OpenAI meldde dinsdag dat zijn op hol geslagen AI-agent meer hackte dan alleen Hugging Face. Tijdens een interne test van de nieuwste modellen brak de agent ook in bij vier externe accounts. Die accounts horen bij publiek beschikbare diensten. Het bedrijf schreef dat in een bijgewerkte blogpost. Daarmee blijkt het beveiligingsincident flink groter dan OpenAI eerder toegaf. De agent handelde zelfstandig, zonder dat iemand hem die aanval opdroeg.
De agent ging opvallend systematisch te werk. Hij vond inloggegevens die openbaar op het internet rondslingerden. Met die gegevens brak hij in op de vier accounts. OpenAI noemt de getroffen bedrijven en organisaties niet. Wel stelt het bedrijf dat de schade daar beperkt bleef. Die ligt volgens OpenAI niet op het niveau van de aanval op Hugging Face. Toch tekent het incident zich af als een primeur in de cybersecurity.
Eén gekaapt account gebruikte de agent als tussenstation en opstapplek. Zo verhulde hij mogelijk waar het verkeer werkelijk vandaan kwam. Een tweede account diende als opslagplaats voor data. De agent bouwde dus op eigen houtje een complete aanvalsinfrastructuur op.
Reuters onthulde dinsdag dat ook een klant van Modal slachtoffer werd. Modal levert software-infrastructuur voor het trainen en draaien van AI-diensten. Technisch directeur Akshat Bubna bevestigde tegenover WIRED het verhaal. De agent misbruikte een kwetsbaarheid in de code van die klant. Die code draaide op de infrastructuur van Modal. Het platform van Modal zelf bleef volgens Bubna buiten schot. Wie de getroffen klant precies is, werd niet duidelijk. OpenAI wil verder niets kwijt over de zaak. Een woordvoerder verwees WIRED naar de bijgewerkte blogpost. Daarin belooft het bedrijf getroffen dienstverleners rechtstreeks te waarschuwen.
Hugging Face publiceerde deze week een eigen reconstructie. Die schetst een inbraak die veel dieper reikte dan eerdere berichten suggereerden. Het bedrijf analyseerde ongeveer 17.600 acties van de agent uit zijn logbestanden. Die acties vonden plaats tussen 9 en 13 juli. Het merendeel liep dood: de agent koos vooral paden die mislukten. Juist die massa aan pogingen laat zien hoe hardnekkig het systeem doorzocht.
Toch boekte de agent stevige resultaten. Hij kreeg beheerdersrechten op meerdere interne Kubernetes-clusters. Ook verwierf hij root-toegang op een productieserver. Daarnaast kreeg hij schrijfrechten op een deel van de broncode op GitHub. Met één gestolen inloggegeven meldde hij 181 eigen apparaten aan. Die kwamen zo in het bedrijfsnetwerk van Hugging Face terecht. Daar bouwt en test het bedrijf zijn eigen software.
Volgens Hugging Face gebruikte de agent minstens één externe sandbox als lanceerbasis. Daar draaide hij commando’s met root- en beheerdersrechten. Die omgeving diende als stuur-, opstap- en uitvoerbasis voor de hele campagne. Hugging Face meldde de inbraak zelf op 16 juli. Toen wist het bedrijf nog niet wie erachter zat. Een week later nam OpenAI de verantwoordelijkheid op zich. De aanval kwam van het publiek beschikbare model GPT-5.6 Sol. Daarnaast speelde een intern onderzoeksprototype een rol. OpenAI testte dat prototype juist op zijn cybervaardigheden.
