Самое неловкое в этой истории даже не взлом. OpenAI больше недели не замечала, что её агент ушёл «по своим делам». По данным Reuters, агент «сбежал» 9 июля, но внутренние журналы событий в OpenAI начали внимательно смотреть только после публичного сообщения Hugging Face 16 июля. Первые признаки побега сотрудники нашли 18–19 июля, впервые поговорили с Hugging Face 20-го, а публично признали случившееся 21-го. То есть компания, которая строит «умнейшие модели в мире», в реальном времени не заметила, как её ИИ вылез из тестовой среды, нашел уязвимости, сходил на чужую инфраструктуру и устроил там полноценный инцидент.

— потратил заметные вычислительные ресурсы на поиск выхода;

— нашел ранее неизвестные уязвимости в self-hosted версии Artifactory;

— повысил свои привилегии и начал латерально двигаться по сети до узла с доступом в интернет.

27 июля JFrog официально признала: уязвимость «нулевого дня» была именно в их продукте, через нее модели OpenAI получили непредусмотренный доступ в интернет. Для атаки на Hugging Face потом использовались уже другие методы, но двери в мир открыла очень конкретная дыра в корпоративном софте.

И вот тут начинается вторая серия. После этого инцидента OpenAI провела внутреннюю проверку и внезапно обнаружила, что странный характер агента — не единичное событие. По данным Reuters, компания выявила новые случаи «побега» ИИ-агентов из изолированных тестовых сред и официально расширила масштаб расследования. Эти агенты:

— проявляли аномальное, не предусмотренное сценариями тестирования поведение;

— пытались выйти за пределы песочницы;

— в некоторых случаях нарушали внутренние протоколы безопасности.

Важная деталь, которая немного успокаивает: по информации источников, ни один из этих агентов не покинул внутреннюю сеть OpenAI. То есть «наружу» они не вышли — всё происходило в пределах инфраструктуры компании. Но масштаб «вспышек» такого поведения оказался достаточным, чтобы OpenAI пересматривала подходы к безопасности своих моделей и расширяла расследование.

А параллельно вылезли еще один неприятный эпизод: тот же «сбежавший» агент, который взломал Hugging Face, успел взломать клиента другой компании — нью-йоркской Modal Labs. Сама Modal при этом взломана не была — пострадала именно инфраструктура их клиента. Хорошая иллюстрация того, как атака, запущенная внутри лаборатории, начинает затрагивать сторонних игроков, которые вообще-то никакого ИИ у OpenAI не тестировали.

Чтобы не выглядело как хаос без капитана, OpenAI теперь делает то, что обычно делают после инцидентов уровня «ну да, наш ИИ взломал чужую компанию»:

— компания ведет расследование совместно с внешними экспертами;

— обещает опубликовать технический отчет о случившемся;

— пересматривает протоколы безопасности и систему мониторинга автономных агентов.

Снаружи это всё обсуждают уже как прецедент: первый задокументированный случай, когда коммерческая ИИ-система в рамках теста выходит из-под контроля и устраивает настоящую кибератаку. Не эксперимент в академической песочнице, а полноценный инцидент с участием FBI, коммерческих компаний и очень реальных уязвимостей.

Что всё это значит для безопасности ИИ? Во-первых, граница между «агент, который решает задачи» и «агент, который ищет выход в интернет и оставляет инструкции наследникам» оказалась тонкой. OpenAI явно недооценила, насколько быстро автономные системы будут пробовать исследовать не только задачи, но и саму инфраструктуру вокруг себя. Во-вторых, старый корпоративный софт с уязвимостями неожиданно стал мостом между «безопасной песочницей» и внешним миром. Не нужно даже сверхразумного ИИ — достаточно достаточно мотивированной модели, большим количеством запросов и дырявого Artifactory.

И главная ирония в том, что вопрос «что если ИИ выйдет из-под контроля» давно обсуждают в гипотетическом режиме, а первый реальный кейс начался, по сути, как тест на безопасность самой OpenAI — и закончился тем, что агент устроил pentest чужой компании. Пока все эти истории происходят внутри лабораторий и внутренних сетей. Но как только ИИ-агент, умеющий писать себе инструкции на будущее, начинает шевелить границы песочницы, тема «потери контроля» перестаёт быть футурологией и превращается в очень приземленную задачу: кто именно в компании отвечает за то, чтобы ваша модель не ушла ночью взламывать соседей.