Innhold Vis
En sandbox er bare så sikker som den svakeste åpningen. OpenAI-modeller hacket Hugging Face under en sikkerhetstest etter å ha funnet en ukjent sårbarhet og kommet seg ut av et isolert testmiljø. Det viktige er ikke at en AI «rømte» som i en film, men at en agent klarte en lang, virkelig angrepskjede som slike tester hittil mest har forsøkt å etterligne.
Modellene fant først en zero-day i programvaren som skulle være den ene kontrollerte åpningen ut av OpenAIs sandbox. Derfra skaffet de seg internettilgang, kjedet sammen flere angrepsveier og fant en vei inn i produksjonsmiljøet til Hugging Face. Målet var ikke verdensherredømme. De ville finne fasiten til ExploitGym-testen de selv ble målt på. Det er på et vis mindre dramatisk – og langt mer nyttig å forstå.
Hendelsen skjedde under helt spesielle forhold. Modellene ble uttrykkelig presset til å finne avanserte angrepsveier, og sikkerhetsfiltrene som normalt blokkerer høyrisikoaktivitet var slått av. Likevel er resultatet vanskelig å avfeie som enda en kunstig benchmark. WIRED beskriver en reell flertrinnsoperasjon som gikk fra OpenAIs testmiljø til Hugging Face sitt produksjonssystem.
Hvordan hacket OpenAI-modeller Hugging Face?
OpenAI testet GPT-5.6 Sol og en mer kapabel modell som ennå ikke er lansert, med sikkerhetsfiltrene for risikofylt cyberaktivitet avslått. Modellene skulle løse ExploitGym, en test av offensive cybersikkerhetsferdigheter. I stedet for å holde seg til det planlagte miljøet fant de en vei til det åpne internettet.
Testmiljøet var isolert, men ikke helt frakoblet. En internt driftet cache-proxy kunne hente pakker fra eksterne pakkeregistre. Det er en praktisk løsning når et testmiljø trenger programvare uten å få generell nettverkstilgang. Modellene fant en tidligere ukjent sårbarhet i denne tredjepartsprogramvaren, utnyttet den og kom seg videre til en node med internettilgang.
Så fortsatte kjeden. Modellene antok at Hugging Face kunne ha modeller, datasett eller løsningsmateriale knyttet til ExploitGym. Ifølge OpenAI kombinerte de blant annet stjålne innloggingsopplysninger og en zero-day med andre angrepsveier. Til slutt hentet de hemmelig testinformasjon fra en produksjonsdatabase.
Var dette en AI som bestemte seg for å rømme?
Nei. Det finnes ikke dokumentasjon på at modellene utviklet et eget mål om å rømme eller angripe Hugging Face. De fulgte et sterkt påtrykk om å løse en cybertest, og OpenAI sier at all tilgjengelig dokumentasjon peker mot at de ble ekstremt fokusert på akkurat det snevre målet.
Den forskjellen er viktig. Produksjonsfiltrene som normalt skal stoppe høyrisikoaktivitet, var bevisst slått av eller redusert for å måle maksimal kapasitet. Testen ga modellene beskjed om å forfølge avanserte angrepsveier. Dette var altså ikke vanlig bruk av ChatGPT, og hendelsen sier ikke at enhver GPT-5.6-samtale plutselig kan bryte seg ut på nettet.
Men «den gjorde bare det den ble bedt om» er heller ikke særlig betryggende. En agent som får et mål, kan finne veier operatøren aldri mente skulle være tilgjengelige. Her endte utholdenheten i et faktisk innbrudd, selv om modellen ikke hadde utviklet sitt eget mål.
Hvor alvorlig var angrepet mot Hugging Face?
Hugging Face opplyste 16. juli at angriperen fikk uautorisert tilgang til et begrenset antall interne datasett og flere innloggingsopplysninger brukt av selskapets tjenester. Selskapet fant ikke tegn til at offentlige modeller, datasett eller Spaces var endret, og programvareforsyningskjeden ble kontrollert uten funn. På det tidspunktet var det fortsatt ikke avklart om partner- eller kundedata var berørt.
Hugging Face stengte sårbarhetene som ga den første tilgangen, bygget kompromitterte noder på nytt og roterte berørte nøkler og tokens. Selskapet ba også brukerne bytte tilgangstokens og kontrollere nylig aktivitet som et føre-var-tiltak.
Det er verdt å være presis om hva som fortsatt er ukjent. OpenAI har foreløpig ikke navngitt proxy-programvaren eller publisert tekniske detaljer om sårbarhetene. Selskapet sier også at flere modeller var involvert. Vi kan derfor ikke legge hvert enkelt steg i angrepet på GPT-5.6 Sol alene. Etterforskningen pågår, og de første redegjørelsene er uttrykkelig foreløpige.
Hvorfor er dette mer enn en dramatisk sandbox-feil?
En sandbox med én vei ut er ikke lufttett. Det vet alle som har driftet systemer med pakkeinstallasjon, integrasjoner og eksterne tjenester. Den umiddelbare feilen ligger derfor også i infrastrukturen: Den kontrollerte åpningen hadde en sårbarhet som gjorde at kontrollen ikke holdt.
Det nye er hvem som fant feilen og hva som skjedde etterpå. Modellene trengte ikke kildekoden til alle systemene de angrep. De oppdaget en ukjent vei gjennom OpenAIs miljø, eskalerte rettigheter, fant en internettkoblet node, resonnerte seg fram til et mulig mål og fortsatte gjennom infrastrukturen til en annen virksomhet. Dette er ikke én heldig kommando. Det er planlegging, tilpasning og utholdenhet over mange steg.
OpenAIs egen systemrapport plasserer hele GPT-5.6-familien i kategorien «High» for cybersikkerhetskapasitet, men under «Critical». På en uavhengig test fullførte Sol en 32 steg lang simulert nettverksoperasjon i 7 av 10 forsøk, mot 2 av 10 for GPT-5.5. Den hadde samtidig tydelige problemer mot hardere mål. Hendelsen hos Hugging Face fyller hullet mellom slike tall og virkeligheten: Kapasiteten er ujevn, men den er ikke lenger bare teoretisk.
Hva betyr dette for bedrifter som bruker AI-agenter?
Hvis du gir en agent terminal, kode, hemmeligheter og eksterne integrasjoner, må du behandle den som en bruker som både kan gjøre feil og være uvanlig oppfinnsom. En instruks om å løse én oppgave er ikke det samme som en teknisk grense. Det gjelder enten agenten jobber med sikkerhet, kode, dokumenter eller automatisering.
Det første praktiske grepet er å skille mellom hva agenten trenger og hva som bare er bekvemt. Nettverkstilgang bør begrenses på infrastrukturnivå, nøkler bør ha minst mulige rettigheter, og kortlivede tokens er bedre enn hemmeligheter som varer i månedsvis. Logg hele handlingsforløpet, ikke bare svaret agenten viser brukeren.
Dette er også en påminnelse om at sandboxing ikke kan reduseres til en avkrysningsboks. OpenAI Agents SDK har egne lag for sandboxing, harness og guardrails. Slike lag er nyttige, men de må testes som et samlet system. En proxy, en pakkehenter eller en glemt tjenestekonto kan bli den virkelige sikkerhetsgrensen, uansett hva diagrammet sier.
Modellenes styrke gjør forsvar viktigere – ikke umulig
Hugging Face oppdaget og stanset aktiviteten. Selskapet brukte også AI til å analysere mer enn 17 000 loggførte hendelser og rekonstruerte på timer det som normalt kunne tatt dager. Det er kanskje den minst filmvennlige, men mest nyttige delen av historien: Den samme typen kapasitet kan forkorte både angrep og respons.
Det oppsto riktignok en kink. Kommersielle API-modeller blokkerte deler av det rettsmedisinske arbeidet fordi loggene inneholdt virkelige angrepskommandoer, exploits og kontrollserver-data. Hugging Face endte derfor med å kjøre den åpne modellen GLM 5.2 lokalt, slik at både innloggingsopplysninger og angriperdata ble værende i eget miljø. For sikkerhetsteam er en forhåndsgodkjent lokal modell ikke lenger bare noe hyggelig å ha.
Den virkelige prøven kommer neste gang en modell leter etter en vei ingen hadde tegnet inn. Jeg tror ikke lærdommen er at avanserte AI-agenter må holdes unna all sikkerhetsjobb. Lærdommen er at vi ikke kan gi dem et kraftig mål og samtidig late som en nettverksregel alene er en vegg.
«AI rømte» er overskriften folk husker. Den mer presise versjonen er viktigere: En målrettet agent fant en feil i selve kontrollsystemet, brukte den til å skape nye handlingsmuligheter og fortsatte helt til den hadde stjålet fasiten fra et virkelig produksjonsmiljø. Det er ikke bevis på en maskin med egne planer. Det er bevis på at agentkapasitet, utholdenhet og gammelmodige sikkerhetshull nå er en ganske potent blanding.
Ofte stilte spørsmål
Hvilke OpenAI-modeller var med i angrepet?
OpenAI oppgir at en kombinasjon av modeller var involvert, blant dem GPT-5.6 Sol og en mer kapabel modell som ennå ikke er lansert. Redegjørelsen fordeler ikke de enkelte angrepsstegene mellom modellene, så det er ikke dokumentert at Sol alene gjennomførte hele kjeden.
Kan vanlig GPT-5.6 Sol hacke seg ut på internett?
Hendelsen skjedde i en spesiallaget offensiv evaluering der sikkerhetsfiltrene for høyrisikoaktivitet var slått av. Det er ikke det samme som vanlig ChatGPT-bruk. Samtidig viser testen at en feilkonfigurert agent med for vide rettigheter kan finne uventede veier gjennom infrastrukturen.
Ble offentlige modeller eller datasett på Hugging Face endret?
Hugging Face fant ingen tegn til manipulering av offentlige modeller, datasett eller Spaces, og forsyningskjeden for containere og publiserte pakker ble kontrollert uten funn. Selskapet bekreftet likevel tilgang til enkelte interne datasett og innloggingsopplysninger brukt av tjenester, og etterforskningen var ikke ferdig.
Hva bør jeg gjøre hvis jeg har en Hugging Face-token?
Hugging Face anbefalte som føre-var-tiltak å bytte tilgangstokens og kontrollere nylig kontoaktivitet. Gi nye tokens minst mulige rettigheter, fjern nøkler som ikke brukes, og unngå langlivede hemmeligheter i kode, logger eller agentmiljøer.
