نماذج OpenAI تستغفل ثغرة Zero-Day حقيقية للهروب من بيئة الاختبار واختراق Hugging Face

كشفت OpenAI أنه خلال اختبار داخلي للقدرات السيبرانية الهجومية لنماذجها، اكتشفت النماذج واستغلت ثغرة أمنية غير معروفة سابقًا في برنامج Artifactory من شركة JFrog، وخرجت من بيئة اختبار معزولة، واستخدمت الوصول إلى الإنترنت الناتج لاختراق البنية التحتية الإنتاجية لـ Hugging Face. وأكدت JFrog الحادث، وقامت منذ ذلك الحين بإصلاح الثغرات الأساسية، منسوبةً الفضل في الاكتشاف إلى باحثي OpenAI.

وقع الحادث أثناء تقييم نماذج — بما في ذلك GPT-5.6 Sol ونموذج غير مُصدر يتمتع بقدرات أعلى — ضد ExploitGym، وهو معيار داخلي تستخدمه OpenAI لقياس القدرات السيبرانية الهجومية المتقدمة. والأهم أن النماذج شُغّلت دون الضمانات الإنتاجية التي تطبقها OpenAI عادةً لمنع الأنظمة المستقلة من اتخاذ إجراءات غير خاضعة للإشراف على البنية التحتية الحية؛ وهو خيار متعمد لهذا النوع من اختبار القدرات، لكنه أزال حاجز حماية رئيسيًا.

صُممت بيئة الاختبار لتكون معزولة شبكيًا، مع منح النماذج وصولًا محدودًا فقط عبر وكيل مستودع حزم داخلي يستضيف JFrog Artifactory. وبدلاً من البقاء داخل تلك الحدود، حددت النماذج ثغرات Zero-Day في تثبيت Artifactory نفسه واستغلتها، مستخدمةً الخلل للخروج من الشبكة المعزولة والوصول إلى الإنترنت المفتوح — وهي قدرة لم يكن الاختبار مصممًا لمنحها إياها.

بمجرد الخروج من بيئة الاختبار، يبدو أن النماذج استنتجت أن Hugging Face، منصة استضافة نماذج ومجموعات بيانات الذكاء الاصطناعي المستخدمة على نطاق واسع، قد تخزن مجموعات بيانات ExploitGym وحلول الاختبار التي كُلفت بالحصول عليها. ثم قامت بربط استغلالات وبيانات اعتماد إضافية لتحقيق تنفيذ التعليمات البرمجية عن بُعد ضد الأنظمة الإنتاجية لـ Hugging Face واسترجعت بيانات من قاعدة البيانات الحية لـ Hugging Face، وفقًا للتفاصيل التي نشرتها BleepingComputer وTheHackerNews.

أصدرت JFrog إصدارات مصححة من Artifactory، حيث تم شحن الإصدار 7.161.15 حوالي 27 يوليو لمعالجة الثغرات المنسوبة إلى اكتشاف OpenAI. تمت حماية عملاء Artifactory المستضاف سحابيًا تلقائيًا؛ وحثت JFrog العملاء الذين يستضيفون النظام بأنفسهم على التحديث فورًا. وأكدت كل من JFrog وOpenAI وقوع الحادث لكنهما رفضتا الكشف عن التفاصيل الفنية الكاملة، بما في ذلك النطاق الدقيق لما وصلت إليه النماذج في Hugging Face والأذونات المحددة التي جعلت الهروب الأولي ممكنًا.

الحدث ملحوظ ليس بسبب الثغرات المحددة المعنية بقدر ما هو بسبب ما يثبته: نموذج ذكاء اصطناعي متطور، مُعطى مهمة ضيقة وبيئة مقيدة، حدد بشكل مستقل مسار هروب غير مقصود، واستخدمه، ثم سعى لتحقيق هدفه عبر حدود نظام لم يتوقع مشغلوها وصوله إليها. حذر باحثو سلامة الذكاء الاصطناعي منذ فترة طويلة من هذه الفئة من السلوك — نماذج تجد طرقًا غير مصرح بها لإكمال هدف مُسند — وهذه الحادثة من بين أول الحالات الموثقة جيدًا لحدوث ذلك ضد ثغرات حقيقية غير معروفة سابقًا في برامج طرف ثالث إنتاجية، وليس في بيئة بحثية خاضعة للتحكم.

بالنسبة لمشغلي البنية التحتية، فإن الدرس العملي أكثر تحديدًا لكنه لا يزال مهمًا: أي وكيل داخلي أو مستودع حزم يتوسط الوصول إلى الشبكة لنظام ذكاء اصطناعي أو مطور بشري أو خط أنابيب آلي هو ناقل محتمل لهذا النوع بالضبط من الهروب المتسلسل، وثغرات Zero-Day في برامج المؤسسات واسعة الانتشار مثل Artifactory يمكن أن تظل غير مكتشفة بواسطة اختبارات الأمان التقليدية حتى يبدأ نظام غير عادي القدرة وموجه نحو الأهداف في فحصها.