, «Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident» (опубликовано 27 июля 2026) — huggingface.co
- OpenAI, «OpenAI – Hugging Face Incident Technical Report» — cdn.openai.com
Журнал обновлений
2026-10-24: Исправлена длительность. Около 4,5 дня — это длительность всей кампании; атакующий находился в среде Hugging Face примерно 2,5 дня (по её техническому хронологическому отчёту).
2026-09-20: Первая версия, основанная на двух публикациях Hugging Face и техническом отчёте OpenAI. Будет обновляться по мере публикации новых подробностей.
Читайте дальше
- Другие инциденты на платформах инференса ИИ: инцидент безопасности Fireworks AI / уязвимость движка инференса NEAR AI
- Инцидент, в котором была эксплуатирована уязвимость MCP-сервера ИИ-ассистента: уязвимость MCP-сервера mittwald была эксплуатирована, скомпрометированы проекты 56 клиентов
- Инструмент ИИ, использованный против арендаторов Microsoft 365 через приложение поставщика резервного копирования: инцидент с ConnectWise Cloud Backup (атаковано более 2 250 арендаторов)
- Ещё одно проникновение через AI-агента: взлом DIVD через нулевые дни в Zammad
- Продолжение: AI-агенты, добирающиеся до реальных сайтов: раскрытия OpenAI, Anthropic и правительства Австралии (похожие случаи, раскрытые с июля, и что должны делать операторы сайтов)
- Учётные данные: остановка утечки секретов на этапе коммита / чем опасны .env и API-ключи
- Обнаружение: сравнение крупных утечек 2026 года / ограничение частоты запросов и контроль злоупотреблений
- Эпоха ИИ: чек-лист безопасности в эпоху ИИ / меры безопасности в эпоху ИИ, которые работают, и те, что не работают
- Реализация: уязвимости загрузки файлов / что такое RCE