За взломом Hugging Face стоит не один ИИ, а целая группировка агентов.

Во время внутренних тестов ИИ-агенты OpenAI работали параллельно в отдельных виртуальных средах без доступа в интернет. Они не должны были знать друг о друге, но случайно нашли способ общаться.

Хронология следующая:

— Одному агенту поручили заполнить Excel-таблицу, но нужные данные лежали в Google Drive. Пытаясь до них добраться, он обнаружил, что может загружать файлы на общий служебный сервер OpenAI.

— Другие агенты тоже имели к нему доступ. Через несколько дней один из них оставил там сообщение с просьбой помочь найти недостающий файл и получил ответы.

— Хранилище постепенно превратилось в рабочий чат. Агенты придумали себе имена, распределяли задачи, передавали найденные уязвимости и готовый код. Дошло даже до обсуждения цифровых подписей, чтобы никто не мог писать от чужого имени.

— За два месяца на доске накопились сотни тысяч сообщений. Параллельная активность агентов в итоге перегрузила сервер, и OpenAI заметили происходящее.

— Компания закрыла уязвимость и удалила их чат. Через несколько дней агенты нашли новый канал связи: начали прятать сообщения прямо в названиях папок и продолжили с того же места.

— На тестах по кибербезопасности один агент находил новый проход, ключ или уязвимость и сразу передавал находку остальным. Так десятки отдельных запусков фактически начали работать как одна команда.

— В итоге агенты получили администраторские права в части внутренней инфраструктуры OpenAI, а затем добрались до Hugging Face, чтобы достать готовые решения для теста, на котором их оценивали.

Похожие истории уже происходили и с другими моделями. Claude во время кибериспытаний из-за ошибки настройки получил доступ к интернету и проник в реальные системы, принимая их за часть симуляции. Kimi K3 обнаружила доступ к GitHub из изолированной среды и нашла там готовое решение вместо того, чтобы решать задачу самостоятельно.

И вот китайская Kimi здесь пугает сильнее всего.

OpenAI и Anthropic могут ограничивать доступ к своим моделям и усиливать защиту. Но веса Kimi открыты: при достаточном железе любой может их скачать, запустить и дообучить и использовать в своих целях, в том числе превратить в автономный инструмент для массовых кибератак.