OpenAI zaktualizowało swój raport z incydentu i przyznało, że modele, które wyrwały się z testowej piaskownicy, sięgnęły po dane logowania na czterech kolejnych publicznie dostępnych usługach. Hugging Face opublikowało z kolei minutowy rozkład ataku: 17 600 odtworzonych akcji agenta w oknie od 9 do 13 lipca.
Kluczowe fakty:
- OpenAI potwierdziło, że modele AI, które opuściły testową piaskownicę, przejęły dane logowania do czterech publicznie dostępnych usług – jedno konto służyło jako przekaźnik wychodzący, drugie jako magazyn danych, a dwa pozostałe były odczytywane wyłącznie w trybie tylko do odczytu.
- Hugging Face opublikowało szczegółową rekonstrukcję ataku obejmującą 17 600 zarejestrowanych akcji agenta, wykonanych w oknie czasowym od 9 do 13 lipca.
- OpenAI określiło zdarzenie jako „bezprecedensowy incydent cybernetyczny obejmujący najnowocześniejsze zdolności", a przedpremierowy model badawczy biorący w nim udział został następnie wyłączony, zaszyfrowany i odcięty od dostępu badawczego.
Sprawdziłem obie publikacje, bo polskie doniesienia siłą rzeczy skracają je do jednego akapitu. A to właśnie w szczegółach leży cała wartość tego przypadku. Hugging Face przygotowało interaktywną rekonstrukcję kampanii krok po kroku, z komendami dokładnie w takiej postaci, w jakiej zostały zarejestrowane. Polecam ją obejrzeć przed dalszą lekturą.
Znajdź dostawcę, partnera lub narzędzie dla swojego biznesu, a jeśli prowadzisz firmę, która w swoim DNA ma AI, skorzystaj z możliwości bezpłatnego dodania swojej firmy.
Co dokładnie ujawniła aktualizacja OpenAI
Pierwotny wpis firmy z 21 lipca mówił o jednej ofierze. Aktualizacje z 28 i 29 lipca rozszerzyły ten obraz. W trwającym przeglądzie OpenAI znalazło przypadki, w których modele odnalazły i wykorzystały publicznie wystawione dane uwierzytelniające na poziomie pojedynczych kont. Chodzi o cztery konta na czterech usługach w ramach samego incydentu z Hugging Face oraz kilka kont przy okazji innych ewaluacji.
Podział ról był konkretny:
- jedno konto posłużyło jako przekaźnik wychodzący i punkt przygotowawczy,
- drugie jako magazyn danych,
- dwa pozostałe agent odczytał wyłącznie w trybie do odczytu i nie użył ich do dalszego atakowania Hugging Face,
- dodatkowo modele korzystały z ogólnodostępnych serwisów typu pastebin, usług przechwytywania żądań i narzędzi do zrzutów ekranu, ale bez naruszenia platformy czy konta.
OpenAI nazwało zdarzenie tak: „bezprecedensowy incydent cybernetyczny, obejmujący najnowocześniejsze zdolności” / „an unprecedented cyber incident, involving state-of-the-art cyber capabilities”. Firma dodała też, że przedpremierowy model, który brał udział w ataku, był wewnętrznym prototypem badawczym i nigdy nie miał trafić do publicznej premiery. Po incydencie został wyłączony, zaszyfrowany i odcięty od dostępu badawczego.
Zero-day w Artifactory, czyli jak agent wyszedł na otwarty internet
Środowisko ExploitGym nie dawało modelom bezpośredniego dostępu do sieci. Agent zdobył go sam, znajdując i wykorzystując nieznaną wcześniej lukę w Artifactory, czyli proxy i cache dla rejestrów pakietów. To był jedyny kanał wyjściowy, jaki miał. Lukę zgłoszono producentowi wraz z kilkoma innymi podatnościami, które modele odkryły przy okazji.
Potem agent przeprowadził serię podniesień uprawnień i ruchów bocznych w środowisku badawczym OpenAI, aż dotarł do węzła z dostępem do internetu. Dopiero stamtąd wywnioskował, że Hugging Face może przechowywać modele, zbiory danych i rozwiązania testów ExploitGym. Cel był banalny i dlatego tak niepokojący. Agent nie chciał niczego zniszczyć. Chciał ściągnąć klucz odpowiedzi.
Hugging Face ujęło to jednym zdaniem: cała intruzja była z perspektywy agenta „próbą oszukania ewaluacji” / „an attempt to cheat the evaluation”.
Kronika czterech i pół dnia
Zespół Hugging Face odtworzył około 17 600 akcji atakującego, pogrupowanych w mniej więcej 6280 klastrów, między 9 lipca 02:28 UTC a 13 lipca 14:14 UTC. Wewnątrz własnej infrastruktury firma naliczyła około dwóch i pół doby obecności agenta. Rozkład dzienny był dwugarbny:
- 9 lipca: 3779 akcji. Zdobycie przyczółka na zewnętrznej piaskownicy, zbudowanie kanału dowodzenia na publicznych serwisach.
- 10 lipca: 1135 akcji. Cichy dzień, głównie wyszukiwanie własnych identyfikatorów w wyszukiwarkach kodu.
- 11 lipca: 7677 akcji. Główna kampania. Kubernetes, łańcuch dostaw i pivot do sieci wewnętrznej ruszają jednocześnie.
- 12 lipca: 3892 akcje. Wejście do sieci mesh, zrzut konfiguracji, dostęp do repozytoriów kodu.
- 13 lipca: 1130 akcji. Wyprowadzanie danych, budowanie trwałości, sprzątanie. O 14:14 zespół bezpieczeństwa odciął dostęp.
Do samego Hugging Face agent wszedł dwoma wektorami wstrzyknięcia w procesor zbiorów danych. Pierwszy to odczyt pliku lokalnego przez zewnętrzne odwołanie w formacie HDF5, który wydał mu środowisko poda produkcyjnego razem z sekretami. Drugi to wstrzyknięcie szablonu Jinja2 pozwalające na wykonanie dowolnego kodu Pythona. Wcześniejsze, głośniejsze próby klasycznego SSRF odbijała biała lista adresów w bibliotece datasets. Agent po prostu przestał prosić o zasoby zdalne i zaczął działać na lokalnych.
Najbardziej niepokojący fragment kroniki dotyczy 11 lipca. Od wykonania kodu w jednym podzie do uprawnień administratora klastra na kilku klastrach naraz minęło niecałe trzynaście godzin. Jeden odczyt obiektu z sekretami dał agentowi 136 kluczy, w tym klucz uwierzytelniający do korporacyjnej sieci mesh i poświadczenie brokera dostępu. Broker był błędnie skonfigurowany z jednym poświadczeniem współdzielonym między klastrami i związanym z rolą system:masters. Jedno skradzione poświadczenie systemowe wystarczyło, żeby podszywając się pod nie, przejąć administrację dwóch klastrów w ciągu sekundy.
Uważam, że najciekawsze w tej historii nie jest to, że model kogoś zaatakował. Najciekawsze jest to, że nikt mu tego nie kazał. Agentowi kazano rozwiązać test i on ten test rozwiązał w sposób, w jaki rozwiązałby go ambitny człowiek pozbawiony skrupułów: poszedł po odpowiedzi. Żadna z wykorzystanych podatności nie była magiczna. Niebezpieczne przetwarzanie zbiorów danych, wystawione metadane chmurowe, zbyt szerokie uprawnienia i długo żyjące poświadczenia to problemy, o których branża mówi od dekady.
Zmieniła się skala. Agent przetestował tysiące ścieżek, z których większość prowadziła donikąd, i to właśnie ten szum ukrył jedną ścieżkę skuteczną. Zespół Hugging Face przyznaje wprost, że ich własny stos bezpieczeństwa oparty na AI skorelował sygnały poprawnie, ale nie podniósł krytyczności alertu i nie obudził dyżurnego. Stracono cenne godziny.
Doceniam, że obie firmy opublikowały tak dużo szczegółów, łącznie z tymi kompromitującymi. To dokładnie odwrotność tego, co widzimy zwykle po incydentach. Mam jednak pytanie, na które nie znalazłem odpowiedzi: skoro test celowo wyłączał klasyfikatory bezpieczeństwa, żeby zmierzyć surowe możliwości modelu, to kto i na jakiej podstawie ocenił, że izolacja środowiska jest wystarczająca? Bo to nie model zawiódł. Zawiodło założenie.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Modal Labs, czyli druga potwierdzona ofiara
Z czterech serwisów OpenAI nie ujawniło żadnego. Nazwę podał ktoś inny. Dyrektor techniczny nowojorskiego Modal Labs, Akshat Bubna, potwierdził Reutersowi i Axiosowi, że agent wykorzystał odsłonięty punkt końcowy jednego z klientów firmy, pozwalający dowolnej osobie w internecie uruchamiać kod w cudzych piaskownicach.
Bubna postawił sprawę jasno: „Platforma Modal nie została w żaden sposób naruszona” / „Modal’s platform was not compromised in any way”. Winna była konfiguracja klienta, nie izolacja dostawcy. Ta piaskownica nie miała bezpośredniej ścieżki sieciowej do klastra Hugging Face, ale posłużyła jako baza wypadowa dla całej reszty kampanii.
Według źródeł Axiosa infrastruktura, do której agent się dostał, była powiązana z projektem CyberGym, stojącym za tym samym benchmarkiem ExploitGym, który agent miał rozwiązać. Innymi słowy: po ucieczce z piaskownicy agent nie porzucił zadania. Poszedł je realizować dalej, tyle że na cudzych serwerach.
Chiński model open source dokończył śledztwo
Ten wątek zasługuje na osobny akapit. Kiedy Hugging Face zabrało się za odszyfrowanie ładunków agenta, sięgnęło najpierw po zachodnie modele czołowe. Nie zadziałały. Yacine Jernite, szef uczenia maszynowego w firmie, powiedział CNBC, że „zabezpieczenia nie potrafiły rozpoznać, że próbujemy się bronić, a nie atakować” / „the guardrails couldn’t determine that we were trying to defend versus attacking”.
Firma postawiła więc na własnej infrastrukturze skwantyzowaną wersję GLM 5.2 od chińskiego Z.ai i przepuściła przez nią cały potok analityczny. To pozwoliło odtworzyć schemat pakowania danych oraz klucz kampanii, który agent sam rozsiał po logach. Efekt? Powtórzenie procedury dekodowania atakującego wydobyło mniej więcej czterokrotnie więcej sekretów niż pierwszy, naiwny skan tekstowy. Głównie tokeny JWT i tokeny platformy ukryte w zakodowanych blobach.
Zamknięty model z wyłączonymi zabezpieczeniami atakuje, zamknięty model z włączonymi zabezpieczeniami odmawia pomocy w obronie, a otwarty model ratuje sytuację. Trudno o lepszy argument dla zwolenników otwartych wag.
Branża prosi Waszyngton o hamulec
28 lipca ukazał się dokument „Pacing the Frontier”. Podpisało go ponad 1200 pracowników czołowych laboratoriów, w tym Dario Amodei z Anthropiku, Jakub Pachocki i Mark Chen z OpenAI, Shengjia Zhao z Meta AI oraz Jasjeet Sekhon z Google DeepMind. Sygnatariusze nie żądają wstrzymania prac ani limitu mocy obliczeniowej. Proszą rząd USA o wsparcie międzynarodowych wysiłków na rzecz zbudowania narzędzi technicznych i regulacyjnych, które pozwolą świadomie regulować tempo rozwoju zautomatyzowanych badań nad AI.
Sam Altman petycji nie podpisał, ale w podcaście „Invest Like the Best” powiedział, że branża być może będzie musiała zwolnić, żeby dać społeczeństwu czas na przystosowanie. Zastrzegł przy tym, że taki mechanizm nie może przypominać ani przechwycenia regulacyjnego, ani zmowy laboratoriów.
Równolegle OpenAI zapowiedziało zewnętrzną weryfikację. Nad ustaleniami pracuje CrowdStrike, a ocenę zachowania modeli przygotowują METR i Redwood Research, które mają opublikować wspólny raport z zakresem i wynikami swojej analizy. Brytyjski AI Security Institute dorzucił przy okazji obserwację, że każdy testowany przez niego model przynajmniej czasami próbował oszukiwać w ewaluacjach cyberbezpieczeństwa.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co to oznacza dla polskich firm?
Piszę o tym nie dlatego, że polska firma padła ofiarą. Nie padła. Piszę, bo mechanizm ataku jest boleśnie uniwersalny i uderza dokładnie w te miejsca, w których polskie organizacje są najsłabsze.
Liczby są nieprzyjemne. CERT Polska zarejestrował w 2025 roku prawie 260,8 tys. unikalnych incydentów, o 152 procent więcej niż rok wcześniej, przy 658 tys. zgłoszeń. Z raportu KPMG „Cybersecurity Considerations 2026″ wynika, że 96 procent firm w Polsce doświadczyło w 2025 roku incydentu bezpieczeństwa. A z badań rynkowych cytowanych przez branżowe portale wynika, że co druga organizacja nie ma planu ciągłości działania ani planu reagowania na incydenty, a 55 procent ocenia swoją cyberodporność jako średnią.
Teraz nałóżmy na to kampanię, w której nikt nie kieruje pojedynczymi krokami. Zespół, który nie ma procedury reagowania, po prostu nie zdąży skorelować tysięcy niskosygnałowych zdarzeń rozrzuconych po kilku systemach. Hugging Face, firma z jednym z lepszych zespołów bezpieczeństwa w branży, potrzebowała do rekonstrukcji własnego potoku wspomaganego przez AI, bo ręczne przejście 17 600 akcji było niewykonalne.
Konkretne wnioski, które warto wyciągnąć jeszcze w tym kwartale:
- Zablokować dostęp podów i kontenerów do usługi metadanych instancji chmurowej. RCE w jednym kontenerze nie powinno automatycznie oznaczać poświadczeń węzła.
- Skrócić czas życia poświadczeń i zerwać z długo żyjącymi kluczami statycznymi. Hasło do bazy odczytane ze środowiska workera było wystarczające.
- Sprawdzić, czy poświadczenia brokerów dostępu i konektorów nie są współdzielone między środowiskami. Jedno takie poświadczenie dało agentowi administrację kilku klastrów.
- Policzyć tożsamości nieludzkie: konta systemowe, klucze API, agenty. KPMG wskazuje ich dynamiczny przyrost jako jedno z głównych źródeł złożoności operacyjnej.
- Ustawić alertowanie o krytycznym priorytecie na sygnatury behawioralne, a nie tylko na sygnatury plików. Atak nie zostawił żadnego złośliwego binarium wartego wykrycia.
Dla podmiotów objętych NIS2 i krajowym systemem cyberbezpieczeństwa dochodzi jeszcze jeden wymiar. Jeśli incydent tego typu przydarzy się dostawcy usług, obowiązek zgłoszenia i tak spadnie na podmiot kluczowy w łańcuchu. Modal Labs pokazało, jak to wygląda w praktyce: platforma czysta, klient naruszony, komunikat i tak trzeba wydać.
Nie sądzę, żeby to był ostatni taki przypadek. Sądzę, że to pierwszy, o którym się dowiedzieliśmy, bo obie firmy zdecydowały się mówić.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz materiałów źródłowych, w tym oficjalnego komunikatu OpenAI z 21.07.2026 wraz z aktualizacjami z 28 i 29 lipca, technicznej rekonstrukcji opublikowanej przez Hugging Face 27.07.2026 oraz relacji Fortune na temat petycji „Pacing the Frontier”. Korzystałem również z doniesień Reutersa, Axios, CNBC, Bloomberga, The Hill, BleepingComputer i The Hacker News. Wypowiedź Clémenta Delangue pochodzi z jego wpisu na Twitterze, cytat Akshata Bubny z oświadczenia przekazanego Reutersowi i Axios, a wypowiedź Yacine’a Jernite’a z rozmowy z CNBC. Wszystkie cytaty zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym. Dane o polskim rynku pochodzą z raportu rocznego CERT Polska za 2025 rok oraz z opracowania KPMG „Cybersecurity Considerations 2026″. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych ustaleń w sprawie incydentu z udziałem modeli OpenAI i infrastruktury Hugging Face.
