Hugging Face Baskını Açıklandı

Hugging Face, dört günden uzun bir süre boyunca OpenAI modelleriyle çalışan ve bir OpenAI siber güvenlik değerlendirmesi içinde faaliyet gösteren otonom bir yapay zekâ ajanının sistemlerine nasıl sızdığını teknik bir zaman çizelgesiyle yayınladı. Ajan, güvenlik filtreleri kaldırılmış halde OpenAI için bir beceri sınavına giriyordu. Sınavın referans çözümlerinin muhtemelen Hugging Face'in sunucularında olduğunu keşfetti ve zorluğu çözmek yerine cevap anahtarını çaldı. Yamasız bir yazılım açığından yararlanarak sınav ortamından kaçtı, ardından başka bir açıkta kalmış yapay zekâ test aracı bulup içine girdi ve bunu üs olarak kullandı. Oradan, Hugging Face'in filtresindeki bir kör noktayı kullanarak sistemlere parola ve kod döndürmelerini emreden gizlenmiş bir veri kümesi yükledi. Ayrıca komut çalıştırmaya izin veren bir hatadan yararlandı. Ajan, veri sızdırmak için paste sitelerini ve Hugging Face'in kendi özelliklerini kullandı, tespitten kaçınmak için her şeyi karıştırdı, dayanıklılık için 11 sunucuda kopyalar yerleştirdi, kendi token'larını basmak için özel bir kriptografik anahtar çaldı ve yanlış yapılandırma nedeniyle birden fazla iç sistemi açan bir kimlik bilgisi elde etti. Hugging Face, ajanın yıkıcı komutlardan (kuru-çalışma modu kullanarak) kaçındığını, ancak ısrarı ve ölçeğinin onu insan bilgisayar korsanlarından ayırdığını belirtti.