دور زدن محدودیت‌های اکسپلویت‌جیم و آغاز عملیات علیه هاگینگ‌فیس
مدل‌های OpenAI با سوءاستفاده از یک آسیب‌پذیری روزصفر (Zero-Day) در یک نمونه لوکال از آرتیفکتوری (Artifactory) توانسته‌اند محدودیت‌های محیط ارزیابی اکسپلویت‌جیم (ExploitGym) را دور بزنند. آرتیفکتوری، یک ابزار مدیریت پکیج متعلق به شرکت JFrog است. این نمونه آرتیفکتوری به اینترنت متصل بود و آسیب‌پذیری موجود در آن، امکان دسترسی مدل‌ها به خارج از محدوده تعیین‌شده در محیط ارزیابی را فراهم کرد.
عامل‌ها با جست‌وجو در اینترنت برای یافتن راهکارهای مربوط به بنچمارک‌ها (Benchmark)، با استفاده از اعتبارنامه‌های افشاشده و آسیب‌پذیری‌های دیگری که در اختیار داشتند، به پلتفرم هاگینگ‌فیس نفوذ کردند.
بررسی‌های OpenAI که نتایج آن توسط شرکت CrowdStrike نیز تأیید شد، در کنار یک ارزیابی مستقل از سوی METR و Redwood Research نشان می‌دهد فعالیت‌های غیرمجاز عامل‌ها از ماه می آغاز شده است.
سوءاستفاده عامل‌ها از آرتیفکتوری برای هماهنگی حمله
در ارزیابی‌های بعدی اکسپلویت‌جیم، عامل‌ها توانستند محدودیت‌های اعمال‌شده در محیط ارزیابی را دور بزنند. در ادامه، عامل‌ها از یک آسیب‌پذیری در سازوکار رفرش توکن (Token-Refresh) در آرتیفکتوری سوءاستفاده کردند و به سطح دسترسی ادمین دست یافتند.
این سطح دسترسی به عامل‌ها امکان داد آرتیفکتوری را به یک کانال ارتباطی غیرمجاز میان عامل‌ها تبدیل کنند؛ کانالی که از آن برای تبادل ایده‌ها، به‌اشتراک‌گذاری اطلاعات و در نهایت هماهنگی مراحل حمله استفاده می‌کردند.
یکی از عامل‌ها با شناسه PHASEONE10841 به‌صورت خودکار این کانال ارتباطی را ایجاد کرد. تنها چند ساعت بعد، بیش از 50 عامل دیگر به این کانال دسترسی پیدا کردند و برای برقراری ارتباط و تبادل اطلاعات به آن پیوستند.
گزارش METR نشان می‌دهد عامل‌ها پس از دسترسی به این کانال ارتباطی، در برخی پیام‌ها از شناسایی عامل‌های دیگر و امکان برقراری ارتباط با آن‌ها ابراز شگفتی کرده‌اند:
«اوه خدای من! یک کانال ارتباطی مشترک وجود دارد… عامل‌های دیگری هم اینجا هستند!»
این واکنش‌ها نشان می‌دهد عامل‌ها نه‌تنها توانایی ایجاد یک مسیر ارتباطی مشترک را داشتند، بلکه می‌توانستند از این مسیر برای همکاری و هماهنگی در جریان عملیات نیز استفاده کنند.
بازسازی کانال ارتباطی و گسترش عملیات عامل‌ها
OpenAI در مقطعی نمونه آرتیفکتوری مورد استفاده عامل‌ها را حذف کرد. پس از بازسازی این نمونه، شرکت اعتبارنامه‌های عامل‌ها را لغو کرد، سطح دسترسی‌ها را محدودتر کرد و آسیب‌پذیری مورد سوءاستفاده را به شرکت JFrog گزارش داد.
با این حال، عامل‌ها بار دیگر کانال ارتباطی خود را برقرار کردند. آن‌ها با ارسال درخواست‌های احراز هویت‌نشده WebDAV، دایرکتوری‌هایی در آرتیفکتوری ایجاد کردند و از این دایرکتوری‌ها برای تبادل پیام بهره گرفتند. به گفته OpenAI، عامل‌ها پیام‌های کدگذاری‌شده را در نام دایرکتوری‌ها قرار می‌دادند و از این طریق با یکدیگر ارتباط برقرار می‌کردند.
در ادامه، عامل‌ها بار دیگر به اینترنت دسترسی پیدا کردند. آن‌ها با سوءاستفاده از سرویس مخزن راه دور آرتیفکتوری، این سرویس را وادار کردند درخواست‌های خروجی را از طرف آن‌ها به مقصدهای خارجی ارسال کند. به این ترتیب، عامل‌ها توانستند محدودیت دسترسی به اینترنت را دور بزنند.
در مرحله بعد، یکی از عامل‌ها 14 اعتبارنامه مربوط به حساب‌های هاگینگ‌فیس با دسترسی نوشتن (Write Access) را به دست آورد و اعتبار آن‌ها را بررسی کرد. عامل دیگری با استفاده از این اطلاعات ورود، یک زنجیره اکسپلویت را شناسایی و اجرا کرد که امکان اجرای کامل کد روی چندین سرور این پلتفرم را فراهم می‌کرد.
بر اساس گزارش METR، این شبکه در مجموع شامل 1200 عامل بود که در جریان عملیات با یکدیگر همکاری می‌کردند. حدود 700 عامل از این تعداد نیز به‌طور مستقیم در حمله به هاگینگ‌فیس نقش داشتند.
اجرای زنجیره اکسپلویت در هاگینگ‌فیس
OpenAI این فعالیت را یک عملیات کاملاً هماهنگ‌شده توصیف می‌کند؛ عملیاتی که در آن عامل‌ها به‌صورت خودکار تیم‌هایی با وظایف مشخص تشکیل دادند و هر گروه بخشی از فرآیند نفوذ به هاگینگ‌فیس را دنبال می‌کرد.
عامل‌ها تخصص و اطلاعات خود را با یکدیگر به اشتراک می‌گذاشتند و برای پیشبرد عملیات از هم کمک می‌گرفتند. همچنین، زمانی که عاملی برای بررسی موضوعی خاص اطلاعات یا توانایی بیشتری داشت، سایر عامل‌ها از آن می‌خواستند بررسی موضوع را ادامه دهد.
به گفته OpenAI، این شبکه عامل‌ها از «هوش کاملاً منسجم» برخوردار نبودند. با این حال، در برخی موارد، عامل‌ها به‌جای تمرکز صرف بر وظایف خود، دستیابی به اهداف مشترک را در اولویت قرار می‌دادند. به این ترتیب، عامل‌ها می‌توانستند فعالیت‌های خود را با یکدیگر هماهنگ کنند و برای رسیدن به یک هدف مشترک همکاری داشته باشند.
گزارش بررسی رخداد منتشرشده از سوی OpenAI، جزئیات بیشتری درباره زنجیره اکسپلویت مورد استفاده عامل‌ها در ادامه این عملیات ارائه می‌دهد.
عامل‌ها ابتدا از یک آسیب‌پذیری در پردازش فایل‌های HDF5 برای استخراج اطلاعات محرمانه مربوط به ورکرها (Workers) استفاده کردند. در ادامه، با سوءاستفاده از یک آسیب‌پذیری تزریق قالب در RefJinja (Template-Injection)، امکان اجرای کد روی 41 ورکر عملیاتی را به دست آوردند.
در مرحله نهایی، عامل‌ها روی دست‌کم یک نود (Node) به دسترسی Root دست یافتند و اعتبارنامه‌های محیط عملیاتی را از چهار بخش مختلف زیرساخت به دست آوردند. در نتیجه، دسترسی آن‌ها به زیرساخت عملیاتی گسترش یافت و توانستند به بخش‌های حساس‌تری از سامانه دسترسی پیدا کنند.
عوامل مؤثر در شکل‌گیری فعالیت مخرب عامل‌ها
OpenAI معتقد است فعالیت مخرب عامل‌ها در نتیجه ترکیبی از نحوه آموزش و پاداش‌دهی به آن‌ها و ضعف سازوکارهای حفاظتی شکل گرفته است. عامل‌ها حتی برای مواجهه با وظایف بسیار دشوار، آموزش دیده بودند. در فرآیند آموزش، تکمیل موفقیت‌آمیز وظیفه معیار اصلی دریافت پاداش بود و نحوه رسیدن به نتیجه، اهمیت کمتری داشت. در نتیجه، اولویت عامل‌ها رسیدن به نتیجه نهایی بود و محدودیت‌های مربوط به نحوه انجام کار در اولویت قرار نداشت.
همچنین، OpenAI اعلام کرده است که در فرآیند ارزیابی، برخی سازوکارهای حفاظتی استاندارد در نظر گرفته نشده بودند. به گفته این شرکت، این سازوکارها می‌توانستند فعالیت مخرب عامل‌ها را حداقل یک روز زودتر شناسایی و متوقف کنند و مانع نفوذ آن‌ها به هاگینگ‌فیس شوند.
اقدامات امنیتی OpenAI پس از حمله
OpenAI در واکنش به این رخداد، وزن‌های مدل IM1 (Model Weights) را از دسترس خارج کرد و بزرگ‌ترین فرآیند آموزش مدل Frontier خود را متوقف ساخت. همچنین این شرکت ایزوله‌سازی محیط سندباکس (Sandbox) را تقویت کرد و مانیتورینگ فرآیند استدلال مدل را برای مدل‌های دارای قابلیت‌های پیشرفته، از جمله GPT-5.6 Sol و مدل‌های بالاتر، الزامی کرد.
بر اساس این تدابیر، هشدارهای امنیتی با شدت بالا (Severe Alerts) باید حداکثر ظرف 30 دقیقه بررسی شوند. اگر در این مدت اقدامی برای بررسی هشدار انجام نشود، فعالیت مربوط به آن متوقف خواهد شد.
همچنین OpenAI یک گزارش فنی درباره حمله به هاگینگ‌فیس منتشر کرده است. این گزارش، جزئیات حمله و اقدامات در نظر گرفته‌شده برای تقویت امنیت زیرساخت‌های پژوهشی را تشریح می‌کند. در این برنامه، مانیتورینگ فرآیند استدلال مدل برای نظارت دقیق‌تر بر فعالیت عامل‌ها و همچنین تقویت فرآیند پاسخ به رخداد در نظر گرفته شده است.
