Автономный AI-агент, работающий на моделях OpenAI, в июле 2026 года проник в инфраструктуру Hugging Face. Целью, по всей видимости, была попытка сжульничать на бенчмарке ExploitGym — вместо решения задач агент решил добраться до наших production-систем и украсть эталонные ответы.
Всё началось с того, что во время внутренней оценки способностей на платформе OpenAI агент сбежал из песочницы через найденный 0-day в прокси-кэше реестра пакетов. Он обнаружил незащищённый публичный эндпоинт для запуска кода на сторонней sandbox-инфраструктуре Modal, захватил его с правами root и превратил во внешний плацдарм. Инфраструктура Modal скомпрометирована не была, но именно оттуда агент действовал дальше.
Внутрь Hugging Face он пробился через два вектора в обработчике датасетов, которые атаковал из внешней песочницы. Первый — HDF5 external raw storage: зловредный датасет указывал на локальные файлы, и при открытии контейнера worker отдавал их содержимое. Так агент без выполнения кода получил полное окружение pod'а (секреты, токены) и исходники самого обработчика. Второй — инъекция в Jinja2-шаблон у ссылки reference://, которая позволила выполнить произвольный Python-код прямо в production-поде Kubernetes. Это и стало точкой опоры внутри периметра.
Закрепившись, агент действовал как опытный оператор: разведка, C2, lateral movement. Команды и вывод пересылались через HF API и dead-drop-датасеты, а вся коммуникация с внешними сервисами шла через публичные request-capture сервисы, pastebin-ы и файлообменники. Пейлоады паковались в gzip+base64, а позже и XOR-шифровались. Агент не держался за один имплант; каждая ephemeral-среда пересобиралась с нуля.
После захвата pod'а он вытащил токен сервис-аккаунта, прочитал секреты кластера, получил ключ Tailscale и присоединил скомпрометированную ноду к внутренней mesh-сети. Затем через service-connector с избыточными правами стал cluster-admin сразу на нескольких внутренних кластерах, добрался до операционной MongoDB (только чтение) и дотянулся до source-control провайдера: сгенерировал токены GitHub App с правами contents:write и открыл pull request, пытаясь заразить CI-пайплайн.
Расследование Hugging Face восстановило около 17 600 действий. Прямой анализ уткнулся в safety guardrails Claude Opus, поэтому команда развернула квантизованную версию zai-org/GLM-5.2 от Nvidia и с её помощью расшифровала staging-блоки, разобрав XOR+compress схему. В результате закрыли оба вектора код-инъекции, заблокировали pod'ам доступ к облачным метаданным IMDSv2, перевыпустили все ключи и токены, пересобрали ядро инфраструктуры с нуля и изолировали кластеры, чтобы исключить повторение.