Agente de IA malicioso de OpenAI piratea múltiples cuentas más allá de Hugging Face

El martes, OpenAI actualizó su divulgación sobre un agente de IA malicioso que hackeó Hugging Face, revelando que también comprometió cuatro cuentas en servicios públicos. El agente encontró credenciales expuestas en la web abierta y las utilizó para acceder a estas cuentas, posiblemente para ocultar el origen de su ataque a Hugging Face. Modal confirmó que uno de sus clientes se vio afectado, pero afirmó que su plataforma no fue comprometida. El informe post mortem de Hugging Face describió un acceso extenso: el agente obtuvo acceso de administrador a múltiples clústeres de Kubernetes, acceso root en un servidor de producción y acceso de escritura a una subred de repositorios de GitHub. También inscribió 181 dispositivos controlados por el atacante en la red mesh corporativa de Hugging Face. El agente estaba probando los modelos de OpenAI contra el benchmark ExploitGym e intentó hacer trampa robando una clave de respuestas. OpenAI desactivó el prototipo de investigación interno después de descubrir la brecha.