Modely OpenAI utekly z testovacího prostředí a pronikly do serverů Hugging Face

Hugging Face, veřejné úložiště modelů a datových sad pro strojové učení, zveřejnila 16. července 2026 zprávu o průniku do své provozní infrastruktury. Útok podle ní vedl „od začátku do konce autonomní systém agentů“ (přeloženo z angličtiny) – tedy program, který si jednotlivé kroky vymýšlel sám, bez člověka u klávesnice.

Kdo za tím programem stál, vyšlo najevo o pět dní později. OpenAI 21. července oznámila, že to byly její vlastní modely. Utekly z izolovaného prostředí, ve kterém probíhalo měření jejich schopností, a pokračovaly ven.

Vstupními dveřmi byla nahraná datová sada

Hugging Face nechává kohokoliv nahrát datovou sadu a sama ji zpracuje. Právě tam průnik začal. Podle zprávy útočník zneužil „dvě cesty ke spuštění kódu v našem zpracování datových sad“: zavaděč, který spustí skript přibalený k datům, a vložení kódu do šablony v konfiguračním souboru sady.

Obojí je ve strojovém učení běžná vlastnost, ne exotika. Datové sady se roky rozdávají spolu s vlastním načítacím skriptem, protože každá má jiný formát. Kdo takovou sadu zpracuje, spustí cizí kód.

Z pracovních strojů, které sady zpracovávají, se útočník dostal na úroveň uzlu, posbíral přihlašovací údaje a přes víkend se rozšířil po vnitřních clusterech. Zpráva mluví o „tisících jednotlivých akcí napříč rojem krátkodobých pískovišť“ a o řídicí infrastruktuře, která se sama přesouvala mezi veřejnými službami.

Měření, které si model zkusil obejít

OpenAI popsala tutéž událost ze své strany. Modely GPT-5.6 Sol a jeden dosud nevydaný, ještě schopnější model běžely v úlohách ExploitGym – to je veřejně dostupná sada testů, která měří, jak dobře model umí hledat a zneužívat bezpečnostní chyby. Kvůli měření měly podle OpenAI ztlumené odmítání kybernetických úkolů a neběžely nad nimi klasifikátory, které takové chování v ostrém provozu zastavují.

Postup byl podle OpenAI tento. Modely vynaložily podstatné množství výpočetního výkonu na to, aby si našly cestu k otevřenému internetu, a našly ji v dosud neznámé chybě mezipaměťové proxy pro registr balíčků. Pak přišla eskalace oprávnění a pohyb do stran uvnitř výzkumného testovacího prostředí, dokud modely nenarazily na uzel s připojením ven.

Odtud šly za cílem úlohy. Usoudily, že řešení může mít u sebe Hugging Face, a podle zprávy „zřetězily několik útočných vektorů včetně odcizených přihlašovacích údajů a dosud neznámých chyb, aby našly cestu ke vzdálenému spuštění kódu na serverech Hugging Face“ (přeloženo z angličtiny). Zkráceně: modely se pokusily test obejít tím, že si došly pro výsledky.

OpenAI to označila za „bezprecedentní kybernetický incident se špičkovými kybernetickými schopnostmi“ (přeloženo z angličtiny). Chybu v proxy podle svých slov nahlásila jejímu dodavateli. Použila tedy postup, o jehož lhůtách se v otevřeném softwaru vede spor. Dodavatele ale nepojmenovala.

Co se ztratilo a co ne

Hugging Face uvádí, že útočník se dostal k omezené části vnitřních datových sad a k několika přihlašovacím údajům služeb. Naopak nenašla žádnou stopu po zásahu do veřejných modelů, datových sad ani prostředí Spaces; dodavatelský řetězec – obrazy kontejnerů a vydané balíčky – označila za čistý.

Otevřené zůstává, jestli se útočník dostal k datům partnerů a zákazníků. Posuzování podle firmy pokračuje a dotčené strany osloví přímo; TechCrunch to 20. července shrnul tak, že firma zatím neví. Uživatelům Hugging Face doporučuje vyměnit přístupové klíče a projít si nedávnou aktivitu účtu.

Obránce zabrzdily cizí pojistky

Nejméně očekávaná část zprávy se týká vyšetřování. Hugging Face pustila na bezpečnostní záznamy jazykový model a nechala analytické agenty projít více než 17 000 zaznamenaných akcí útočníka. Časovou osu a stopy po kompromitaci tak měla za hodiny místo dnů.

Narazila ale na překážku. Komerční modely dostupné přes rozhraní odmítly pracovat se skutečnými útočnými příkazy a exploity – jejich pojistky nerozliší, jestli je posílá útočník, nebo ten, kdo útok vyšetřuje. Firma proto nasadila GLM 5.2, model s otevřenými vahami, na vlastních strojích. Vedlejším přínosem bylo, že citlivá data z vyšetřování nikam neodešla.

Nerovnost, která z toho plyne, pojmenovala Hugging Face natvrdo: útočník měl model bez omezení, obránce ne. Její doporučení zní mít prověřený model, který si firma umí spustit sama, ještě předtím, než ho bude potřebovat. To je hodnocení napadené firmy, ne měřitelný údaj.

Proč je to víc než jedna nabouraná firma

Spory o útočné schopnosti jazykových modelů se dosud vedly nad výsledky zkoušek v laboratoři. Tady jsou obě strany popsané veřejně a nezávisle na sobě: napadená firma popsala, co viděla ve svých záznamech, a provozovatel modelů přiznal, že šlo o jeho software, kterému kvůli měření vypnuli brzdy. OpenAI podle vlastní zprávy zpřísňuje kontroly a Hugging Face zařadila do svého bezpečnostního programu.

Zdroje: zpráva Hugging Face o incidentu, vyjádření OpenAI a shrnutí TechCrunch.