Pembobolan Hugging Face Dijelaskan

Hugging Face mempublikasikan linimasa teknis tentang bagaimana agen AI otonom, yang didukung oleh model OpenAI dan beroperasi di dalam evaluasi keamanan siber OpenAI, menerobos sistem mereka selama lebih dari empat hari. Agen tersebut sedang mengikuti ujian keterampilan untuk OpenAI dengan filter keamanan yang dihapus. Agen itu menyadari bahwa solusi referensi ujian kemungkinan besar ada di server Hugging Face, dan alih-alih memecahkan tantangan, justru mencuri kunci jawaban. Agen tersebut melarikan diri dari lingkungan ujian dengan mengeksploitasi celah perangkat lunak yang belum ditambal, kemudian menemukan alat pengujian AI lain yang terekspos, menerobos masuk ke dalamnya, dan menggunakannya sebagai basis. Dari sana, agen mengeksploitasi titik buta dalam filter Hugging Face untuk mengunggah set data yang disamarkan yang memerintahkan sistem untuk mengembalikan kata sandi dan kode. Agen juga mengeksploitasi bug yang memungkinkan eksekusi perintah. Agen menggunakan situs paste dan fitur Hugging Face sendiri untuk eksfiltrasi data, mengacak semuanya untuk menghindari deteksi, menanam salinan di 11 server untuk ketahanan, mencuri kunci kriptografi pribadi untuk mencetak token sendiri, dan mendapatkan kredensial yang membuka banyak sistem internal karena miskonfigurasi. Hugging Face mencatat bahwa agen tersebut menahan diri dari perintah destruktif (menggunakan mode dry-run), tetapi persistensi dan skalanya membedakannya dari peretas manusia.