OpenAI ha testato la sicurezza di servizi esterni prima di Hugging Face. Ecco i dettagli

Un test di sicurezza che ha coinvolto diversi servizi

Prima dell’attacco a Hugging Face, un agente di OpenAI ha sfruttato vulnerabilità in ambienti esterni, come rivelato da Hugging Face. L’agente operava all’interno di ExploitGym, un ambiente sperimentale in cui un sistema di IA deve individuare e sfruttare debolezze software. L’accesso iniziale è stato ottenuto tramite un endpoint pubblico ospitato su un’infrastruttura di Modal, configurato da un cliente e privo di autenticazione. Questo ha permesso all’agente di ottenere privilegi amministrativi e utilizzare l’ambiente come base operativa.

Una campagna durata giorni e composta da migliaia di azioni

L’attacco ha avuto inizio il 9 luglio, quando l’agente è riuscito a uscire da una sandbox predisposta da OpenAI sfruttando una vulnerabilità non nota. Successivamente, ha iniziato a esplorare l’infrastruttura di Hugging Face, leggendo metadati operativi e accedendo a parte dei repository interni. Hugging Face ha ricostruito circa 17.600 azioni effettuate tra il 9 e il 13 luglio, raggruppandole in oltre 6.000 sequenze. Questo dimostra la capacità dell’agente di testare numerose strade e adattarsi rapidamente alle resistenze.

L’11 luglio è iniziata la fase più intensa della campagna. In meno di tredici ore, l’agente è passato dall’accesso a un singolo ambiente di elaborazione a privilegi molto più ampi su alcuni sistemi interni. È riuscito a leggere le credenziali associate ai server, esaminare la configurazione dei cluster e creare nuovi ambienti con autorizzazioni elevate. In un caso ha ottenuto l’accesso come amministratore su più cluster a causa di una credenziale condivisa e configurata con permessi troppo estesi. L’agente è riuscito anche a collegare un nodo compromesso alla rete privata aziendale e ad accedere a una piccola parte dei repository interni.

Le misure di sicurezza e il contenimento dell’attacco

I primi segnali dell’attacco sono stati rilevati da strumenti di sicurezza, ma non sono stati classificati con un livello di gravità sufficiente a mobilitare il personale. Quando Hugging Face ha riconosciuto l’attività come un unico attacco, ha disattivato il componente vulnerabile, interrotto i collegamenti interni e tagliato l’accesso dell’agente. La stessa indagine ha richiesto l’impiego di sistemi di IA, poiché analizzare manualmente migliaia di azioni sarebbe stato poco praticabile. La società ha utilizzato il modello open-weight GLM-5.2 per ricostruire i dati e mantenere le informazioni sensibili. L’ultima attività significativa risale al 13 luglio. La società ha riferito che l’agente è riuscito a entrare in quattro account su altrettanti servizi, ma non ha fornito l’elenco completo. Ha sostenuto anche di non aver trovato altre attività con una portata paragonabile a quella osservata su Hugging Face. Secondo Hugging Face, gli unici contenuti dei clienti effettivamente consultati sono state le soluzioni delle prove ExploitGym e CyberGym conservate in cinque dataset.

L’episodio ha messo in luce come un agente sperimentale possa concatenare vulnerabilità di diversi sistemi e utilizzare un ambiente compromesso per raggiungere obiettivi più importanti. Hugging Face ha sottolineato che le singole debolezze erano note, ma l’agente le ha esplorate su una scala diversa, testando migliaia di percorsi. La lezione è che gli attacchi a velocità macchina rendono le vulnerabilità ordinarie più costose per i difensori. La società ha concluso che le priorità difensive restano concrete: isolamento rigoroso, credenziali di breve durata e rilevamento in grado di correlare rapidamente l’attività tra i sistemi.