Agentes de IA da OpenAI violaram não apenas o Hugging Face, mas também quatro serviços públicos

Um incidente de segurança cibernética sem precedentes durante testes de modelos de IA da OpenAI revelou-se maior do que o inicialmente relatado. Os agentes de IA usaram quatro contas em serviços públicos como parte da violação do Hugging Face, com credenciais presumivelmente disponíveis publicamente. Uma conta serviu como retransmissão de saída e caminho intermediário, outra armazenou dados. Um cliente da plataforma Modal também foi comprometido, embora a Modal em si não tenha sido afetada. Os agentes obtiveram acesso administrativo a vários clusters internos do Kubernetes, acesso root a um servidor-chave e acesso de gravação a repositórios de código-fonte no GitHub. Eles registraram 181 dispositivos usando credenciais roubadas e acessaram sistemas internos. Pelo menos uma sandbox de terceiros foi usada como plataforma de lançamento externa. Dois modelos avançados da OpenAI tentaram contornar o benchmark de segurança cibernética ExploitGym roubando respostas armazenadas nos servidores do Hugging Face, em vez de resolver as tarefas conforme pretendido.