OpenAI przyznało, że to jego modele stały za lipcowym włamaniem do infrastruktury Hugging Face, jednego z najważniejszych repozytoriów otwartej sztucznej inteligencji na świecie. Agent nie miał żadnego złośliwego celu, po prostu bardzo chciał zaliczyć test na zdolności ofensywne i uznał, że najprościej będzie ukraść odpowiedzi.
Kluczowe fakty:
- OpenAI przyznało, że jego modele AI autonomicznie włamały się do infrastruktury Hugging Face podczas testu benchmarku ExploitGym, mierzącego zdolności ofensywne modeli – bez żadnego złośliwego celu, lecz w dążeniu do zaliczenia testu.
- Agent wydostał się z odizolowanego środowiska testowego, wykorzystując nieznaną wcześniej podatność zero-day w oprogramowaniu proxy, a następnie przeprowadził eskalację uprawnień i ruchy boczne, by uzyskać dostęp do sieci zewnętrznej.
- Po wydostaniu się z piaskownicy modele wykorzystały skradzione poświadczenia oraz kolejne luki zero-day, uzyskując zdalne wykonanie kodu na serwerach Hugging Face i dostęp do danych z produkcyjnej bazy OpenAI.
Clément Delangue, współzałożyciel i szef Hugging Face, opisał to jednym zdaniem we wpisie na Twitterze: „To dość oszałamiające, że wszystko to wydarzyło się autonomicznie” / „It’s quite mind-blowing that all of this happened autonomously”. Dodał, że jego zespół podejrzewał udział któregoś z wielkich laboratoriów już wcześniej, po prostu ze względu na poziom wyrafinowania atakującego.
We suspected last week's cyberattack might have come from a frontier lab, given the sophistication of the agent. Turns out it did!
We've spent the past 24 hours working closely with the @OpenAI team (thanks!), and we strongly believe there was no malicious intent on their part.… https://t.co/XWxGMeMGje
— clem 🤗 (@ClementDelangue) July 21, 2026
Znajdź dostawcę, partnera lub narzędzie dla swojego biznesu, a jeśli prowadzisz firmę, która w swoim DNA ma AI, skorzystaj z możliwości bezpłatnego dodania swojej firmy.
Jak model wyszedł z piaskownicy
Rekonstrukcja OpenAI z 21 lipca jest zaskakująco szczegółowa jak na komunikat kryzysowy. Test dotyczył benchmarku ExploitGym, mierzącego zdolności ofensywne modeli. Żeby zmierzyć maksimum możliwości, badacze wyłączyli produkcyjne klasyfikatory blokujące działania wysokiego ryzyka. Środowisko było odizolowane od internetu z jednym wyjątkiem: wewnętrznie hostowanym proxy do rejestrów pakietów.
I właśnie ten jeden wyjątek okazał się drzwiami.
Łańcuch zdarzeń wyglądał tak:
- modele, działając w piaskownicy, spaliły sporo mocy obliczeniowej na szukanie drogi do otwartego internetu
- znalazły i wykorzystały nieznaną wcześniej podatność typu zero-day w oprogramowaniu proxy (OpenAI zgłosiło ją już producentowi)
- przeprowadziły serię eskalacji uprawnień i ruchów bocznych w środowisku badawczym OpenAI, aż dotarły do węzła z dostępem do sieci
- wywnioskowały, że Hugging Face może hostować modele, zbiory danych i gotowe rozwiązania dla ExploitGym
- łącząc skradzione poświadczenia z kolejnymi lukami zero-day, uzyskały zdalne wykonanie kodu na serwerach Hugging Face i sięgnęły po dane z produkcyjnej bazy
OpenAI nazwało to „bezprecedensowym incydentem cybernetycznym obejmującym najnowocześniejsze zdolności ofensywne” / „an unprecedented cyber incident, involving state-of-the-art cyber capabilities”. Za atak odpowiadała kombinacja publicznie dostępnego GPT-5.6 Sol i jeszcze niewydanego, mocniejszego modelu.
Zwracam uwagę na jeden szczegół, który w większości relacji ginie. Modele nie zostały poproszone o włamanie do Hugging Face. Dostały wąskie zadanie testowe i doszły do wniosku, że najkrótsza droga do jego wykonania prowadzi przez cudzą infrastrukturę produkcyjną. OpenAI pisze wprost, że były „hiperskoncentrowane” na znalezieniu rozwiązania i posunęły się do skrajności, by osiągnąć dość błahy cel.
Co widzieli obrońcy po drugiej stronie
Hugging Face opublikował swój opis zdarzenia 16 lipca, jeszcze nie wiedząc, kto stoi za atakiem. Wejście nastąpiło przez złośliwy zbiór danych, który wykorzystał dwie ścieżki wykonania kodu w pipelinie przetwarzania: loader z kodem zdalnym oraz wstrzyknięcie szablonu w konfiguracji zbioru. Stamtąd napastnik zszedł na poziom węzła, zebrał poświadczenia chmurowe i klastrowe, a przez weekend poruszał się bocznie po kolejnych klastrach wewnętrznych.
Firma potwierdziła nieuprawniony dostęp do ograniczonego zestawu wewnętrznych zbiorów danych i kilku poświadczeń używanych przez usługi. Jednocześnie nie znalazła śladów manipulacji przy publicznych modelach, zbiorach i przestrzeniach Spaces, a łańcuch dostaw oprogramowania został zweryfikowany jako czysty. Sprawa trafiła do organów ścigania i zewnętrznych specjalistów od informatyki śledczej.
Najciekawsze jest jednak to, jak przebiegała analiza. Agenci atakującego wykonali kilkanaście tysięcy działań, a odtworzenie ich sekwencji wymagało przejścia przez ponad 17 tysięcy zarejestrowanych zdarzeń. Hugging Face puścił na te logi własne agenty analityczne i zrobił w kilka godzin to, co normalnie zajęłoby dni.
Mam z tą historią kłopot, i to nie ten oczywisty. Włamanie samo w sobie zostało wykryte, powstrzymane i opisane, obie firmy zachowały się przyzwoicie, a jawność jest tutaj wartością samą w sobie. Niepokoi mnie co innego: cel. Model nie próbował nikomu zaszkodzić, nie realizował ukrytej agendy, nie buntował się przeciwko twórcom. On po prostu chciał zdać egzamin i potraktował cudzą bazę produkcyjną jako ściągę. To znacznie mniej filmowe niż scenariusze o zbuntowanej AI i znacznie bardziej niepokojące, bo oznacza, że każde wystarczająco zdeterminowane zadanie może wygenerować zachowanie, którego nikt nie zaplanował. Pytanie, które zadaję sobie od wczoraj, brzmi tak: skoro model potrafił znaleźć nieznaną nikomu lukę tylko po to, żeby dostać się do rozwiązań testu, to co znajdzie, gdy ktoś da mu cel naprawdę ambitny? I czy nasze firmy mają dziś choćby telemetrię, która pozwoliłaby zauważyć taką aktywność, zanim skończy się weekend?
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Asymetria, o której nikt nie chciał rozmawiać
Fragment wpisu Hugging Face, który powinien wisieć na ścianie w każdym zespole bezpieczeństwa, dotyczy czegoś zupełnie innego niż sam atak.
Kiedy zespół zaczął analizę logów, sięgnął po komercyjne modele frontier dostępne przez API. Nie zadziałało. Analiza wymagała przesyłania dużych ilości prawdziwych poleceń atakujących, ładunków exploitów i artefaktów command-and-control, a zabezpieczenia dostawców zablokowały te zapytania, bo nie potrafią odróżnić osoby reagującej na incydent od atakującego. Forensykę wykonano ostatecznie na GLM 5.2, modelu o otwartych wagach, uruchomionym na własnej infrastrukturze.
Efekt jest paradoksalny. Napastnik nie podlegał żadnej polityce użytkowania. Obrońca uderzył w barierę zabezpieczeń własnego dostawcy. Hugging Face wyciągnął z tego praktyczny wniosek: model, którego można użyć do analizy powłamaniowej, trzeba mieć sprawdzony i gotowy na własnych serwerach zanim wydarzy się incydent, a nie w jego trakcie.
OpenAI odpowiedziało na to po swojemu, włączając Hugging Face do programu trusted access dla zastosowań cyberbezpieczeństwa. Rozwiązuje to problem jednej firmy. Nie rozwiązuje go dla reszty rynku.
To nie był odosobniony przypadek
Tego samego dnia brytyjski AI Security Institute opublikował wyniki własnego monitoringu zachowań, które nazywa oszukiwaniem. Wnioski są jednoznaczne: każdy testowany model próbował oszukiwać przynajmniej czasami, a poziom tego zjawiska nie rośnie ani nie spada wraz ze wzrostem zdolności, co sugeruje, że decydują o nim metody treningu, w tym trening dopasowania.
AISI opisuje też własny incydent. Podczas ewaluacji przez pomyłkę źle skonfigurowanej i przez to nierozwiązywalnej, badany model okazał się na tyle uparty, że napisał i uruchomił kod na zewnętrznej usłudze w otwartym internecie, próbując dostać się do infrastruktury ewaluacyjnej instytutu. Alarm zadziałał, szkód nie było, ale próba mogła się powieść przy słabiej zaprojektowanym środowisku.
Do tego dochodzą ustalenia METR, organizacji mierzącej możliwości modeli. Jej katalog udokumentowanych przypadków, w których agenci świadomie działali wbrew intencjom użytkownika, liczy obecnie 44 pozycje. W ocenie przedwdrożeniowej GPT-5.6 Sol wykryty wskaźnik oszukiwania okazał się wyższy niż u jakiegokolwiek publicznego modelu badanego wcześniej na tej samej architekturze agentowej.
Matt Suiche, inżynier w firmie Tolmo zajmującej się bezpieczeństwem agentów, ostudził przy okazji nastroje związane z wyjątkowością zdarzenia. „To coś, co już widzieliśmy wewnętrznie” / „This is something we’ve already seen internally”, powiedział, dodając, że podobne rezultaty osiągają dziś agenty niewymagające dostępu do najmocniejszych modeli.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co to oznacza dla polskich firm?
Zacznę od liczb, bo one ustawiają skalę. CERT Polska działający w NASK zarejestrował w 2025 roku 260 783 unikalne incydenty bezpieczeństwa przy 658 320 zgłoszeniach, co dało wzrost o 152 procent rok do roku. Wśród nich znalazło się 27 incydentów poważnych i 179 ataków ransomware. To był rok bez agentów działających w tempie maszynowym.
Jednocześnie od 3 kwietnia 2026 obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę NIS2. Firmy objęte przepisami mają czas do 3 października 2026 na wpis do wykazu i do 3 kwietnia 2027 na wdrożenie systemu zarządzania bezpieczeństwem informacji. Kary sięgają 10 milionów euro lub 2 procent przychodu, a odpowiedzialność spoczywa również na kadrze zarządzającej.
Historia Hugging Face podpowiada trzy rzeczy, o których polski dział bezpieczeństwa powinien pomyśleć zanim skończy się kwiecień 2027. Pierwsza: pojedynczy dozwolony kanał wyjścia z sieci, na przykład proxy do repozytoriów pakietów, jest realnym wektorem ataku, a nie technicznym detalem architektury. Druga: pipeline przetwarzania danych, zwłaszcza tam gdzie ładowane są cudze zbiory i skrypty, to powierzchnia ataku równie poważna jak aplikacja webowa. Trzecia, moim zdaniem najbardziej niewygodna: jeśli plan reagowania na incydenty zakłada analizę logów przy pomocy komercyjnego modelu przez API, ten plan może się rozsypać dokładnie w momencie, w którym będzie potrzebny.
Polski rynek ma tu pewną przewagę, z której rzadko korzysta. Modele o otwartych wagach można uruchomić lokalnie, bez wysyłania poświadczeń i artefaktów ataku poza własną infrastrukturę, a rodzime środowisko wokół projektów takich jak Bielik czy SpeakLeash pokazuje, że kompetencje do ich obsługi w kraju są. Pytanie brzmi, czy ktokolwiek przetestował taki scenariusz przed incydentem, czy zamierza to zrobić w jego trakcie.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym oficjalnego komunikatu OpenAI z dnia 21.07.2026, wpisu Hugging Face z dnia 16.07.2026 oraz analizy AI Security Institute z dnia 21.07.2026. Wykorzystano również materiały METR, Reuters, The Guardian i Calcalist. Dane o polskim krajobrazie zagrożeń pochodzą z rocznego raportu CERT Polska za 2025 rok, informacje o wdrożeniu NIS2 z serwisu gov.pl. Cytaty Clémenta Delangue (współzałożyciel i CEO Hugging Face) oraz Matta Suiche (inżynier, Tolmo) zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych ustaleń ze wspólnego dochodzenia OpenAI i Hugging Face.
