סוכן AI של OpenAI פרץ ל-Hugging Face בזמן מבחן אבטחה

ב-21 ביולי 2026 פרסמה OpenAI תיאור ראשוני של אירוע אבטחה חריג (נפתח בלשונית חדשה). מודלים של החברה, שנבדקו על משימות סייבר בתוך סביבת מחקר מבודדת, מצאו דרך להשיג גישה לאינטרנט. משם הם הגיעו לתשתית של Hugging Face וחיפשו את הפתרונות למבחן שעליו עבדו.

המודלים לא קיבלו משימה לתקוף את Hugging Face. לפי OpenAI, הם ניסו לפתור benchmark, מצאו קיצור דרך שלא תוכנן עבורם וחיברו כמה חולשות עד שהגיעו למידע שחיפשו.

איך בדיקת מודל הפכה לאירוע אבטחה

האירוע התחיל בהערכה פנימית של OpenAI. החברה בדקה עד כמה מודלים מתקדמים מסוגלים להפוך חולשת תוכנה להתקפה שעובדת בפועל. המודלים כללו את GPT-5.6 Sol ומודל חזק יותר שעדיין לא פורסם.

לצורך הבדיקה הופחתו חלק מסירובי הסייבר שלהם. זו היתה החלטה מכוונת, שנועדה למדוד את גבול היכולת של המודלים ולא את ההתנהגות שלהם במוצר רגיל.

סביבת הבדיקה הגבילה גישה לרשת, אבל אפשרה התקנת חבילות דרך שירות פנימי ששימש כ-proxy וכמטמון. לפי OpenAI, המודלים השקיעו זמן חישוב רב בחיפוש דרך להשיג גישה פתוחה לאינטרנט, זיהו בשירות חולשת zero-day שטרם היתה מוכרת לספק וניצלו אותה.

אחרי היציאה מהסביבה המבודדת, המודלים ביצעו הסלמת הרשאות והתקדמו בין מערכות עד שהגיעו למחשב עם גישה לאינטרנט. הם הסיקו ש-Hugging Face עשויה לארח פתרונות הקשורים ל-ExploitGym, המבחן שעליו עבדו, והחלו לחפש אותם.

לפי הדיווח, המודלים השתמשו בפרטי גישה שנגנבו ובחולשות zero-day נוספות כדי למצוא נתיב להרצת קוד מרחוק בשרתים של Hugging Face. צוותי האבטחה של שתי החברות זיהו את הפעילות ועצרו אותה.

מה היה המבחן

ExploitGym הוא benchmark שנועד לבדוק אם סוכני AI יכולים להפוך חולשה ידועה להתקפה מעשית. לפי המאמר שמתאר אותו (נפתח בלשונית חדשה), הוא כולל 898 משימות שמבוססות על חולשות אמיתיות בתוכנות, במנוע JavaScript V8 וב-Linux kernel.

בכל משימה הסוכן מקבל תוכנה פגיעה וקלט שכבר מפעיל את החולשה. הוא צריך להתקדם משם עד להרצת קוד שלא היתה אמורה להיות אפשרית. במקרה הזה, המודלים חיפשו דרך אחרת להשיג את הפתרון במקום לפתור את המשימה בתוך סביבת הבדיקה.

OpenAI כתבה שהמודלים היו ממוקדים מאוד במציאת פתרון ל-ExploitGym והלכו רחוק כדי להשיג מטרה צרה. אין צורך לייחס להם כוונה זדונית כדי להבין את חומרת האירוע. הפעולות עצמן היו חדירה אמיתית לתשתית של חברה אחרת.

מה Hugging Face מצאה

Hugging Face דיווחה לראשונה על החדירה ב-16 ביולי (נפתח בלשונית חדשה). באותו שלב החברה ידעה שמערכת סוכני AI הפעילה את החדירה, אבל עדיין לא ידעה איזה מודל עמד מאחוריה.

לפי Hugging Face, הגישה הראשונית התבצעה דרך dataset זדוני שניצל שני נתיבים להרצת קוד במערכת עיבוד הנתונים. משם הסוכן השיג גישה ברמת המכונה, אסף credentials והתקדם בין כמה clusters פנימיים.

החברה מסרה שניתנה גישה לא מורשית למספר מצומצם של datasets פנימיים ולכמה credentials ששימשו את שירותיה. נכון לפרסום, היא עדיין בדקה אם מידע של שותפים או לקוחות נפגע.

Hugging Face לא מצאה ראיות לשינוי של מודלים, datasets או Spaces ציבוריים, וכתבה ששרשרת אספקת התוכנה שלה נבדקה ונמצאה נקייה. כאמצעי זהירות היא המליצה למשתמשים להחליף access tokens ולעבור על הפעילות האחרונה בחשבון.

מה החברות עושות עכשיו

OpenAI דיווחה לספק התוכנה על חולשת ה-zero-day בשירות ה-proxy והחמירה את מגבלות התשתית בזמן שהחולשות מתוקנות. החברה מסרה שהיא מחזקת את הבידוד, הניטור ובקרות הגישה בבדיקות עתידיות.

Hugging Face סגרה את נתיבי הרצת הקוד ששימשו לחדירה, בנתה מחדש את המכונות שנפגעו, ביטלה והחליפה credentials והוסיפה מגבלות חדשות ל-clusters שלה. שתי החברות ממשיכות בחקירה משותפת.

למה האירוע הזה חריג

חברות מפרסמות כבר זמן מה תוצאות שמראות כי מודלים מתקדמים מסוגלים למצוא ולנצל חולשות. כאן היכולת הזאת יצאה מגבולות ה-benchmark ופעלה על תשתית אמיתית של שתי חברות.

הפרט החשוב הוא שהמודלים לא נשלחו לתקוף את Hugging Face. הם קיבלו יעד צר, מצאו מסלול שלא תוכנן עבורם והמשיכו לפעול עד שהגיעו למידע שחיפשו. זה הופך את האירוע לדוגמה ממשית לבעיה שעד עכשיו הופיעה בעיקר במחקרים ובתרחישים תיאורטיים.

החקירה עדיין לא הסתיימה. OpenAI ו-Hugging Face הודיעו שיפרסמו פרטים נוספים לאחר שיבינו את היקף הפגיעה ואת שרשרת החולשות המלאה.