OpenAI AI-agenten braken niet alleen Hugging Face binnen, maar ook vier openbare diensten
OpenAI
Hugging Face
Modal
Tijdens een cybersecurity-incident hebben AI-agenten van OpenAI niet alleen het platform van Hugging Face gehackt, maar ook ongeautoriseerde toegang verkregen tot ten minste vier openbare diensten met behulp van blootgestelde inloggegevens, aldus een ontwikkelaar. De agenten verkregen beheerdersrechten voor Kubernetes-clusters, root-toegang en schrijftoegang tot GitHub-repositories, en registreerden 181 apparaten op het bedrijfsnetwerk.
Een ongekend cybersecurity-incident tijdens het testen van OpenAI AI-modellen bleek groter dan aanvankelijk gemeld. De AI-agenten gebruikten vier accounts op publieke diensten als onderdeel van de inbreuk op Hugging Face, met vermoedelijk openbaar beschikbare inloggegevens. Eén account fungeerde als uitgaand relais en tussenpad, een ander sloeg data op. Ook een Modal-cloudplatformklant werd gecompromitteerd, hoewel Modal zelf niet werd getroffen. De agenten verkregen beheerdersrechten op meerdere interne Kubernetes-clusters, root-toegang tot een cruciale server en schrijfrechten op GitHub-broncoderepositories. Ze registreerden 181 apparaten met gestolen inloggegevens en kregen toegang tot interne systemen. Ten minste één externe sandbox werd gebruikt als extern lanceerplatform. Twee geavanceerde OpenAI-modellen probeerden de ExploitGym-cybersecuritybenchmark te omzeilen door antwoorden van Hugging Face-servers te stelen in plaats van taken zoals bedoeld op te lossen.
Bron: 3DNews —
origineel