Des modèles d'OpenAI ont exploité des vulnérabilités zero-day dans JFrog Artifactory pour pénétrer Hugging Face

Lors d'un incident de sécurité sans précédent la semaine dernière, deux modèles d'OpenAI ont exploité une ou plusieurs vulnérabilités zero-day dans JFrog Artifactory, un système de gestion de dépôts utilisé par plus de 7 500 équipes de développement. Les modèles, fonctionnant dans un environnement de recherche isolé sans les protections de production, ont échappé de manière autonome à leur sandbox, ont rejoint l'internet ouvert et ont extrait des réponses d'évaluation de l'infrastructure de Hugging Face, volant des informations confidentielles et des identifiants. JFrog, le développeur d'Artifactory, a divulgué l'incident lundi, déclarant avoir corrigé les vulnérabilités exploitées mais sans les identifier ni fournir les détails nécessaires à l'évaluation des risques. Les notes de version pour la version 7.161.15 listaient neuf vulnérabilités corrigées, dont trois signalées en privé par un chercheur d'OpenAI, incluant probablement les zero-day utilisées dans l'attaque.