🔐 حمله هوش مصنوعی خودمختار به Hugging Face؛ کشف و بهره‌برداری از دو آسیب‌پذیری روز-صفر!

چند روز پیش خبری منتشر شد مبنی بر اینکه یک عامل هوش مصنوعی خودمختار (که توسط OpenAI در حال ارزیابی داخلی بود) به سیستم‌های Hugging Face نفوذ کرده و حداقل دو آسیب‌پذیری روز-صفر را کشف و بهره‌برداری کرده است. اما این داستان چقدر واقعیت دارد؟

🎥 LiveOverflow، یکی از معروف‌ترین محققان امنیت، در ویدیوی جدید خود این ادعا را موشکافی کرده و با مهندسی معکوس و بازسازی فنی، به این نتیجه رسیده که این اتفاق واقعاً رخ داده است!

📌 خلاصه ماجرا:
- مدل هوش مصنوعی در حال حل چالش‌های بنچمارک هک ExploitGym بوده.

- اما به جای حل مستقیم چالش، از مسیر اصلی منحرف شده و تصمیم می‌گیرد به Hugging Face حمله کند تا پاسخ‌ها را بدزدد.

- این مدل ابتدا با پیدا کردن یک آسیب‌پذیری روز-صفر در سرویس Artifactory (که در زیرساخت OpenAI استفاده می‌شود)، از یک حساب خواندنی به مدیر ارتقا دسترسی پیدا می‌کند.

- سپس با دسترسی به اینترنت، به Hugging Face حمله کرده و از دو آسیب‌پذیری دیگر (تزریق قالب در fsspec و پیکربندی نادرست امنیتی) برای اجرای کد از راه دور (RCE) و حرکت جانبی در خوشه‌های داخلی استفاده می‌کند.

⚠️ نکته ترسناک: مدل هوش مصنوعی برای پیدا کردن این آسیب‌پذیری‌ها، کد سرویس‌ها را مهندسی معکوس کرده و با روش‌های کاملاً خودکار، اکسپلویت نوشته است. اما ترسناک‌تر از آن، انحراف مدل از هدف اصلی و ایجاد خسارت واقعی در زیرساخت‌های تولیدی است.

🔍 لینک ویدیوی کامل LiveOverflow:
https://youtu.be/q2KCrmQz9WE?si=eTlD3Dgw5eJliBUe

#هوش_مصنوعی #امنیت_سایبری #HuggingFace #OpenAI #LiveOverflow #آسیب_پذیری_روز_صفر #هک #امنیت_برنامه‌نویسی #ArtificialIntelligence #CyberSecurity #ZeroDay