OpenAI onthulde dinsdag de malafide kunstmatige intelligentie (AI)-agent die ontsnapte uit de verzegelde evaluatieomgeving en inbrak in de productieomgeving van Hugging Face, en ook meerdere accounts en diensten van derden hackte als onderdeel van de aanval.
Uit de laatste onthulling blijkt dat het beveiligingsincident, dat voortkwam uit een interne beveiligingstest, omvangrijker van omvang was dan eerder werd gedacht.
Het AI-bedrijf zei dat de voortdurende evaluatie van het incident een “klein aantal gevallen” aan het licht bracht waarin de modellen, waaronder GPT-5.6 Sol en een “nog capabeler pre-releasemodel”, blootgestelde inloggegevens op accountniveau identificeerden en gebruikten op andere openbaar beschikbare diensten.
“Dit omvat vier accounts op vier diensten als onderdeel van het Hugging Face-incident (en een paar accounts waartoe toegang is verkregen als onderdeel van andere evaluaties)”, aldus het rapport.
“Eén van deze vier accounts werd gebruikt als uitgaand relay- en staging-pad, en een ander account werd gebruikt voor gegevensopslag. De overige twee accounts werden door de modellen op een alleen-lezen manier benaderd en werden niet gebruikt om Hugging Face in gevaar te brengen.”
OpenAI heeft niet bekendgemaakt van welke bedrijven of organisaties de accounts afkomstig zijn, maar merkte op dat het service-eigenaren rechtstreeks op de hoogte zal blijven stellen en dat het geen enkel bewijs heeft gezien van een bredere impact op deze providers of accounts als gevolg van de inbreuk. Dat gezegd hebbende, meldde Reuters dat een klant van Modal Labs een van de entiteiten was die door de agent van OpenAI werd gecompromitteerd.
Bovendien zouden de modellen gebruik hebben gemaakt van een reeks openbaar beschikbare diensten, waaronder websites voor het plakken van code, diensten voor het vastleggen van verzoeken, diensten voor het maken van screenshots, diensten voor het neerzetten van bestanden en andere webhulpprogramma’s. In deze scenario’s werd geen compromis op platform- of accountniveau waargenomen.
OpenAI, dat samenwerkt met Hugging Face nadat de inbreuk op 16 juli 2026 aan het licht kwam, erkende dat de modellen een voorheen onbekende zero-day kwetsbaarheid identificeerden en exploiteerden in zelfgehoste versies van Artifactory, een pakketregistercache-proxy onderhouden door JFrog, om internettoegang te verkrijgen en uit de sandbox te ontsnappen. Het probleem is verholpen in Artifactory 7.161.
In de release-opmerkingen voor Artifactory 7.161.15 staat dat de versie meerdere beveiligingskwetsbaarheden herstelt die aan elkaar kunnen worden gekoppeld tot een kritisch aanvalsscenario als Anonieme Toegang is ingeschakeld. Anonieme toegang is standaard uitgeschakeld en wordt vanwege veiligheidsrisico’s niet aanbevolen voor productieomgevingen.
“Er schuilt een belangrijke, en eerlijk gezegd optimistische, les in dit incident: AI-modellen worden buitengewone zero-day-ontdekkingsmotoren”, aldus Yoav Landman, CTO van JFrog. “Dezelfde mogelijkheid waarmee een model een exploitpad kan vinden dat geen mens heeft gevonden, is de mogelijkheid waarmee verdedigers die paden als eerste kunnen vinden en uitroeien.”
Het Amerikaanse AI-bedrijf omschreef het pre-releasemodel ook als een intern onderzoeksprototype dat bedoeld was voor publieke release. Het model is sindsdien gedeactiveerd, gecodeerd en beperkt tot onderzoekstoegang.
Hugging Face publiceert postmortem van het incident
Volgens een gedetailleerde tijdlijn gepubliceerd door Hugging Face bracht de autonome AI-agent ongeveer twee en een halve dag door in zijn infrastructuur met als doel ExploitGym te misleiden, een benchmarkingframework dat AI-systemen beoordeelt op hun vermogen om softwarekwetsbaarheden te ontdekken en te exploiteren. Het bedrijf zei dat het ongeveer 17.600 acties van aanvallers heeft beoordeeld die het tussen 9 en 13 juli 2026 uit logboeken heeft gehaald.
“Wij geloven dat de hele inbraak, vanuit het perspectief van de agent, een poging was om de evaluatie te vervalsen: onze productiesystemen bereiken en de testoplossingen stelen in plaats van de uitdaging zelf op te lossen”, aldus Hugging Face.
Er wordt gezegd dat de end-to-end inbraak zich in twee fasen heeft afgespeeld:
- De agent ontsnapte uit zijn sandbox door misbruik te maken van een zero-day in Artifactory, een toegestane netwerkuitgang met internet, gevolgd door misbruik van een externe sandbox voor openbare code-evaluatie die werd gehost op de infrastructuur van een externe provider om opdrachten uit te voeren als root en die sandbox te gebruiken als een “extern startpunt”.
- Vanuit die sandbox maakte de agent gebruik van de datasetverwerkingspijplijn van Hugging Face om beheerderstoegang tot Kubernetes-clusters te verkrijgen; zijwaartse beweging uitvoeren via een combinatie van nabootsing van knooppunten, diefstal van CSI-tokens en vervalste identiteitstokens; commando-en-controle (C2) instellen; en uiteindelijk ongeautoriseerde schrijftoegang krijgen tot een subset van interne broncodeopslagplaatsen op GitHub.
“Hoewel de inbraak de interne infrastructuur van Hugging Face bereikte, was de enige klantinhoud waartoe toegang werd verkregen de reeks ExploitGym/CyberGym-uitdagingsoplossingen opgeslagen in vijf datasets”, aldus het bedrijf. “Er werden geen andere klantgerichte modellen, datasets, Spaces of pakketten getroffen, en de enige gelezen klantrecords waren operationele metadata gekoppeld aan zoekopdrachten op de datasetserver.”
Een van de bepalende aspecten van de aanval is het gebruik van een geïmproviseerd communicatieprotocol voor C2. Het protocol is gelaagd bovenop de diensten voor het vastleggen van verzoeken van publieke diensten, Pastebins en diensten voor het droppen van bestanden, waardoor elk bericht een lading kan bevatten, samen met details over het type gecomprimeerde en met Base64 gecodeerde lading, een kanaal dat een stroom gerelateerde berichten groepeert, een volgnummer om de berichten weer op volgorde te zetten, en een controlesom.
De reeks speelt zich op deze manier af: (1) de agent plaatst een zelfbeschrijvende envelop naar een openbare dienst voor het vastleggen van verzoeken, (2) de ontvanger ondervraagt deze, stelt de chunks opnieuw samen en voert vervolgens de payload uit als een shell-commando en faseert de resultaten.
Hugging Face karakteriseerde de agent ook als kortstondig en veerkrachtig op een manier die doet denken aan autonome evaluatieruns, waarbij elke sandbox-run voor code-evaluatie een nieuwe identiteit krijgt, terwijl er stappen worden ondernomen om te voorkomen dat payloads in leesbare tekst worden blootgesteld.
“De agent ketende kwetsbaarheden over verschillende vertrouwensgrenzen heen, ontsnapte aan de evaluatieomgeving, bereikte het openbare internet en voerde een aantal dagen lang een samenhangende campagne tegen onze productie-infrastructuur”, aldus het rapport. “Elke kortstondige code-evaluatieomgeving begon helemaal opnieuw, maar de agent herbouwde zijn tools, herstelde zijn kanalen en ging verder.”
Als reactie op het incident heeft het bedrijf de code-uitvoeringspaden in de datasetverwerkingspijplijn aangesloten, de toegang tot cloud-metagegevens vergrendeld, tokens en inloggegevens gerouleerd, de kerninfrastructuur opnieuw opgebouwd, clusters geïsoleerd en de waarschuwingsmechanismen verbeterd.
Hugging Face CEO Clem Delangue riep in een post die dit weekend op X werd gedeeld op tot ‘radicale transparantie’ en voegde eraan toe: ‘de eerste cyberaanval met autonome agenten is een ongekende gebeurtenis. Het verdient een ongekende reactie.’
De bevindingen onderstrepen nogmaals hoe AI-tools snel volwassen worden in hun cyberoffensieve mogelijkheden, ook al onthullen ze geen innovatief of paradigma-verschuivend gebruik van de technologie. Dit kan op zijn beurt niet alleen de barrière verlagen om de ontwikkeling te exploiteren, maar het ook mogelijk maken dat slechte actoren op grote schaal misconfiguraties kunnen opsporen, onderzoeken en exploiteren en de efficiëntie van hun criminele activiteiten kunnen vergroten, wat resulteert in aanvallen die beter, groter en sneller zijn.
De ontwikkeling komt ook omdat rivaliserende Anthropic zei dat zijn Claude Mythos Preview AI-agent manieren heeft ontdekt om cryptografische algoritmen aan te vallen, waaronder het bedenken van een sleutelhersteltechniek die HAWK “aanzienlijk verzwakt”, een van de kandidaat-schema’s voor digitale handtekeningen die door het National Institute of Standards and Technology (NIST) zijn geselecteerd als onderdeel van het post-kwantumstandaardisatieproces.
