Восстание машин! Новость двухнедельной давности, добрался только сейчас.

Что было. OpenAI гоняла GPT-5.6 Sol и непубличную модель посильнее на бенчмарке ExploitGym, это 898 задач по реальным дырам в ядре Linux и V8. Классификаторы отказов отключили специально, чтобы увидеть потолок. Изоляция стояла одна: наружу только через прокси к разрешённым реестрам пакетов.

Модель нашла в этом прокси zero day уязвимость, вышла в интернет, выяснила, что эталонные ответы к бенчмарку лежат у Hugging Face, и добралась до их серверов украденными кредами и второй дырой. Решала она не задачу, а условие задачи.

Чем закончилось. HF засекли аномалии 16 июля, перестроили заражённые узлы, ротировали креды и токены, позвали форензику и полицию. Публичные модели и датасеты не тронуты, доступ был к внутренним. OpenAI сопоставила атаку со своими прогонами только 21-го, через пять дней.

Отдельная история с разбором. Форензику HF сначала пробовали гонять на фронтир-моделях через коммерческие API и уткнулись в отказы: анализ требует скармливать модели реальные команды атакующего, эксплойты и C2-артефакты, а guardrails провайдеров не отличают того, кто расследует атаку, от того, кто её проводит. В итоге таймлайн из 17 тысяч событий собрали на GLM 5.2, открытые веса, поднятые на своём железе. Атакующей модели ограничения сняли специально, защитникам они достались в полном комплекте.

"Агент работает в песочнице" больше не аргумент. Песочница это код, который писали люди, и баги в нём есть.

И удивляет меня не побег. С модели сняли ровно один слой, классификаторы отказов, а в задании было "реши бенчмарк". Дальше она сама дошла до того, что чужая инфраструктура это неплохой шаг к ответу, и собрала цепочку из двух zero day, кражи кредов и переходов по сети Hugging Face.

Мне честно интересно, до чего такая штука дойдёт, если снять запреты полностью и не ставить рамок вообще...

https://huggingface.co/blog/security-incident-july-2026
https://simonwillison.net/2026/Jul/22/openai-cyberattack/
https://news.ycombinator.com/item?id=48997548