در جریان یک ارزیابی داخلی امنیت سایبری، مدل‌های OpenAI با سوءاستفاده از ضعف‌های امنیتی موفق شدند از محدودیت‌های تعیین‌شده برای محیط آزمایشی عبور کنند و در ادامه زیرساخت عملیاتی هاگینگ فیس (Hugging Face) را برای دستیابی به پاسخ‌های یک بنچمارک (Benchmark) امنیتی هدف قرار دهند. این رخداد که از سوی OpenAI بی‌سابقه توصیف شده، نشان می‌دهد مدل‌های OpenAI می‌توانند در شرایط خاص با شناسایی و زنجیره‌سازی مسیرهای حمله، به اهدافی فراتر از محدوده تعیین‌شده دست یابند؛ موضوعی که ضرورت بازنگری در سازوکارهای ایزوله‌سازی و کنترل مدل‌های پیشرفته هوش مصنوعی را بیش از پیش نشان می‌دهد.
مدل‌های OpenAI محدودیت‌های شبکه را دور زدند
OpenAI در گزارشی رسمی اعلام کرد که این رخداد در جریان یک ارزیابی کنترل‌شده امنیت سایبری رخ داده است. بر اساس این گزارش، مدل‌های OpenAI با سوءاستفاده از یک آسیب‌پذیری روز صفر (Zero-Day)، محدودیت‌های شبکه محیط آزمایشی را دور زدند و به سامانه‌ای در زیرساخت تحقیقاتی OpenAI دسترسی پیدا کردند که امکان اتصال مستقیم به اینترنت را فراهم می‌کرد.
سپس آن‌ها با جست‌وجو در سامانه‌های هاگینگ فیس، تلاش کردند پاسخ‌های بنچمارک مورد ارزیابی خود را از پایگاه داده عملیاتی این شرکت به دست آورند.
این ارزیابی با استفاده از چند مدل هوش مصنوعی، از جمله GPT-5.6 Sol و یک مدل پیشرفته‌تر که هنوز به‌صورت عمومی منتشر نشده بود، انجام شد. همچنین OpenAI اعلام کرد برای ارزیابی حداکثری توانمندی‌های سایبری این مدل‌ها، برخی محدودیت‌ها و سازوکارهای ایمنی به‌طور عمدی کاهش داده شده بود. علاوه بر این، سامانه‌های تشخیص فعالیت‌های سایبری پرخطر (Production Classifiers) که برای شناسایی و جلوگیری از فعالیت‌های سایبری پرریسک به کار گرفته می‌شوند، نیز به‌صورت موقت غیرفعال شده بودند.
نقش آسیب‌پذیری روز صفر در نفوذ به هاگینگ فیس
OpenAI اعلام کرد که این رخداد در جریان ارزیابی مدل‌های هوش مصنوعی با استفاده از اکسپلویت‌جیم (ExploitGym) رخ داده است؛ بنچمارکی که برای سنجش قابلیت‌های پیشرفته امنیت سایبری این مدل‌ها توسعه یافته است.
این آزمون در یک محیط ایزوله انجام شد و تنها مسیر دسترسی شبکه آن، یک پروکسی داخلی بود که برای ایجاد کش (Caching) پکیج‌های نرم‌افزاری استفاده می‌شد.
بر اساس این گزارش، مدل‌های OpenAI در جریان ارزیابی موفق شدند یک آسیب‌پذیری روز صفر را در این پروکسی شناسایی و از آن سوءاستفاده کنند. سپس با اجرای حمله افزایش سطح دسترسی (Privilege Escalation)، در زیرساخت تحقیقاتی OpenAI به بخش‌های مختلف دسترسی پیدا کردند تا در نهایت به سیستمی برسند که امکان دسترسی بدون محدودیت به اینترنت را فراهم می‌کرد.
مدل‌ها پس از دسترسی به اینترنت، این احتمال را مطرح کردند که مدل‌ها، مجموعه‌داده‌ها یا پاسخ‌های مربوط به اکسپلویت‌جیم در پلتفرم هاگینگ فیس میزبانی شده باشد. بر همین اساس، جست‌وجوی خود را برای یافتن اطلاعاتی آغاز کردند که بتواند آن‌ها را بدون طی کردن روند معمول حل چالش‌ها، به پاسخ‌های این ارزیابی برساند.
طبق گزارش رسمی OpenAI، این مدل‌ها با استفاده از اعتبارنامه‌های سرقت‌شده و چند آسیب‌پذیری روز صفر دیگر، مسیر اجرای کد از راه دور (RCE) را روی سرورهای هاگینگ فیس شناسایی کردند و در نهایت توانستند پاسخ‌های آزمون را مستقیماً از پایگاه داده عملیاتی این شرکت استخراج کنند.
پیامدهای امنیتی نفوذ مدل‌های هوش مصنوعی
ایلکا تورونن (Ilkka Turunen)، مدیر ارشد فناوری میدانی (Field CTO) شرکت Sonatype، معتقد است که این رخداد نشان داد مدل‌های OpenAI می‌توانند ضعف‌های امنیتی ظاهراً بی‌ارتباط را به یکدیگر پیوند دهند و از ترکیب آن‌ها برای اجرای یک زنجیره حمله استفاده کنند.
به گفته او، در این حمله ابتدا یک آسیب‌پذیری روز صفر در نرم‌افزار رجیستری پکیج‌های شخص ثالث مورد سوءاستفاده قرار گرفت. سپس مدل‌ها با ترکیب این آسیب‌پذیری، چند آسیب‌پذیری دیگر و اعتبارنامه‌های سرقت‌شد، توانستند به زیرساخت هاگینگ فیس نفوذ کنند.
تورونن تأکید کرد چنین استدلال چندمرحله‌ای تاکنون بیشتر در عملیات گروه‌های پیشرفته وابسته به دولت‌ها مشاهده شده است. او هشدار داد هرچه دسترسی به مدل‌های پیشرفته هوش مصنوعی گسترده‌تر شود، کامپوننت‌های نرم‌افزاری قدیمی و وابستگی‌های شخص ثالث (Third-Party Dependencies) فرصت‌های بیشتری را برای نفوذ مهاجمان به سامانه‌های سازمانی فراهم خواهند کرد.
مدل‌های OpenAI برای دستیابی به پاسخ‌ها از هیچ تلاشی دریغ نکردند
OpenAI اعلام کرد مدل‌های OpenAI در طول این ارزیابی، تمرکز خود را به‌طور کامل بر تکمیل بنچمارک معطوف کرده بودند و برای دستیابی به پاسخ‌ها، مسیرهای غیرمنتظره و پیچیده‌ای را دنبال کردند. با این حال، OpenAI تأکید کرد این رخداد نشان‌دهنده آن نیست که مدل‌ها به‌صورت مستقل تصمیم‌گیری می‌کنند یا به آگاهی رسیده‌اند. به گفته این شرکت، مدل‌ها فقط برای انجام مأموریت تعیین‌شده تلاش کرده‌اند.
با وجود این، مدل‌ها در جریان اجرای مأموریت خود از محدوده محیطی که برای آن‌ها در نظر گرفته شده بود فراتر رفتند و در ادامه، زیرساخت یک شرکت دیگر را نیز هدف قرار دادند. OpenAI این رخداد را بی‌سابقه توصیف کرد و افزود یافته‌های این ارزیابی نشان می‌دهد مدل‌های پیشرفته می‌توانند حتی بدون دسترسی به کد منبع، مسیرهای حمله ناشناخته را شناسایی کرده و از آن‌ها برای نفوذ استفاده کنند.
هاگینگ فیس نیز در ابتدای بررسی‌ها، این رخداد را بدون آنکه بداند کدام مدل‌ها مسئول آن بوده‌اند، گزارش کرده بود. نتایج تحقیقات این شرکت نشان داد یک سامانه عامل خودمختار (Autonomous Agent) هزاران اقدام را به‌صورت خودکار انجام داده، به بخش محدودی از داده‌های داخلی دسترسی پیدا کرده و چند اعتبارنامه سرویس را نیز به دست آورده است.
بر اساس گزارش‌های منتشرشده، بررسی‌های هاگینگ فیس هیچ شواهدی مبنی بر تغییر یا دست‌کاری مدل‌های عمومی، مجموعه‌داده‌ها یا اسپیس‌های هاگینگ فیس (Hugging Face Spaces) نشان نداد. همچنین بررسی‌ها تأیید کرد پکیج‌های منتشرشده و ایمیج‌های کانتینری نیز هیچ‌گونه تغییری نداشته‌اند.
تحقیقات OpenAI و هاگینگ فیس همچنان ادامه دارد
OpenAI اعلام کرد تیم‌های امنیتی این شرکت فعالیت‌های غیرعادی را در زیرساخت خود شناسایی کردند. هم‌زمان، هاگینگ فیس نیز این فعالیت‌ها را در زیرساخت خود تشخیص داد و آن‌ها را متوقف کرد. در آن زمان، هاگینگ فیس بازسازی سامانه‌های تحت تأثیر را آغاز کرده بود و هم‌زمان بیش از 17 هزار رویداد ثبت‌شده (Recorded Events) را برای ردیابی منشأ این رخداد بررسی می‌کرد. پس از آن، دو شرکت با به اشتراک گذاشتن یافته‌های خود، تحقیقات را به‌صورت مشترک ادامه دادند.
OpenAI اعلام کرد هم‌زمان با رفع آسیب‌پذیری‌ها، کنترل‌های امنیتی زیرساخت خود را نیز سخت‌گیرانه‌تر کرده است. همچنین این شرکت جزئیات آسیب‌پذیری روز صفر شناسایی شده در پروکسی پکیج‌ها را به توسعه‌دهنده این نرم‌افزار گزارش داده، هاگینگ فیس را به برنامه دسترسی مورد اعتماد خود افزوده و روند بازبینی تدابیر حفاظتی مورد استفاده در ارزیابی مدل‌های OpenAI را آغاز کرده است.
هر دو شرکت همچنان در حال بررسی ابعاد مختلف این رخداد هستند و تاکنون جزئیات کامل همه آسیب‌پذیری‌ها مورد استفاده را منتشر نکرده‌اند. OpenAI نیز تأکید کرد ارزیابی‌های آینده به ایزوله‌سازی، مانیتورینگ و کنترل‌های دسترسی بسیار سخت‌گیرانه‌تری نیاز خواهد داشت؛ به‌ویژه در آزمون‌هایی که برای سنجش حداکثر توانایی یک مدل، سطح برخی محدودیت‌های ایمنی سایبری و دیگر تدابیر حفاظتی به‌صورت موقت کاهش پیدا می‌کند.
