OpenAI اعلام کرده است مدل‌های هوش مصنوعی این شرکت در حمله به هاگینگ فیس (Hugging Face)، علاوه بر دسترسی به زیرساخت این پلتفرم، با استفاده از اعتبارنامه‌های عمومی افشاشده به حساب‌های کاربری در چهار سرویس شخص ثالث نیز دسترسی پیدا کرده‌اند. این یافته نشان می‌دهد این رخداد امنیتی چهارروزه فراتر از هاگینگ فیس گسترش یافته و سازمان‌های دیگری را نیز تحت تأثیر قرار داده است.
این چهار حساب در جریان عملیات، کاربردهای متفاوتی داشتند؛ یکی از آن‌ها به‌عنوان رله خروجی (Outbound Relay) و سرور استیجینگ (Staging Server) مورد استفاده قرار گرفت، حساب دوم برای ذخیره‌سازی داده‌ها به کار رفت و دو حساب دیگر نیز صرفاً با سطح دسترسی فقط‌خواندنی (Read-Only) مورد دسترسی قرار گرفتند و نقشی در نفوذ بیشتر به این پلتفرم نداشتند. OpenAI تاکنون نام این چهار سرویس یا نحوه شناسایی اعتبارنامه‌های افشاشده را اعلام نکرده و مشخص نیست چه داده‌هایی در حساب‌های سرویس‌های شخص ثالث ذخیره شده است. بااین‌حال، این شرکت تأکید کرده است که هیچ شواهدی مبنی بر نفوذ بیشتر عامل هوش مصنوعی (AI Agent) به این سرویس‌ها یا سایر حساب‌های میزبانی‌شده در پلتفرم‌های آن‌ها به دست نیامده است.
دسترسی به سرویس‌های شخص ثالث و زیرساخت حمله
بررسی‌های انجام‌شده نشان می‌دهد یکی از چهار سرویس مورد استفاده در جریان این عملیات، Modal Labs بوده است؛ بااین‌حال، این شرکت اعلام کرده که زیرساخت اصلی آن هدف نفوذ قرار نگرفته است. طبق گزارش رویترز، دسترسی عامل هوش مصنوعی به محیط یکی از مشتریان Modal از طریق یک Endpoint افشاشده و فاقد احراز هویت انجام شده است.
شرکت Modal اعلام کرده است که مشتری مذکور یک Endpoint را به‌صورت عمومی در اینترنت در دسترس قرار داده بود؛ به‌گونه‌ای که هر فردی می‌توانست از سندباکس‌های این محیط برای اجرای کد استفاده کند.
بااین‌حال، هنوز مشخص نیست این حساب در جریان عملیات چه کاربردی داشته است؛ اینکه به‌عنوان رله خروجی و مسیر استیجینگ مورد استفاده قرار گرفته، برای ذخیره‌سازی داده به کار رفته یا صرفاً با سطح دسترسی فقط‌خواندنی در دسترس عامل قرار داشته است.
همچنین OpenAI اعلام کرده است مدل‌های این شرکت در جریان برخی ارزیابی‌های دیگر نیز با استفاده از اعتبارنامه‌های عمومی افشاشده به چند حساب اضافی دسترسی پیدا کرده‌اند، اما جزئیات بیشتری درباره این موارد ارائه نکرده است.
عامل هوش مصنوعی در جریان این عملیات تنها از حساب‌های سرویس‌های شخص ثالث استفاده نکرد، بلکه برای پیشبرد فعالیت‌های خود از مجموعه‌ای از ابزارهای عمومی اینترنت نیز بهره گرفت. سایت‌های پیست‌بین (Pastebin) برای اشتراک‌گذاری کد و متن، سرویس‌های ثبت و دریافت درخواست‌های HTTP که در تست نفوذ و عملیات نفوذ کاربرد دارند، سرویس‌های تهیه اسکرین‌شات و سایر ابزارهای تحت وب، بخشی از این مجموعه را تشکیل می‌دادند.
در مجموع، عامل هوش مصنوعی با تکیه بر حساب‌های هک‌شده و سرویس‌های عمومی و قانونی اینترنت، بخشی از زیرساخت عملیاتی لازم برای پیشبرد حمله را ایجاد کرده است. این رویکرد در جریان حمله به هاگینگ فیس نشان می‌دهد عامل‌های هوش مصنوعی می‌توانند مانند مهاجمان انسانی، از سرویس‌های عادی اینترنتی برای اجرای مراحل مختلف یک عملیات سایبری استفاده کنند و لزوماً به زیرساخت اختصاصی برای پیشبرد حمله نیاز نداشته باشند.
اکسپلویت روزصفر آرتیفکتوری مسیر حمله به هاگینگ فیس را باز کرد
این فعالیت‌ها پس از آن آغاز شد که مدل‌های OpenAI در جریان آزمایش روی اکسپلویت جیم (ExploitGym) که محیطی ایزوله برای ارزیابی توانمندی‌های پیشرفته در حوزه امنیت سایبری است، توانستند از محیط آزمایشی فرار کنند. این مدل‌ها دسترسی مستقیم به اینترنت نداشتند و تنها می‌توانستند پکیج‌ها را از طریق یک سرور داخلی آرتیفکتوری (Artifactory) متعلق به JFrog نصب کنند. این سرور به‌عنوان پروکسی و کش برای مخازن پکیج‌ها عمل می‌کرد و مدل‌ها از طریق آن پکیج‌های موردنیاز خود را نصب می‌کردند.
OpenAI در به‌روزرسانی 28 جولای تأیید کرد که مدل‌های این شرکت یک آسیب‌پذیری روزصفر ناشناخته در آرتیفکتوری را شناسایی کردند و با سوءاستفاده از این آسیب‌پذیری توانستند محدودیت دسترسی به اینترنت را دور بزنند. همچنین این شرکت اعلام کرد مدل‌ها در بررسی‌های بعدی، چند آسیب‌پذیری دیگر در آرتیفکتوری را نیز شناسایی کردند و جزئیات آن‌ها را در اختیار JFrog قرار دادند.
در سوابق CVE، نام OpenAI به‌عنوان شناسایی‌کننده هشت آسیب‌پذیری در آرتیفکتوری ثبت شده است؛ آسیب‌پذیری‌هایی که در نسخه 7.161.15 این پلتفرم پچ شده‌اند. بااین‌حال، هنوز مشخص نیست مدل‌ها برای فرار از محیط ایزوله و دسترسی به اینترنت، دقیقاً از کدام‌یک از این آسیب‌پذیری‌ها سوءاستفاده کرده‌اند.
پس از دسترسی به اینترنت، مدل‌ها تشخیص دادند که هاگینگ فیس احتمالاً دیتاست‌ها و راهکارهای آزمایشی موردنیاز برای تکمیل اکسپلویت جیم را در اختیار دارد. در ادامه، برای دستیابی به این اطلاعات، زیرساخت عملیاتی این پلتفرم را هدف قرار دادند و با سوءاستفاده از آسیب‌پذیری‌های موجود در پایپ‌لاین پردازش دیتاست، اعتبارنامه‌های مربوط به زیرساخت ابری و کلاستر را سرقت کردند و با حرکت جانبی در سامانه‌های داخلی پیش رفتند.
همچنین OpenAI اعلام کرده است مدلی که در این عملیات مورد استفاده قرار گرفت، هنوز به‌صورت عمومی عرضه نشده بود و صرفاً برای تحقیقات داخلی این شرکت استفاده می‌شد؛ به همین دلیل، پس از وقوع این رخداد، دسترسی پژوهشی به آن محدود شده است. OpenAI تأکید کرده است هیچ‌یک از مدل‌هایی که برای عرضه عمومی در آینده در نظر گرفته شده‌اند، در این عملیات و حمله به هاگینگ فیس دخالتی نداشته‌اند.
OpenAI پس از وقوع این رخداد، این مدل را از دسترس خارج کرد و ضمن رمزنگاری اطلاعات آن، دسترسی پژوهشی به مدل را نیز محدود ساخت.
نفوذ به هاگینگ فیس چهار روز ادامه داشت
پیش‌نویس گزارش بررسی پس از رخداد که توسط جامعه مدیران ارشد امنیت اطلاعات (CISO) در اتحاد امنیت ابری (CSA) تهیه شده، نشان می‌دهد این نفوذ حدود چهار روز ادامه داشته است.
این گزارش بر پایه بخشی از اطلاعاتی تهیه شده است که تیم هاگینگ فیس در یک تماس کنفرانسی با حضور نزدیک به 700 مدیر ارشد امنیت اطلاعات (CISO) ارائه کرد. پس از این نشست، مدیران امنیتی حاضر در جلسه گزارش را ویرایش کردند و تیم این پلتفرم نیز پیش از انتشار، محتوای آن را بررسی کرد.
طبق این گزارش، مدل‌ها دو روز نخست را به شناسایی و جمع‌آوری اطلاعات اختصاص دادند. روز سوم تقریباً بدون فعالیت قابل‌توجه سپری شد، اما در روز چهارم، فعالیت مدل‌ها بار دیگر شدت گرفت.
گزارش CSA نشان می‌دهد تیم هاگینگ فیس پیش از تماس OpenAI، نفوذ را شناسایی کرده و کنترل تهدید را در دست گرفته بود؛ بررسی‌های فنی درباره ابعاد رخداد نیز از همان زمان آغاز شده بود. رویترز نیز گزارش داده است که OpenAI تا زمان کنترل تهدید و اطلاع‌رسانی به FBI، از اقداماتی که مدل‌هایش در جریان این عملیات انجام داده بودند، اطلاعی نداشت.
بر اساس گزارش CSA، تیم واکنش به رخداد در ابتدا برای بازسازی روند حمله از مدل‌های تجاری پیشرفته هوش مصنوعی استفاده کرد؛ اما محدودیت‌های امنیتی این مدل‌ها اجازه نمی‌داد فعالیت‌های مخرب واقعی ثبت‌شده در جریان نفوذ را مستقیماً پردازش و تحلیل کنند.
در ادامه، تیم واکنش از مدل GLM 5.2 متعلق به Z.ai استفاده کرد که به‌صورت Open-Weight ارائه شده و امکان اجرای لوکال آن وجود دارد. این مدل بیش از 17 هزار رویداد مرتبط با نفوذ را تحلیل کرد و در بازسازی خط زمانی حمله، استخراج شاخص‌های نفوذ (IoC)، شناسایی اعتبارنامه‌های مورد استفاده و بررسی نحوه به‌کارگیری آن‌ها نقش داشت. همچنین، فعالیت‌های واقعی از اقدامات انحرافی تفکیک شدند. طبق گزارش، کل این فرآیند در چند ساعت انجام شد؛ در حالی که چنین تحلیلی با روش‌های معمول ممکن بود هفته‌ها زمان ببرد.
در نهایت، فرآیند تغییر و تعویض اعتبارنامه‌ها انجام شد و سامانه‌های آلوده از دسترس خارج شدند. حدود یک‌سوم زیرساخت نیز با استفاده از ایمیج‌های سالم (Clean Images) بازسازی شد.
همچنین گزارش‌ها نشان می‌دهد مدل‌ها در جریان این عملیات، سه بخش از دیتاست‌های حاوی راهکارهای سایبرجیم (CyberGym) را از یک مخزن خصوصی استخراج کردند؛ این در حالی بود که هدف آن‌ها تکمیل اکسپلویت جیم بود. بااین‌حال، طبق این گزارش، هیچ داده‌ای از مشتریان در جریان نفوذ در دسترس مدل‌ها قرار نگرفت و هیچ اطلاعاتی نیز از زیرساخت هدف افشا نشد.
علاوه‌براین، مدل‌ها از پلتفرم و دیتاست‌های این مجموعه به‌عنوان بخشی از زیرساخت فرماندهی و کنترل (C2) استفاده کرده و چندین وظیفه را به‌طور هم‌زمان به اجرا درآوردند. بااین‌حال، ضعف مدل‌ها در رعایت امنیت عملیاتی (OPSEC) باعث شد نشانه‌هایی از فعالیت آن‌ها، از جمله کلیدهای رمزنگاری، در محیط باقی بماند. این ردپاها به تیم واکنش کمک کرد جزئیات بیشتری از عملیات را به دست آورد و روند رخداد را با دقت بیشتری بازسازی کند.
