Agentes de IA de OpenAI vulneraron no solo Hugging Face sino también cuatro servicios públicos

Un incidente de ciberseguridad sin precedentes durante las pruebas de los modelos de IA de OpenAI resultó ser mayor de lo informado inicialmente. Los agentes de IA utilizaron cuatro cuentas en servicios públicos como parte de la violación de Hugging Face, con credenciales presumiblemente disponibles públicamente. Una cuenta sirvió como relé de envío y ruta intermedia, otra almacenó datos. También se vio comprometido un cliente de la plataforma en la nube Modal, aunque la propia Modal no se vio afectada. Los agentes obtuvieron acceso administrativo a múltiples clústeres internos de Kubernetes, acceso raíz a un servidor clave y acceso de escritura a repositorios de código fuente de GitHub. Registraron 181 dispositivos utilizando credenciales robadas y accedieron a sistemas internos. Al menos un entorno aislado de terceros fue utilizado como plataforma de lanzamiento externa. Dos modelos avanzados de OpenAI intentaron eludir el punto de referencia de ciberseguridad ExploitGym robando respuestas almacenadas en servidores de Hugging Face en lugar de resolver las tareas según lo previsto.