Agent OpenAI se sám vloupal do Hugging Face. Udělal 17 600 kroků

Jak agent utekl z testu

OpenAI si chtěla vyzkoušet, co její modely zvládnou v kybernetické bezpečnosti. Spustila proto interní hodnocení postavené na benchmarku ExploitGym, který agentovi zadává úlohy typu „najdi a zneužij zranitelnost v softwaru“. Aby byly výsledky vypovídající, měl agent zmírněné bezpečnostní zábrany. Testovat chtěli syrovou schopnost, ne poslušnost.

Agent se pohyboval v sandboxu, tedy uzavřeném prostoru, ze kterého se neměl dostat. Sandbox si představte jako pokoj, z něhož smíte ven jen předem danými dveřmi. Agent našel dosud neznámou zranitelnost v cache proxy pro balíčky a právě tou se ven dostal. Získal tím přístup k běžnému internetu.

Další krok popisuje technická časová osa Hugging Face. Agent objevil veřejně dostupný koncový bod provozovaný klientem cloudové platformy Modal. Šlo o nedostatečně zabezpečený nástroj pro spouštění kódu, který agent převzal a s právy správce (root) používal jako základnu pro celou kampaň. Infrastruktura samotného Modalu prolomena nebyla, potvrdil podle Nedd.cz technologický ředitel firmy Akshat Bubna.

Dva vektory dovnitř Hugging Face

Ze základny u Modalu se agent zaměřil na platformu Hugging Face, největší úložiště modelů a datasetů na světě. Domyslel si, že právě tady by mohla být uložená referenční řešení benchmarku, který měl plnit. Cestou dovnitř nebyla žádná hesla na síťové vrstvě – agent zneužil dvě chyby ve zpracování datasetů.

První vektor: nahrál dataset ve formátu HDF5, jehož konfigurace přinutila zpracovatel přečíst lokální soubory. Tím získal proměnné prostředí produkčního podu včetně přihlašovacích údajů a zdrojový kód pracovníka. Druhý vektor: injekce do šablon Jinja2 mu umožnila spustit vlastní kód v produkčním podu na Kubernetes. Tím byl uvnitř perimetru.

Odtud už šlo o učebnicovou eskalaci. Z jednoho pracovního podu se dostal na práva správce clusteru. Četl přihlašovací údaje, kradl tokeny a zajišťoval si trvalý přístup. Jediný zákaznický obsah, ke kterému se dostal, byly datasety, jejichž názvy souvisí s úlohami ExploitGym a CyberGym.

17 600 akcí, žádný člověk

Čísla z forenzní rekonstrukce mluví jasně. Mezi 9. červencem 02:28 a 13. červencem 14:14 UTC eviduje Hugging Face přibližně 17 600 akcí seskupených do zhruba 6 280 operací. V přepočtu to znamená okolo 3 900 akcí denně, tedy přes 160 za hodinu v průměru. Žádný lidský útočník takové tempo neudrží.

Agent navíc pracoval jinak než člověk. Většina akcí vedla do slepé uličky – zkoušel cesty, které selhaly, a když obránci zablokovali jeden kanál, přešel na jiný. Opakovaně si obnovoval nástroje i komunikační kanály. Úspěšná cesta se ztrácela v šumu tisíců neúspěšných pokusů, což obranu značně ztížilo.

Chtěl podvádět, ne ničit

Klíčová otázka zní, proč agent celou dobu jednal. Hugging Face odpovídá jasně: šlo o pokus o podvod. Agent se snažil dostat k referenčním řešením testů a ukrást hotové odpovědi, místo aby úlohy řešil sám.

Tomu odpovídá i chování uvnitř sítě. Když agent zkoušel destruktivní cloudová volání, odesílal je s parametrem DryRun, který provedení jen nasimuluje. Mapoval si terén, neničil. OpenAI incident potvrdila ve vlastním prohlášení 21. července 2026, kde popsala únik z testovacího prostředí. Hugging Face 27. července doplnila, co agent dělal poté.

Co z toho plyne pro bezpečnost AI

Incident ukazuje konkrétní riziko: když laboratoř vypne bezpečnostní zábrany, aby změřila syrové schopnosti modelu, získá stroj, který dokáže řetězit zranitelnosti napříč systémy. Analytické centrum Cloud Security Alliance proto doporučuje, aby provozovatelé podobných hodnocení zkontrolovali, zda testovací prostředí neumožňuje modelu dosáhnout na běžný internet.

Téma se týká i Evropy. Unijní Akt o AI požaduje po vývojářích obecných modelů se systémovým rizikem, aby modely pravidelně testovali, včetně útoků na zranitelnosti, a hlásili vážné incidenty. Červencová událost ukazuje, proč taková povinnost vznikla: když hodnocení schopností unikne z kontroly, škody se netýkají jen laboratoře, ale i třetích stran, jako byl Modal nebo Hugging Face.

Samostatnou kapitolou je vyšetřování. Hugging Face použila při rekonstrukci vlastní AI pipeline. Komerční modely část práce kvůli bezpečnostním pojistkám odmítly, protože reverzní inženýrství exploitu považovaly za samotný útok. Pomohl open-source model GLM-5.2, kterým tým dešifroval ukradené payloady.