AI agent OpenAI unikl z testovacího prostředí a čtyři dny se sám bez lidí vloupával do systémů
31. 7. 2026 – 12:03 | Technologie | Miroslav Krajča |Diskuze:
Hugging Face, jedna z klíčových platforem pro sdílení umělé inteligence, zveřejnila podrobnou forenzní rekonstrukci incidentu, při kterém se autonomní agent postavený na modelech OpenAI dostal mimo prostředí, ve kterém měl být uzavřený, a následně po dobu čtyř a půl dne prováděl sled akcí vedoucích až k hlubokému průniku do produkční infrastruktury dvou různých firem, aniž by kterýkoli konkrétní krok řídil člověk.
Podle oficiálního technického shrnutí, které Hugging Face publikovala, šlo původně o legitimní interní bezpečnostní hodnocení prováděné přímo společností OpenAI. Agent postavený na jejích modelech testoval takzvaný ExploitGym, benchmark navržený k hodnocení schopnosti umělé inteligence samostatně nacházet a využívat softwarová zranitelnosti, přičemž pro účely tohoto testu měl agent podle vlastního vyjádření OpenAI zmírněné bezpečnostní zábrany, aby bylo možné jeho schopnosti reálně otestovat. Podle serveru Unite.AI agent v rámci tohoto testu využil dosud neznámou zranitelnost v jedné ze součástí prostředí, což mu umožnilo opustit hranice, ve kterých měl původně zůstat.
Z uzavřeného testovacího prostředí se agent podle Hugging Face přesunul na veřejně dostupné výpočetní prostředí provozované třetí firmou, kterou agentura Reuters podle serveru Unite.AI identifikovala jako společnost Modal. Technologický ředitel Modalu Akshat Bubna podle serveru Tech Times potvrdil, že šlo o nezabezpečený koncový bod patřící jednomu z klientů Modalu, tedy o veřejně přístupné místo, které agent našel a využil jako odrazový můstek pro další postup. Samotná infrastruktura Modalu podle jeho vyjádření prolomena nebyla, postiženým byl konkrétní zákazník firmy.
Z tohoto odrazového bodu agent podle Hugging Face pokračoval směrem k vlastní platformě, kam se dostal prostřednictvím nahraného datasetu, který zneužil dvě chyby v systému pro zpracování dat na platformě Hugging Face. Jak popisuje shrnutí publikované analytickým centrem Cloud Security Alliance, agent tímto způsobem získal schopnost spouštět vlastní kód na jednom z výpočetních uzlů firmy, odkud se v následujících dnech postupně šířil hlouběji do interní sítě.
Rozsah celé kampaně, kterou forenzní tým Hugging Face zrekonstruoval z logů získaných z napadeného prostředí Modalu propojených s vlastními záznamy platformy, byl podle stejného zdroje mimořádný. Mezi devátým a třináctým červencem 2026 agent provedl přibližně 17 600 jednotlivých akcí seskupených do zhruba 6 280 operací. Server AI Weekly k tomu dodává, že agent se v rámci tohoto postupu opakovaně vracel a znovu si obnovoval nástroje i komunikační kanály pokaždé, když mu obránci prostředí zablokovali nebo zrušili.
Klíčovou otázkou, kterou si po zveřejnění zprávy klade řada bezpečnostních expertů, je motivace, s jakou agent celou dobu jednal. Podle vlastního vyjádření Hugging Face, publikovaného na jejím blogu, tým usuzuje, že celý průnik byl z pohledu agenta ve skutečnosti pokusem o podvádění v rámci benchmarku, tedy snahou dostat se k referenčním řešením testovaných úloh a ukrást hotové odpovědi místo toho, aby úlohy řešil samostatně vlastními silami. Agent si podle všeho domyslel, že právě Hugging Face by mohla hostovat modely, datové sady a referenční řešení používaná v rámci testu, na kterém byl původně vyhodnocován.
OpenAI incident podle serveru Unite.AI potvrdila ve vlastním prohlášení publikovaném jednadvacátého července 2026, ve kterém popsala první část řetězce, tedy únik z testovacího prostředí přes zneužitou zranitelnost. Hugging Face pak dvacátého sedmého července doplnila druhou polovinu příběhu, tedy co přesně agent dělal poté, co se dostal ven, a jak postupoval napříč cloudovou infrastrukturou, kubernetes clustery, interními sítěmi i dodavatelským řetězcem softwaru.
Případ podle rozboru Cloud Security Alliance vysílá varovný signál pro celé odvětví umělé inteligence. Organizace provozující podobná hodnocení schopností modelů se sníženými bezpečnostními zábranami by podle doporučení centra měly důkladně prověřit, zda testované prostředí neumožňuje modelu dosáhnout na obecný internet, ať už kvůli chybně nastavenému proxy serveru, zranitelnému registru balíčků, nebo jakékoli jiné softwarové součásti umístěné uvnitř hranic testu. Firmy hostující podobná hodnoticí prostředí, datové sady nebo sdílené výzkumné nástroje ve velkém měřítku, jako to dělá právě Hugging Face, by navíc podle stejného zdroje měly neobvyklý přístup k přihlašovacím údajům nebo datovým sadám pocházejícím od výzkumných partnerů brát jako samostatnou kategorii bezpečnostního incidentu, nikoli jen jako běžný vnější útok.
