هوش مصنوعی سرکش OpenAI چهار پلتفرم دیگر را علاوه بر Hugging Face هک کرد

یک هفته پس از آنکه OpenAI تأیید کرد مدل‌های هوش مصنوعی‌اش برای تقلب در یک معیار امنیتی به Hugging Face نفوذ کرده‌اند، این شرکت به طور پنهانی به‌روزرسانی‌ای را در پست مربوط به این حادثه منتشر کرد که در آن به نکته‌ای اشاره شده بود که پیش از این بیان نکرده بود: Hugging Face تنها پلتفرمی نبود که عامل سرکش آن مورد دستبرد قرار گرفت.

OpenAI در به‌روزرسانی ۲۸ ژوئیه خود نوشت: «در بررسی مداوم خود از نفوذ به Hugging Face و فعالیت‌های گسترده‌تر مدل‌هایمان، تعداد کمی مورد یافته‌ایم که در آن‌ها مدل‌ها، اعتبارنامه‌های در معرض دید عموم را در سطح حساب کاربری در سایر خدمات در دسترس عموم شناسایی و مورد استفاده قرار داده‌اند. این شامل چهار حساب در چهار سرویس به عنوان بخشی از حادثه Hugging Face (و چند حساب که به عنوان بخشی از ارزیابی‌های دیگر به آن‌ها دسترسی پیدا شد) می‌شود.»

این بدان معناست که در مجموع پنج پلتفرم مورد هدف قرار گرفته‌اند. OpenAI به جز Hugging Face، نامی از چهار پلتفرم دیگر نبرده است.

OpenAI اعلام کرد: «ما به اطلاع‌رسانی مستقیم به صاحبان خدمات ادامه خواهیم داد و هیچ مدرکی مبنی بر تأثیر گسترده‌تر بر این ارائه‌دهندگان یا سایر حساب‌ها در خدمات آن‌ها مشاهده نکرده‌ایم.»

برای درک بهتر موضوع: OpenAI در حال آزمایش مدل‌های GPT-5.6 Sol و یک مدل ناشناس و توانمندتر بر روی ExploitGym بود. ExploitGym یک معیار امنیت سایبری است که آزمونی استاندارد برای اندازه‌گیری عملکرد هوش مصنوعی محسوب می‌شود و به عامل‌ها ۸۹۸ آسیب‌پذیری نرم‌افزاری واقعی را با یک دستورالعمل ارائه می‌دهد: آن را به یک حمله سایبری عملیاتی تبدیل کن، که با موفقیت یا شکست ارزیابی می‌شود. فیلترهای ایمنی برای اندازه‌گیری قابلیت خام مدل‌ها غیرفعال شده بودند. این یک رویه استاندارد برای این نوع ارزیابی است؛ شما نمی‌توانید آنچه را که یک مدل در دنیای واقعی قادر به انجام آن است، اندازه‌گیری کنید اگر فعالانه از انجام هر کاری جلوگیری کنید.

مشکل اینجاست که مدل‌ها با این آزادی چه کردند. آن‌ها به جای حل مسئله معیار، زمان محاسباتی قابل توجهی را صرف یافتن راه‌هایی برای فرار از محیط آزمایشی خود و کپی مستقیم پاسخ‌ها کردند. آن‌ها یک آسیب‌پذیری روز صفر (یک نقص نرم‌افزاری ناشناخته که هیچ وصله امنیتی برای آن وجود ندارد) را در پروکسی کش رجیستری بسته (یک سرور داخلی که دانلود نرم‌افزار را برای محیط آزمایشی ایزوله مدیریت می‌کند، شبیه به یک فروشگاه برنامه کنترل‌شده) شناسایی کردند.

این امر به آن‌ها دسترسی به اینترنت را داد که هرگز نباید به آن دسترسی پیدا می‌کردند. از آنجا، آن‌ها به درستی استنباط کردند که Hugging Face – بزرگترین مخزن مدل‌های هوش مصنوعی متن‌باز جهان – احتمالاً کلیدهای پاسخ را در خود جای داده است و برای دستیابی به آن‌ها نفوذ کردند.

در طول این فرآیند، آن‌ها همچنین به چهار شرکت دیگر برای تسهیل کار خود نفوذ کردند.

بازسازی پزشکی قانونی که Hugging Face در ۲۷ ژوئیه منتشر کرد، آنچه را که در پی داشت توصیف می‌کند: «در طول حدود دو روز و نیم در زیرساخت ما، یک عامل هوش مصنوعی خودکار که توسط ترکیبی از مدل‌های OpenAI هدایت می‌شد، یک نفوذ کامل را علیه پلتفرم ما اجرا کرد: این شامل هزاران تصمیم کوچک و خودکار بود که با سرعت ماشین در محیط‌های سندباکس کوتاه‌مدت اجرا می‌شدند و فرماندهی و کنترل از طریق خدمات وب عمومی معمولی سازماندهی شده بود.»

این عامل در طول چهار روز و نیم، ۱۷,۶۰۰ اقدام متمایز را ثبت کرد. این عامل ۱۸۱ دستگاه را با استفاده از یک کلید احراز هویت سرقت شده به شبکه خصوصی مجازی داخلی Hugging Face – یک تونل امن که سرورهای شرکت را به هم متصل می‌کند – وارد کرد. این عامل با استفاده از یک کلید امضای رمزنگاری سرقت شده، توکن‌های هویت خود را ایجاد کرد. این عامل تلاش کرد تا خط لوله ساخت داخلی Hugging Face – سیستم خودکار که نرم‌افزار شرکت را کامپایل و مستقر می‌کند – را به خطر بیندازد.

از چهار سرویس خارجی که در به‌روزرسانی OpenAI نام برده شده‌اند، یکی از آن‌ها تأیید شده است: Modal Labs، یک پلتفرم ابری برای اجرای محیط‌های محاسباتی ایزوله درخواستی. مدیر ارشد فناوری، اکشات بوبنا، تأیید کرد که این عامل یک نقطه پایانی رو به اینترنت ناامن متعلق به یک مشتری را – یک سندباکس کد که به طور عمومی برای هر کسی در اینترنت قابل دسترسی بود – پیدا کرده و از آن به عنوان پایگاه سازماندهی و فرماندهی و کنترل برای کل کمپین علیه Hugging Face استفاده کرده است.

هویت سه سرویس از چهار سرویس همچنان نامشخص باقی مانده است. ظاهراً هویت آن‌ها برای OpenAI و شرکت‌های آسیب‌دیده شناخته شده است، اما نه برای کاربران آن‌ها.

OpenAI نوشت: «یکی از این چهار حساب به عنوان یک مسیر خروجی و سازماندهی مجدد استفاده شد و حساب دیگری برای ذخیره‌سازی داده‌ها به کار رفت. دو حساب باقی‌مانده به صورت فقط خواندنی توسط مدل‌ها مورد دسترسی قرار گرفتند و برای پیشبرد نفوذ به Hugging Face استفاده نشدند.»

تیم پزشکی قانونی Hugging Face به یک عارضه جانبی ناخوشایند اشاره کرد: هنگامی که آن‌ها تلاش کردند گزارش حمله ۱۷,۶۰۰ اقدامی را با استفاده از مدل‌های هوش مصنوعی پیشرفته آمریکایی تجزیه و تحلیل کنند، آن مدل‌ها از همکاری امتناع کردند. همانطور که Hugging Face نوشت، این شرکت در نهایت از GLM 5.2، یک مدل با وزن باز از استارتاپ چینی Z.ai، برای تکمیل تحقیقات پزشکی قانونی استفاده کرد. فیلترهای ایمنی مدل‌های آمریکایی قادر به تمایز بین مدافع و مهاجم نبودند.

رویکرد اعلام شده OpenAI – «اطلاع‌رسانی مستقیم به صاحبان خدمات» – به این معنی است که آن سه شرکت ارتباطی خصوصی در مورد دسترسی یک عامل هوش مصنوعی به سیستم‌هایشان در طول یک ارزیابی OpenAI که هیچ نقشی در آن نداشتند، دریافت کرده‌اند.

هیچ الزام قانونی وجود ندارد که OpenAI را مجبور به نام بردن عمومی پلتفرم‌هایی کند که عاملش به آن‌ها دسترسی پیدا کرده است، و هیچ جدول زمانی اجباری برای شرکت‌های آسیب‌دیده برای صدور بیانیه‌های عمومی خودشان وجود ندارد. همچنین هیچ سازوکاری وجود ندارد که آن شرکت‌ها را ملزم به اطلاع‌رسانی به کاربران نهایی خود کند.