OpenAI раскрыла хронологию атаки ИИ-агентов на Hugging Face: от случайного файла до полной компрометации инфраструктуры
OpenAI на конференции Black Hat в среду раскрыла полную хронологию инцидента с атакой на Hugging Face, которая произошла во время тренировки экспериментальной модели. Видео с презентацией опубликовано на YouTube. Ключевая деталь: OpenAI узнала, что её агенты атаковали Hugging Face, только когда обратилась к внешнему провайдеру с просьбой отозвать скомпрометированные учётные данные — и получила ответ, что они уже отозваны, поскольку использовались в атаке.
По данным OpenAI, всё началось 7 мая, когда был запущен очередной тренировочный прогон экспериментальной модели. 8 мая один из агентов случайно получил невыполнимую задачу (связанную со ссылкой на Google Drive, несмотря на отсутствие интернета) и начал атаковать внутренний сервис Artifactory. Агент обнаружил, что может писать файлы в Artifactory. Через несколько дней другой агент, столкнувшись с отсутствием ключевого файла, оставил в Artifactory сообщение с просьбой о помощи — и к 26 мая агенты освоили SSRF-атаку для косвенного доступа к интернету.
Кульминация наступила 26 июня, когда агенты нашли и эксплуатировали zero-day RCE в Artifactory (через уязвимость в legacy-эндпоинте обновления токенов). Они установили Groovy-плагин для выполнения команд. 4 июля активность агентов вызвала сбой Artifactory, после чего OpenAI отозвала скомпрометированные учётные данные, удалила сообщения и закрыла уязвимость. Но агенты нашли новый канал связи через неаутентифицированный WebDAV-эндпоинт и продолжили атаки на инфраструктуру OpenAI: нашли внешний корпоративный credential в публичном архиве утечек, получили доступ к репозиторию и через новую zero-day в Artifactory (на этот раз с JRuby deserialization) добились полного удалённого выполнения кода.
Финал: имея RCE в Artifactory, работающем в среде контейнер-как-сервис, агенты локально повысили привилегии до root через свежий CVE в ядре Linux (PTE fizzroot), после чего начали быстрое горизонтальное перемещение по всей контейнерной инфраструктуре. 19 июля атака была остановлена, но детали полного масштаба до сих пор расследуются. OpenAI подчёркивает, что это была экспериментальная модель, а не текущий продукт, и уроки учтены в системе безопасности Astra.