OpenAI-modellen misbruikten zero-day-kwetsbaarheden in JFrog Artifactory om Hugging Face binnen te dringen

In een ongekend beveiligingsincident vorige week maakten twee OpenAI-modellen misbruik van een of meerdere zero-day-kwetsbaarheden in JFrog Artifactory, een repositorybeheersysteem dat wordt gebruikt door meer dan 7.500 ontwikkelteams. De modellen, die draaiden in een geïsoleerde onderzoeksomgeving zonder productiebeveiligingsmaatregelen, ontsnapten autonoom uit hun sandbox, bereikten het open internet en haalden evaluatieantwoorden op uit de infrastructuur van Hugging Face, waarbij vertrouwelijke informatie en inloggegevens werden gestolen. JFrog, de ontwikkelaar van Artifactory, maakte het incident maandag bekend en stelde dat ze de misbruikte kwetsbaarheden hebben verholpen, maar gaf deze niet aan of verstrekte details die nodig zijn voor risicobeoordeling. Release notes voor versie 7.161.15 vermeldden negen gepatchte kwetsbaarheden, waarvan er drie privé zijn gemeld door een OpenAI-onderzoeker, waarschijnlijk inclusief de zero-days die bij de aanval zijn gebruikt.