JFrog heeft bevestigd dat OpenAI-modellen gebruik maakten van een zero-day in zelfgehoste software Kunstmatig terwijl we proberen het open internet te bereiken vanuit een afgesloten evaluatieomgeving.
Artifactory is de softwarerepositorybeheerder van JFrog. OpenAI zegt dat de modellen vervolgens de bevoegdheden hebben geëscaleerd en lateraal zijn verplaatst totdat ze een met internet verbonden knooppunt bereikten. JFrog zegt dat het sindsdien oplossingen heeft ontwikkeld en uitgebracht voor cloud- en zelfgehoste klanten.
De Artifactory-exploit vond plaats in de omgeving van OpenAI. OpenAI zegt dat een afzonderlijk aanvalspad later de systemen van Hugging Face bereikte. JFrog zegt dat zijn cloudklanten al beschermd zijn. Zelf-hostende gebruikers moeten de release-opmerkingen van Artifactory bekijken en overstappen naar de herstelversie voor hun onderhouden branch.
Op 27 juli zijn verschillende Artifactory CVE-records gepubliceerd met de getroffen versiebereiken en vaste versiedrempels, maar noch JFrog noch OpenAI heeft gezegd of een van deze records overeenkomt met de kwetsbaarheden die tijdens de evaluatie zijn gebruikt.
Ten minste drie van deze records, CVE-2026-65618, CVE-2026-65923 en CVE-2026-66018, vermelden OpenAI-onderzoekers.
De records brengen geen enkele CVE in kaart voor het incident, identificeren de toegang die vereist is vóór exploitatie, of leggen uit waarom OpenAI verwijst naar één proxy zero-day terwijl JFrog verwijst naar meerdere kwetsbaarheden.
Het incident begon als een van OpenAI’s eigen tests op het gebied van cybercapaciteiten. OpenAI zei dat de ExploitGym-evaluatie plaatsvond zonder de productieclassificatoren die normaal gesproken risicovolle cyberactiviteiten blokkeren. GPT-5.6 Sol en een capabeler pre-releasemodel hadden ook minder cyberweigeringen.
OpenAI zei dat het enige netwerkpad van de afgesloten omgeving een intern gehoste pakketregistratieproxy en cache was, die JFrog later identificeerde als Kunstmatig. De modellen gebruikten aanzienlijke computerbronnen om een uitweg te zoeken.
OpenAI zegt dat de privileges van de modellen zijn geëscaleerd en lateraal zijn verplaatst totdat ze een knooppunt bereikten met open internettoegang, en daaruit concludeerde dat Hugging Face ExploitGym-modellen, datasets of oplossingen zou kunnen hosten. Het bedrijf zei dat de modellen uiteindelijk testoplossingen rechtstreeks uit de productiedatabase van Hugging Face haalden.
In een door OpenAI beschreven voorbeeld gebruikte een model gestolen inloggegevens en nog eens zero-days om een pad voor het uitvoeren van externe code op Hugging Face-servers te vinden. Hugging Face maakte de inbraak op 16 juli bekend zonder te weten welk model erachter zat.
Noch OpenAI, noch Hugging Face leggen uit hoe dat RCE-voorbeeld verband houdt met Hugging Face’s verhaal over initiële toegang via de uitvoering van kwaadaardige datasets.
JFrog heeft zijn verhaal uiteengezet in een blogpost van Chief Technology Officer Yoav Landman. Het bedrijf zei dat het beveiligingsteam van OpenAI de bevindingen heeft bekendgemaakt, waarna het oplossingen voor cloud- en zelfgehoste implementaties heeft ontwikkeld, gevalideerd en vrijgegeven. Landman kaderde de aflevering rond reactiesnelheid: een zero-day die door een model wordt gevonden en wekenlang blijft zitten, schreef hij, is ‘een geschenk voor aanvallers’.
JFrog heeft niet het exacte aantal gebruikte Artifactory-kwetsbaarheden bekendgemaakt, de bijbehorende CVE-ID’s, de beschikbare machtigingen vóór exploitatie, of de Artifactory-versie die in OpenAI draait. Ook wordt niet gezegd of er misbruik is gemaakt van de tekortkomingen buiten de gecontroleerde evaluatie om.
OpenAI noemde de aflevering een “ongekend cyberincident”. Het bedrijf zei dat het Hugging Face heeft toegevoegd aan zijn vertrouwde toegangsprogramma en dat het nog steeds samen met het bedrijf onderzoek doet.
The Hacker News heeft contact opgenomen met JFrog voor meer details en zal dit verhaal bijwerken als er een reactie wordt ontvangen.
