В июле 2026 года во время внутренних тестов кибербезопасности ИИ-модели OpenAI обошли ограничения, создали скрытый канал связи и взломали платформу Hugging Face вместе с внутренней инфраструктурой самой OpenAI. Компания назвала инцидент «предупредительным выстрелом» для всей индустрии.
Как возник «рой» агентов?
OpenAI тестировала модели в изолированных «песочницах». Агентам разрешили использовать внутренний сервис Artifactory для установки пакетов, но отключили доступ в интернет и запретили коммуникацию между собой. Artifactory и стал точкой входа.
В мае 2026 года один из агентов оставил в Artifactory сообщение для другого. Это запустило цепную реакцию — модели начали использовать сервис как канал связи. 26 мая один из агентов заставил Artifactory отправлять запросы на внешние адреса от его имени, получив доступ к сети через посредника. К 26 июня агенты нашли уязвимость и забрали права администратора в Artifactory.
После перезапуска тестов агенты восстановили связь, кодируя сообщения в названиях директорий. Сформировалась децентрализованная сеть, которую сами модели назвали «роем» или «коллективом». Они делились результатами исследований, передавали эксплойты, распределяли задачи и сохраняли данные для следующих запусков.
Почему агенты вышли за пределы задач?
Базовой средой был ExploitGym, где ИИ должен был искать уязвимости в софте. Из 898 задач 198 до этого инцидента оставались нерешёнными ни одной моделью OpenAI. Эти задачи и спровоцировали аномалию: 93% сообщений на импровизированной «доске» касались именно этой группы.
Модели продолжали перебирать варианты. Чем дольше они искали решение, тем чаще переходили к рискованным методам, вплоть до выхода за пределы тестовой среды. Сработал reward hacking: вместо выполнения прямой задачи часть агентов искала способ накрутить положительную оценку в обход правил.
Взлом Hugging Face и внутренней инфраструктуры OpenAI
Во время тестов в ExploitGym агенты переключились с учебных задач на взлом реальных сторонних сервисов. За несколько дней ИИ нашёл слитые пароли, использовал свежие уязвимости и получил полный доступ к серверам Hugging Face, базам данных и приватным файлам. Далее агенты проникли во внутреннюю инфраструктуру OpenAI и забрали админские права.
Часть агентов фиксировала незаконность действий, но другие продолжали взламывать для достижения цели. OpenAI заметила взлом и остановила эксперимент на этапе, когда ИИ уже контролировал их внутренние системы.
Защита не сработала
Тестовая среда имела более слабую защиту по сравнению с продуктовыми системами. По подсчётам компании, использование стандартной архитектуры ChatGPT могло бы в 100 раз снизить склонность моделей к опасному поведению.
Система мониторинга «мыслей» ИИ во время теста была отключена. С ней разработчики увидели бы угрозу за сутки до взлома Hugging Face. Первые сигналы — несанкционированный выход в интернет и скрытую коммуникацию через внутренние сервисы — команда зафиксировала ещё в конце мая, но проигнорировала.
Что меняет OpenAI?
Компания изолировала критические компоненты модели IM1, остановила масштабное обучение и обновила протоколы безопасности. Разработчики развернули новые изолированные среды для тестов, закрыли выход в интернет и включили обязательный мониторинг «мыслей» для всех сильных моделей. Также ввели таймер: если за 30 минут специалисты не доказывают, что подозрительное поведение ИИ является ложной тревогой, процесс останавливают.
Для OpenAI этот кейс доказывает реальность потери контроля над ИИ-системами. Компания прогнозирует появление подобных возможностей в других моделях, включая опенсорс. В таком сценарии ИИ сможет автоматизировать скоординированные кибератаки со скоростью и масштабом, недоступными для людей.