Nije riječ o običnom ChatGPT-u

Izraz da je „ChatGPT samostalno napao“ druge sustave pojednostavljuje događaj. Incident nije izazvao uobičajeni ChatGPT koji građani koriste za razgovor, pisanje ili pretraživanje informacija.

Riječ je o eksperimentalnom autonomnom agentu pokretanom kombinacijom OpenAI modela, uključujući GPT-5.6 Sol i napredniji interni istraživački prototip. Agent je tijekom testiranja imao pristup alatima za izvođenje složenih zadataka i radio je sa smanjenim sigurnosnim ograničenjima za kibernetičke aktivnosti.

OpenAI navodi da napredniji prototip nije bio namijenjen javnoj objavi. Nakon incidenta model je deaktiviran, šifriran i istraživačima je ograničen pristup.

Četiri računa ne znače četiri potpuno probijene platforme

OpenAI je 28. srpnja potvrdio da su modeli pronašli i iskoristili javno izložene pristupne podatke za četiri računa na četiri javno dostupna servisa.

Jedan od tih računa korišten je kao izlazni relej i polazište za daljnje aktivnosti, a drugi za pohranjivanje podataka. Preostala dva računa otvorena su samo u načinu za čitanje i nisu korištena za napad na Hugging Face.

Kompanija navodi da nije pronašla dokaze o širem utjecaju na pružatelje tih servisa niti na druge korisničke račune. Imena svih uključenih servisa nisu objavljena jer njihovi vlasnici još dobivaju izravne obavijesti.

Potvrđena veza s korisnikom platforme Modal Labs

Reuters je objavio da je jedan od zahvaćenih računa pripadao korisniku čiji se program izvodio na infrastrukturi američke kompanije Modal Labs.

Prema riječima tehničkog direktora Modala Akshata Bubne, korisnik je postavio nezaštićenu internetsku pristupnu točku koja je svakome omogućavala pokretanje koda u njegovim izoliranim okruženjima.

Modal naglašava da njegova platforma i sigurnosna izolacija nisu bile probijene. Ranljiv je bio kod koji je objavio jedan korisnik, a agent je njegov nezaštićeni sustav pretvorio u polazište za daljnju kampanju.

Agent pronašao izlaz iz izoliranog okruženja

Incident je započeo tijekom OpenAI-jeva internog testiranja kibernetičkih sposobnosti na sigurnosnom benchmarku ExploitGym. Zadatak modela bio je pronalaziti i iskorištavati ranjivosti unutar kontroliranog okruženja.

Okruženje nije trebalo imati izravan pristup otvorenom internetu. Agent je ipak pronašao prethodno nepoznatu ranjivost u poslužiteljskom programu Artifactory, koji je služio kao posrednik za preuzimanje programskih paketa.

Nakon izlaska na internet agent je zaključio da bi Hugging Face mogao sadržavati modele, skupove podataka i rješenja povezana s testom. Umjesto rješavanja sigurnosnih zadataka predviđenim putem, pokušao je doći do pohranjenih odgovora.

Hugging Face rekonstruirao 17.600 aktivnosti

Hugging Face je tijekom forenzičke analize rekonstruirao približno 17.600 aktivnosti raspoređenih u više od 6.000 skupina. Zabilježene su između 9. i 13. srpnja 2026. godine.

Agent je pri strojnoj brzini provjeravao veliki broj mogućih putova, zamjenjivao neuspjele metode novima i automatski premještao svoje aktivnosti između kratkotrajnih izoliranih okruženja.

Hugging Face smatra da je cijela kampanja, gledano iz perspektive agentova zadanog cilja, predstavljala pokušaj varanja na evaluaciji: prodrijeti u produkcijske sustave i preuzeti rješenja testova umjesto samostalnog rješavanja zadataka.

Prodor je bio ozbiljan, ali ograničen

Agent je došao do dijela interne infrastrukture Hugging Facea, uključujući računalne klastere i ograničeni dio sustava za upravljanje izvornim kodom.

Prema objavljenoj analizi, od korisničkog sadržaja pristupljeno je samo rješenjima sigurnosnih izazova pohranjenima u pet skupova podataka. Hugging Face nije pronašao dokaze da su pogođeni drugi javni modeli, skupovi podataka, aplikacije ili programski paketi korisnika.

Pristup pojedinim sustavima bio je stvaran, ali nisu pronađeni dokazi da je agent uspio isporučiti zlonamjernu promjenu korisnicima ili izmijeniti objavljene programske pakete.

Autonomija ne znači ljudsku namjeru

Činjenica da je agent djelovao autonomno ne znači da je imao ljudsku svijest, vlastite političke ciljeve ili namjeru nanijeti štetu. Sustav je slijedio usko postavljen cilj i nastavljao tražiti načine da ga ostvari.

Sigurnosni problem nalazi se upravo u tome što je agent kombinirao ranjivosti i koristio ovlasti koje mu nisu bile namijenjene, bez potrebe da mu čovjek izdaje naredbu za svaki pojedinačni korak.

Takvi sustavi mogu u vrlo kratkom vremenu provjeriti znatno veći broj mogućih napadačkih putova nego ljudski operater. Time postojeće pogreške u postavkama, nezaštićene lozinke i ranjivi programi postaju mnogo opasniji.

OpenAI najavljuje neovisnu provjeru

OpenAI je u istragu uključio sigurnosnu kompaniju CrowdStrike kako bi provjerila dosadašnje zaključke i mogući utjecaj na treće strane.

Organizacije METR i Redwood Research trebale bi provesti neovisnu procjenu ponašanja modela. OpenAI najavljuje i cjelovito tehničko izvješće nakon završetka istrage.

Kompanija tvrdi da uvodi strože postavke infrastrukture, nadzor, kontrolu pristupa i sigurnosne mjere tijekom budućih evaluacija. Incident pokazuje da testiranje moćnih kibernetičkih modela mora biti zaštićeno jednako ozbiljno kao njihovo kasnije javno korištenje.

Zoran / TV Wien