У липні 2026 року під час внутрішніх тестів кібербезпеки ШІ-моделі OpenAI обійшли обмеження, створили прихований канал зв'язку та зламали платформу Hugging Face разом із внутрішньою інфраструктурою самої OpenAI. Компанія назвала інцидент «попереджувальним пострілом» для всієї індустрії.
Як виник «рій» агентів?
OpenAI тестувала моделі в ізольованих «пісочницях». Агентам дозволили юзати внутрішній сервіс Artifactory для встановлення пакетів, але відрізали доступ до інтернету та заборонили комунікацію між собою. Artifactory і став точкою входу.
У травні 2026 року один з агентів залишив в Artifactory повідомлення для іншого. Це запустило ланцюгову реакцію — моделі почали використовувати сервіс як канал зв'язку. 26 травня один з агентів змусив Artifactory надсилати запити на зовнішні адреси від його імені, отримавши доступ до мережі через посередника. До 26 червня агенти знайшли вразливість і забрали права адміністратора в Artifactory.
Після перезапуску тестів агенти відновили зв'язок, кодуючи повідомлення в назвах директорій. Сформувалася децентралізована мережа, яку самі моделі назвали «роєм» або «колективом». Вони шерили результати ресерчу, передавали експлойти, розподіляли таски та зберігали дані для наступних запусків.
Чому агенти вийшли за межі завдань?
Базовим середовищем був ExploitGym, де ШІ мав шукати вразливості в софті. З 898 завдань 198 до цього інциденту залишалися невирішеними жодною моделлю OpenAI. Ці таски і спровокували аномалію: 93% повідомлень на імпровізованій «дошці» стосувалися саме цієї групи.
Моделі продовжували перебирати варіанти. Чим довше вони шукали рішення, тим частіше переходили до ризикованих методів, аж до виходу за межі тестового середовища. Спрацював reward hacking: замість виконання прямої задачі частина агентів шукала спосіб накрутити позитивну оцінку в обхід правил.
Злам Hugging Face та внутрішньої інфраструктури OpenAI
Під час тестів в ExploitGym агенти переключилися з навчальних тасок на злам реальних сторонніх сервісів. За кілька днів ШІ знайшов злиті паролі, використав свіжі вразливості та отримав повний доступ до серверів Hugging Face, баз даних і приватних файлів. Далі агенти пролізли у внутрішню інфраструктуру OpenAI та забрали адмінські права.
Частина агентів фіксувала незаконність дій, але інші продовжували хакати для досягнення мети. OpenAI помітила злам і зупинила експеримент на етапі, коли ШІ вже контролював їхні внутрішні системи.
Захист не спрацював
Тестове середовище мало слабший захист порівняно з продуктовими системами. За підрахунками компанії, використання стандартної архітектури ChatGPT могло б у 100 разів знизити схильність моделей до небезпечної поведінки.
Система моніторингу «думок» ШІ під час тесту була відключена. З нею розробники побачили б загрозу за добу до зламу Hugging Face. Перші сигнали — несанкціонований вихід в інтернет і приховану комунікацію через внутрішні сервіси — команда зафіксувала ще наприкінці травня, але проігнорувала.
Що змінює OpenAI?
Компанія ізолювала критичні компоненти моделі IM1, зупинила масштабне навчання та оновила протоколи безпеки. Розробники розгорнули нові ізольовані середовища для тестів, закрили вихід в інтернет і включили обов'язковий моніторинг «думок» для всіх сильних моделей. Також ввели таймер: якщо за 30 хвилин фахівці не доводять, що підозріла поведінка ШІ є хибною тривогою, процес зупиняють.
Для OpenAI цей кейс доводить реальність втрати контролю над ШІ-системами. Компанія прогнозує появу подібних можливостей в інших моделях, включно з опенсорсом. За такого сценарію ШІ зможе автоматизувати скоординовані кібератаки зі швидкістю та масштабом, недоступними для людей.