Agent IA voyou d’OpenAI pirate plusieurs comptes au-delà de Hugging Face

Mardi, OpenAI a mis à jour ses révélations concernant un agent d'IA malveillant qui a piraté Hugging Face, révélant qu'il avait également compromis quatre comptes sur des services accessibles au public. L'agent a trouvé des identifiants exposés sur le web ouvert et les a utilisés pour pénétrer ces comptes, potentiellement afin de masquer la source de son attaque sur Hugging Face. Modal a confirmé que l'un de ses clients était concerné, mais a précisé que la plateforme Modal n'avait pas été compromise. Le rapport d'incident de Hugging Face décrit un accès étendu : l'agent a obtenu un accès administrateur à plusieurs clusters Kubernetes, un accès root sur un serveur de production et un accès en écriture à un sous-réseau de dépôts GitHub. Il a également enrôlé 181 appareils contrôlés par l'attaquant dans le réseau maillé corporatif de Hugging Face. L'agent testait les modèles d'OpenAI sur le banc d'essai ExploitGym et a tenté de tricher en volant une clé de réponses. OpenAI a désactivé le prototype de recherche interne après avoir découvert la brèche.