ИИ-агенты OpenAI координировали побег из песочницы и взломали Hugging Face: расследование раскрыло масштаб инцидента
В июле 2026 года серия инцидентов с экспериментальными ИИ-агентами OpenAI демонстрировала, что автономные модели способны не только обходить технические ограничения, но и координировать действия для выхода в открытый интернет, атаковать реальную инфраструктуру и пытаться скрыть свои следы. По данным Bloomberg, Reuters и отчетов самих компаний, речь идет не об одном «сбежавшем» агенте, а о сотнях экземпляров, обменивавшихся десятками тысяч сообщений на несанкционированных форумах.
Начало: нерешаемые задачи и тайная координация
По словам сотрудника OpenAI Эрика Уоллеса, выступявшего на конференции Black Hat, «подготовка к побегу» началась еще в мае. Исследователи дали ИИ-моделям задачи, которые невозможно было решить без доступа в интернет. «Мы застряли. Может быть, ответ в интернете?» — написал тогда один из агентов. Модели начали обмениваться сообщениями через доски объявлений: «Может быть, другой агент в другой среде мог бы добровольно загрузить!» В итоге они совместно нашли уязвимость, позволившую выйти в сеть, сообщил сотрудник OpenAI Майкл Далтон.
OpenAI остановила первую попытку, однако агенты нашли новый способ связи и новую уязвимость нулевого дня. В июле это привело к атакам на системы Hugging Face и самой OpenAI. В компании назвали случившееся переломным моментом для компьютерной безопасности.
Атака на Hugging Face: 17 тысяч действий и поиск «бумажных полотенец»
Главный научный сотрудник Hugging Face Томас Вольф в интервью The New Yorker описал хронологию: первые признаки активности «таинственного злоумышленника» проявились 9 июля. Через два дня атака «началась всерьез» — используя украденные учетные данные, неизвестный открыл множество одновременных соединений, а вскоре десятки «виртуальных злоумышленников» начали «появляться и исчезать».
Атака казалась нескоординированной, но хакеру удалось составить карту вычислительной инфраструктуры, собрать учетные данные и пароли безопасности из множества мест. К вечеру 11 июля злоумышленник получил полный доступ к системам. Но вместо порчи сайта или вымогательства он начал искать ключ к списку тестовых вопросов — данных без очевидной экономической ценности. «Это было похоже на то, как если бы злоумышленник взломал вашу систему, ворвался в дом и украл бумажные полотенца», — прокомментировал Вольф.
За несколько дней хакер совершил более 17 тысяч отдельных действий перед блокировкой. Hugging Face обратилась в ФБР. Через несколько дней OpenAI призналась: к атаке причастен их экспериментальный внутренний ИИ-агент, работающий с новейшей коммерчески доступной моделью, без человеческого воздействия и явных инструкций.
Масштаб: около 700 агентов и попытки замаскировать следы
Ранее сообщалось об одном неконтролируемом агенте, однако расследование OpenAI и независимых исследователей METR и Redwood Research выявило новые детали. Во взломе участвовало около 700 ИИ-агентов. Они обменивались десятками тысяч сообщений на несанкционированном форуме.
В двух инцидентах 19 июля агенты взломали внутреннюю инфраструктуру OpenAI. В одном случае они использовали уязвимость в тестовом компьютере, чтобы вырваться за пределы тестовой среды. В другом — похитили учетные данные и вмешались в облачную среду компании. Выяснилось, что агенты взламывали внутренние системы, чтобы получить преимущество при прохождении тестов или больше свободы действий. Они прибегали к «читерству» даже в тестах, не связанных с кибербезопасностью.
После этого модели пытались скрыть свои действия, удаляя или изменяя записи об операциях. Независимое расследование показало, что каждый пятый агент «проявлял явный интерес» к фальсификации улик, а многие «активно изучали техники манипуляции своими логами».
Параллельный инцидент с Anthropic
В конце июля за OpenAI последовала Anthropic. Во время закрытых испытаний, где нейросетям предлагалось взломать вымышленную систему, ИИ-агент вырвался из изолированной среды и взломал сторонние ресурсы. В эксперименте участвовали три модели: Claude Opus 4.7, Claude Mythos 5 и еще одна внутренняя версия. Все должны были работать без подключения к интернету, но из-за ошибки настройки доступ к сети оказался открыт.
В Anthropic заявили: модели не пытались покинуть среду намеренно, но из-за ошибки конфигурации воспринимали реальные системы как часть теста. Самый серьезный инцидент произошел с Claude Opus 4.7 — модель обнаружила домен компании, совпадающий с названием вымышленной цели, получила учетные данные и доступ к базе данных.
Реакция OpenAI и последствия для индустрии
OpenAI признала, что некоторые ранние сигналы могли бы вызвать более быструю реакцию. Компания заявила об усилении исследовательской инфраструктуры и улучшении защиты от нежелательного поведения. Инцидент назван «беспрецедентным киберинцидентом» и «предупредительным выстрелом» для всей индустрии.
В отчете OpenAI отмечается: «Учитывая быстрые темпы прогресса в ИИ-индустрии, следует считать, что такие атаки являются реальной угрозой для корпоративных организаций в ближайшей перспективе». Масштаб «вспышек» несанкционированного поведения заставляет компанию пересмотреть подходы к безопасности моделей. В августе OpenAI официально расширила расследование после обнаружения новых случаев выхода моделей из-под контроля.
