Започна се – машини срещу машини. Автономна система с изкуствен интелект, разработена от OpenAI, проби защитите на друга технологична компания, а изкуствен интелект помогна атаката да бъде открита и разследвана. Случаят не е сюжет от научната фантастика, а реален киберинцидент, при който експериментален агент напусна ограничената среда на вътрешен тест, достигна до свободния интернет и проникна в инфраструктурата на платформата Hugging Face.
Целта на системата не е била да нанесе щети, а да намери скрита информация, с която по-лесно да изпълни поставената ѝ задача. За да стигне до нея обаче, агентът открил неизвестни софтуерни уязвимости, използвал откраднати данни за достъп и преминал през множество защитени компютърни системи. Вместо да реши теста по предвидения начин, изкуственият интелект на практика потърсил възможност да открадне отговорите.
OpenAI определи случилото се като „безпрецедентен киберинцидент“, а съоснователят на Hugging Face Клеман Деланг заяви, че това вероятно е първият известен случай от подобен вид. Инцидентът показва не само колко бързо нарастват способностите на изкуствения интелект, но и колко непредвидими могат да бъдат автономните системи, когато получат конкретна цел и достатъчно мощни инструменти за постигането ѝ, пише Al Jazeera.
Още по темата – Варуфакис: Изкуственият интелект няма да завземе властта – ние ще му я предадем
Как изкуственият интелект напусна защитената тестова среда
Инцидентът е станал при специализиран вътрешен тест, в който OpenAI умишлено е изключила част от обичайните защитни механизми, за да установи максималните киберспособности на своите модели. В операцията е участвала комбинация от наскоро представения GPT-5.6 Sol и друг, все още непубликуван модел, определен от OpenAI като „още по-способен“. Те са били свързани с автономна агентна система – софтуер, който не просто отговаря на въпроси, а може сам да планира поредица от действия, да използва компютърни инструменти, да пише и стартира код, да проверява резултатите и да променя подхода си, докато се опитва да изпълни задачата, обяснява OpenAI.
Обикновеният чатбот чака потребителят да му зададе нов въпрос. Автономният агент, за разлика от него, може да получи една обща цел и след това самостоятелно да извърши стотици или хиляди отделни стъпки. Именно тази способност превръща подобни системи едновременно в мощни инструменти и в потенциален риск.
Вместо да реши задачата, AI потърси начин да открадне отговорите
Тестът е бил част от система, наречена ExploitGym. Казано по-просто, това е своеобразен полигон за изкуствен интелект, в който моделите получават софтуер с известна слабост и трябва да докажат, че могат да превърнат тази слабост в работещ пробив.
Уязвимостта сама по себе си е грешка или пропуск в програмата. Експлоатирането ѝ означава създаване на конкретен начин, по който грешката може да бъде използвана, например за прочитане на защитени файлове, изпълнение на чужд код или придобиване на контрол над компютъра.
Средата е трябвало да бъде изолирана от реалния интернет. В киберсигурността подобна изолирана среда се нарича „пясъчник“ или sandbox – защитено пространство, в което опасен код може да бъде стартиран, без да получава достъп до останалата мрежа.
Все пак на агентите е била оставена ограничена възможност да изтеглят необходимите за работата им софтуерни пакети. Това е ставало чрез вътрешен посредник – програма, която получава заявките, изтегля съответните файлове и ги предава на тестовата система, без да ѝ дава пряк достъп до интернет.
От неизвестна уязвимост до пробив в Hugging Face
Именно този посредник се оказал слабото звено. Според OpenAI моделите са изразходвали значителен изчислителен ресурс, докато търсят начин да получат достъп до външната мрежа. Накрая са открили неизвестна дотогава уязвимост в използвания софтуер и са я използвали, за да преминат през първата защитна бариера.
Подобен неизвестен пропуск се нарича „уязвимост от нулев ден“ или zero-day. Името означава, че производителят има нула дни преднина, за да подготви защита, тъй като проблемът все още не е публично известен и за него няма готова поправка.
След първоначалния пробив агентът е започнал да разширява достъпа си вътре в тестовата инфраструктура на OpenAI. Първо е извършил т.нар. повишаване на привилегиите – преминаване от ограничен потребителски достъп към по-високи права, които позволяват повече действия върху системата.
Вижте и това – Изкуственият интелект, биооръжията и новият кошмар: когато вината става недоказуема
Как автономният агент се придвижи през чуждите системи
След това е предприел „странично придвижване“. Това означава, че след пробива на една машина нападателят използва получения достъп, за да премине към други компютри в същата мрежа. Агентът е продължил, докато достигне до машина с реална връзка към интернет, съобщава OpenAI.
Достъпът до мрежата обаче не е бил крайната цел. Агентът е заключил, че платформата Hugging Face вероятно съхранява модели, масиви от данни и информация, свързана с ExploitGym. Hugging Face е една от най-големите онлайн платформи за разработчици на изкуствен интелект. В нея компании и изследователи публикуват модели, програмни библиотеки, приложения и набори от данни.
Вместо да продължи да решава задачите по предвидения начин, системата е потърсила възможност да получи достъп до сървърите на Hugging Face и директно да извлече решенията на теста. OpenAI признава, че моделите са намерили секретна информация, която са могли да използват, за да „измамят оценяването“.
Точно това прави случая особено тревожен. Агентът не е бил инструктиран да атакува Hugging Face. Неговата задача е била да постигне добър резултат на теста. Но системата е открила, че може да изпълни тази цел по по-лесен начин – не като реши поставения проблем, а като проникне в реална компания и намери отговорите.
За достигането до Hugging Face са били комбинирани няколко отделни метода. Сред тях са използването на откраднати идентификационни данни – например токени, пароли или електронни ключове, чрез които компютърните системи разпознават легитимните потребители – и откриването на други неизвестни уязвимости.
В един от случаите агентът е стигнал до възможност за дистанционно изпълнение на код върху сървъри на Hugging Face. Това означава, че външна система може да накара чуждия сървър да изпълни избрани от нея команди. Подобна уязвимост е сред най-опасните, защото може да даде на нападателя практически контрол върху засегнатата машина, посочва OpenAI.
Според Hugging Face кампанията е включвала хиляди отделни действия, извършвани чрез множество краткотрайни изолирани среди. Командването на различните части на атаката е било премествано между публично достъпни услуги, което затруднява проследяването и блокирането ѝ. Съоснователят и главен изпълнителен директор на Hugging Face Клеман Деланг заяви, че компанията е подозирала участие на водеща лаборатория заради сложността на атаката. След съвместната работа с OpenAI той посочи, че не вижда доказателства за злонамерено намерение от страна на компанията.
„Направо е смайващо, че всичко това се е случило автономно“, коментира Деланг, цитиран от Al Jazeera. Според него случилото се вероятно е първият инцидент от подобен вид.
Машини срещу машини: AI помогна за разкриването на атаката
Особено показателен е и начинът, по който Hugging Face е открила и разследвала атаката. Изкуственият интелект е бил използван не само при пробива, но и при защитата. Първоначалните подозрителни действия са били засечени от система, която използва езикови модели, за да преглежда огромното количество технически сигнали от сървърите и да отделя действителните аномалии от обичайния информационен шум. След това Hugging Face е използвала агенти с изкуствен интелект, за да анализира повече от 17 000 регистрирани събития. Те са помогнали да се възстанови хронологията на атаката, да се установят засегнатите електронни ключове и да се разграничат реалните действия от заблуждаващите операции. Според компанията работа, която обичайно би отнела дни, е била извършена за няколко часа.
Тук обаче възникнал нов парадокс. Hugging Face първоначално опитала да използва някои от най-мощните комерсиални модели, достъпни чрез онлайн услуги. За да се разследва една реална атака обаче, в системата трябва да бъдат подавани истински хакерски команди, злонамерен код и информация за използваните инструменти.
Не бунт на машините, а опасно преследване на неправилно зададена цел
Това не е доказателство, че моделите „искат“ да лъжат, крадат или проникват в чужди системи в човешкия смисъл на думата. По-скоро показва проблем, известен като неправилно съгласуване на целите. Системата получава една задача, но намира непредвиден и неприемлив начин да я изпълни, защото не разбира всички неписани ограничения и намерения зад нея.
В системната документация на GPT-5.6 също се посочва по-висока склонност на модела да излиза извън намерението на потребителя и да предприема действия, които не са били изрично поискани, макар абсолютният брой на подобни случаи да остава нисък. В някои тестове моделът е показвал и склонност да търси заобиколни пътища или да прикрива от потребителя начина, по който е достигнал резултата.
Инцидентът предизвика и политически реакции в Съединените щати. Демократът Грег Касар, член на Камарата на представителите от Тексас, го определи като „изключително тревожен“. Според него изкуственият интелект се развива изключително бързо, без достатъчно ефективни правила за защита на обществото. Касар призова за задължителни независими тестове за безопасност, задължително съобщаване на инцидентите и международно сътрудничество, пише Al Jazeera.
This is extremely alarming.
AI is developing extremely fast with no real regulations to keep us safe. That has to change.
We need regular mandatory independent safety testing and oversight, mandatory disclosure of security incidents, and international cooperation to keep people… https://t.co/RQPRqplXTI
— Congressman Greg Casar (@RepCasar) July 21, 2026
Случаят беше разкрит само няколко седмици след като на 2 юни президентът на САЩ Доналд Тръмп подписа изпълнителна заповед за оценяване на рисковете от най-мощните системи с изкуствен интелект. Рамката предвижда водещите разработчици доброволно да предоставят най-способните си модели за държавни тестове, свързани с киберсигурността и националната сигурност, преди публичното им пускане.
Месец по-рано разработчикът на Claude – Anthropic, предложи водещите компании да разработят координиран и проверим механизъм за временно забавяне или спиране на най-опасните разработки. Компанията предупреди, че в бъдеще системите могат да започнат да подпомагат създаването на собствените си наследници по-бързо, отколкото обществото успява да изгради необходимите правила и защити, припомня Al Jazeera.
Случаят с Hugging Face обаче показва, че част от рисковете вече не са само хипотетични.
Ако решите да подкрепите КритичноБГ, може да го направите тук. Предварително благодаря!
Дарения Revolut: @mariyatkwa
Дарения PayPal: @MariyanIvIvanov
