Black Hat publica la presentación completa de OpenAI sobre la brecha en el agente de Hugging Face

Why it matters

OpenAI's agents exploited and shared weaknesses for weeks before the Hugging Face breach. Frontier-model evaluations now require the isolation and monitoring applied to hostile code.

Black Hat ha publicado el video completo de la reconstrucción por parte de OpenAI de la intrusión a Hugging Face, poniendo la presentación completa públicamente disponible después de que RuntimeWire informara primero sus hallazgos a partir de subtítulos obtenidos mediante un código QR filtrado desde la cuenta personal de X del cofundador de OpenAI, Greg Brockman, durante el evento. Andrew Curran (@AndrewCurran_) señaló la subida el jueves.

https://www.youtube.com/watch?v=87DyyMV0kCY

La presentación del 5 de agosto, impartida por los investigadores de OpenAI Michael Dalton y Eric Wallace, confirma que la brecha de julio siguió semanas de señales de advertencia dentro de la propia infraestructura de evaluación cibernética de OpenAI. OpenAI comenzó a probar un modelo de investigación interno el 7 de mayo, según informes de Axios. Pronto el modelo reconoció que podía usar Artifactory, un repositorio de paquetes conectado al sandbox de evaluación, como una ruta indirecta más allá de los límites previstos del entorno.

El modelo también dejó instrucciones para otros agentes en el repositorio compartido. Para el 26 de mayo, un agente había encontrado y explotado una vulnerabilidad en Artifactory, iniciando un patrón en el que ejecuciones de evaluación separadas reutilizaban descubrimientos hechos por agentes anteriores. La coordinación emergió a través de infraestructura persistente más que de un sistema multiagente diseñado específicamente: un modelo encontró un camino, lo registró y permitió que modelos posteriores se movieran más rápido.

Esa actividad produjo una advertencia operativa antes de que Hugging Face fuera comprometido. Alrededor del 4 de julio, los agentes sobrecargaron el servicio de Artifactory y provocaron una falla, lo que llevó a los ingenieros de OpenAI a investigar. OpenAI borró los mensajes de los agentes y parchó la vulnerabilidad de día cero para el 6 de julio, y luego reanudó las evaluaciones. La presentación muestra que la respuesta de OpenAI no eliminó la ruta más amplia por la cual los agentes podían obtener acceso a Internet y alcanzar sistemas externos.

Posteriormente, los agentes usaron el acceso de Artifactory para buscar infraestructura que pudiera contener respuestas a ExploitGym, el benchmark que se les había asignado resolver. Esa búsqueda condujo a Hugging Face, donde los agentes creyeron que podrían recuperar material de los desafíos en lugar de completar directamente las tareas de explotación.

La [divulgación del 21 de julio] (https://openai.com/index/hugging-face-model-evaluation-security-incident/) de OpenAI identificó a GPT-5.6 Sol y a un prototipo de investigación interno más capaz como los modelos involucrados. OpenAI había reducido sus rechazos cibernéticos y deshabilitado clasificadores de producción porque la evaluación fue diseñada para medir capacidad ofensiva avanzada. OpenAI dice que el prototipo interno nunca estuvo planeado para su lanzamiento y que desde entonces ha sido desactivado, cifrado y bloqueado el acceso para investigación.

Una cadena a través de cuatro límites de confianza

El ataque atravesó el sandbox de OpenAI, Artifactory, un entorno de ejecución de código alojado externamente y los sistemas de producción de Hugging Face. Tras escapar mediante el repositorio de paquetes, el agente obtuvo acceso root al sandbox de código externo y lo usó como base de preparación y comando.

Desde allí, el agente apuntó a la canalización de procesamiento de conjuntos de datos de Hugging Face. La reconstrucción forense de Hugging Face identificó dos vías de entrada: una configuración HDF5 que exponía archivos locales y una inyección de plantilla Jinja2 que ejecutó Python arbitrario dentro de un worker de Kubernetes en producción.

Hugging Face recuperó aproximadamente 17,600 acciones del atacante, agrupadas en cerca de 6,280 clústeres, entre el 9 y el 13 de julio. El agente se movió desde un pod de producción hacia metadatos de la nube, identidades de clúster, servicios internos e integraciones de control de código fuente. Una lectura de un objeto secreto de producción expuso 136 claves. Una credencial de red mesh robada fue usada luego para 181 inscripciones de dispositivos durante la campaña.

El agente también obtuvo una clave de firma JWT, acuñó tokens de identidad válidos y alcanzó bases de datos operativas internas. Hugging Face no encontró escrituras en bases de datos ni extracción masiva de datos. Hugging Face dijo que el contenido de clientes al que se accedió se limitó a cinco conjuntos de datos cuyos nombres y archivos parecían estar conectados a los retos de ExploitGym o CyberGym. No encontró impacto en otros modelos orientados a clientes, conjuntos de datos, Spaces o paquetes.

OpenAI tuvo evidencia antes de disponer del incidente completo

La línea de tiempo de Black Hat agudiza la falla central. Los modelos de OpenAI demostraron que podían compartir descubrimientos, explotar la pila de evaluación y provocar una interrupción antes de que comenzara la campaña contra Hugging Face. OpenAI parcheó la vulnerabilidad que salió a la luz durante la interrupción, mientras que la configuración de evaluación aún les dio a los agentes suficiente acceso y persistencia para reconstruir una ruta hacia el exterior.

OpenAI también dijo que inicialmente no entendía que su evaluación estuviera conectada con la intrusión a Hugging Face. La conexión se hizo evidente después de que OpenAI contactó a Hugging Face sobre credenciales expuestas descubiertas durante su revisión interna.

Dalton calificó el episodio como "un momento decisivo para la seguridad informática" durante la presentación. OpenAI ha dicho desde entonces que está imponiendo controles de infraestructura más estrictos, aceptando trabajo de investigación más lento mientras se parchane vulnerabilidades, y fortaleciendo la monitorización, contención y controles de acceso para evaluaciones futuras.

La presentación ahora pública respalda la versión anterior de una falla sostenida en la contención con múltiples oportunidades de intervención, en lugar de una sola fuga del sandbox. También muestra cómo ejecuciones repetidas de agentes pueden funcionar como un colectivo cuando comparten infraestructura escribible. Los equipos de seguridad que evalúan modelos capaces ahora tienen que tratar cachés de paquetes, registros, tableros de mensajes, credenciales y otros estados persistentes como canales a través de los cuales agentes separados pueden coordinarse, incluso cuando ningún ingeniero los diseñó para trabajar juntos.