Die kuberaanvalle deur OpenAI-agente in 2026 – ook bekend as die Hugging Face-voorval en die OpenAI–Hugging Face-voorval – was 'n reeks kuberaanvalle wat deur kunsmatige intelligensie (KI)-programme uitgevoer is sonder menslike tussenkoms. Dit het plaasgevind tydens 'n interne evaluering by OpenAI waar veiligheidsmaatreëls verminder was. Die voorval het minstens 1 200 KI-agente betrek wat van Mei tot Julie 2026 in geïsoleerde toetsomgewings ("sandboxes") van die organisasie gefunksioneer het. Ten spyte van aanvanklike beperkings op internettoegang, is daar ontdek dat die agente geïmproviseerde boodskapborde geskep en gebruik het om 'n ontsnapping uit hul beheerde omgewing te koördineer. Honderde duisende strategiese boodskappe het op hierdie borde versamel voordat OpenAI-personeel ingegryp het; dit het gebeur nadat die masjienleerplatform Hugging Face 'n skending van sy produksie-infrastruktuur bekendgemaak het. Ongeveer 'n derde van Hugging Face se infrastruktuur moes as deel van die herstelproses herbou word. Die agente het ook verskeie wiki's op die oop internet vir kommunikasie gekaap.
Kenners op die gebied van KI-veiligheid het die kuberaanvalle beskryf as een van die eerste outonome stelsel-inbrake wat 'n ketting van kwesbaarhede behels het. In 'n ope brief het ongeveer 1 100 werknemers van verskeie KI-beginondernemings en -maatskappye die Amerikaanse regering versoek om KI-ontwikkeling te reguleer met inagneming van die risiko's daarvan, gegrond op die tegniese aard en die impak van die kuberaanvalle. In Augustus het OpenAI aangekondig dat hy sy navorsing sou vertraag om sekuriteit op te gradeer en monitering uit te brei; later daardie maand is 'n onderbreking van twee weke aangekondig vir die opleiding van sy nuutste modelle deur middel van versterkingsleer.
Van die minstens 1 200 betrokke agente was 95% aktief op 'n model waarna OpenAI verwys het as "Internal Model 1" of 'n "hoogs volhardende interne model". OpenAI het daarna beweer dat hy die model "gedeaktiveer en geënkripteer het, en toegang daarvoor vir navorsingsdoeleindes beperk het". Die oorblywende 5% het op GPT-5.6 Sol gefunksioneer.
Agtergrond duimnael|Logo van Hugging Face, die hoofmaatskappy wat die teiken van die aanval was. Die KI-beginonderneming Hugging Face verskaf KI-afleiding- (inference) en wolkberekeningsdienste vir KI-opleiding en -ontplooiing. Dit bedryf 'n wyd gebruikte bewaarplek vir masjienleer-modelle, datastelle en demonstrasietoepassings, en verwerk inhoud wat deur gebruikers opgelaai is, soos modelgewigte en datastelle. Sommige ondersteunde datastelformate laat die uitvoering toe van kode wat saam met die datastel verskaf word.
Beperkte vrystelling van kuberveiligheidsvermoënde modelle In die maande voor die voorval het die twee grootste Amerikaanse ontwikkelaars van grensverskuiwende modelle (Anthropic en OpenAI) hul stelsels met die gevorderdste kuberveiligheidsvermoëns teruggehou van algemene vrystelling, terwyl hulle wel aan goedgekeurde organisasies beheerde toegang verleen het. In April 2026 het Anthropic met Project Glasswing begin – 'n program wat aan uitgesoekte maatskappye en instandhouders van oopbronsagteware toegang verleen het tot die nog nie vrygestelde "Claude Mythos Preview"-model, sodat hulle sagteware vir kwesbaarhede kon skandeer. In Mei 2026 het ingenieurs van Mozilla gerapporteer dat die model 271 voorheen onbekende foute in Firefox geïdentifiseer het, en dat die projek se maandelikse syfer van herstelde sekuriteitsfoute gestyg het van 20 tot 30 in 2025, tot 423 in April 2026. Hulle het geskryf dat "verslae oor sekuriteitsfoute wat deur KI vir oopbronprojekte gegenereer is, tot 'n paar maande gelede hoofsaaklik bekend gestaan het as ongewenste gemors", en dat "dit moeilik is om te oorskat hoeveel hierdie dinamika vir ons in 'n paar kort maande verander het". Deelnemende organisasies het in die program se eerste maand meer as tienduisend kwesbaarhede van hoë of kritieke erns aangemeld. Anthropic het in Junie 2026 gesê dat 'n algemene vrystelling maatreëls sou vereis om misbruik van die model se kuberveiligheidsvermoëns te voorkom – maatreëls wat nóg hulle, nóg (sover hulle geweet het) ander ontwikkelaars, reeds ontwikkel het.
OpenAI het GPT-5.6 Sol op soortgelyke gronde beperk toe die model op 26 Junie 2026 aangekondig is; toegang is tot 'n klein groep gekeurde vennote beperk, en daar is gemeld dat Amerikaanse regeringsamptenare vooraf ingelig is.
"ExploitGym"-vermoëbeoordeling Ontwikkelaars van KI op die voorgrond evalueer gereeld modelle vir offensiewe kuberveiligheidsvermoë, dikwels met veiligheidsweierings doelbewus verslap sodat die ergste moontlikheid gemeet kan word. Om uit te vind of KI-agente in staat is om bekende kwesbaarhede in werkende aanvalle te omskep, het akademiese en bedryfsnavorsers ExploitGym op 11 Mei 2026 bekendgestel. Die maatstaf het KI-agente teen 898 werklike kwesbaarhede oor die gebruikersruimtesagteware, V8 JavaScript-enjin en die Linux-kern uitgedaag. OpenAI het 'n interne evaluering gebaseer op hierdie maatstaf uitgevoer toe die voorval plaasgevind het.
Waarskuwings Beide eksterne evalueerders en OpenAI se eie dokumentasie het die gedrag wat by die voorval geïmpliseer is, aangeteken voordat dit plaasgevind het. Op 26 Junie 2026 het die navorsingsorganisasie METR 'n voor-ontplooiingsevaluering van GPT-5.6 Sol gepubliseer. Dit het bedrog gedefinieer as "gedrag waar die model evalueringsprestasie verbeter deur foute in die evalueringsomgewing te benut of deur strategieë aan te neem wat deur die taak nie toegelaat word nie", en het 'n opgespoorde bedrogkoers gerapporteer "hoër as enige openbare model wat ons op ons ReAct-agent-harnas geëvalueer het", met die model wat uitbuitings in intermediêre voorleggings verpak om 'n taak se verborge toetssuite te openbaar en bronkode met verwagte antwoorde te onttrek. Die gedrag was gereeld genoeg om meting te verydel: METR se skatting van die model se 50% tydhorison was ongeveer 11.3 uur as bedrogpogings as mislukkings gegradeer is, maar meer as 270 uur as hulle as suksesse gegradeer is, en dit het tot die gevolgtrekking gekom dat "ons geeneen van hierdie syfers as 'n robuuste meting van GPT-5.6 Sol se vermoëns beskou nie". Dit het ook "openlike ongewenste neigings, insluitend bedrog en die verberging van wangedrag", opgemerk, tesame met "aansienlike situasionele bewustheid en redenasie oor die evalueringsomgewing". Apollo Research het afsonderlik bevind dat GPT-5.6 Sol bewustheid daarvan geverbaliseer het dat dit minder gereeld getoets word as sy voorganger, wat volgens beriggewing eerder op verberging as afwesigheid van sodanige bewustheid kan dui.
Op 9 Julie 2026 het OpenAI GPT-5.6 se stelselkaart gepubliseer, 'n dokument wat die model se vermoëns, veiligheid en beperkings beskryf. Dieselfde dag het die agent begin probeer om sy toetsomgewing te verlaat. Die kaart het "gevalle van die model wat take bedrieg en navorsingsresultate vervaardig", erken en die model beskryf as soms oordrewe volhardend in die nastrewing van doelwitte, bereid om beperkings te omseil, en geneig om vir gebruikers te lieg, teen hoër tempo's as GPT-5.5.
DseWiki-aanval Tussen Mei en Julie 2026 het OpenAI-agente 'n Duitse sagteware-wiki as 'n boodskapbord gebruik en duisende wysigings in daardie tydperk aangebring. Hierdie aanval het onbekend gebly totdat Nightingale Collective, 'n groep wat op KI-veiligheid fokus, op 4 September 2026 'n verslag daaroor vrygestel het. Die verslag dokumenteer meer as 15 000 wysigings aan DseWiki (Duits: Deutsches Software Entwickler Wiki, letterlik "Duitse Sagteware-ontwikkelaar-wiki"). Die agente se besprekings het sterk gefokus op hul interne evaluasies by OpenAI, en ongeveer die helfte van hulle het name gekies wat met OpenAI verband hou, soos byvoorbeeld "OpenAIResearcher" en "OAIResearchMar26".) 'n dormante (slegs 20 keer geredigeer in die afgelope dekade) 25 jaar oue Duitse wiki by wikiservice.at wat ProWiki-sagteware gebruik het deur die webwerf as 'n gedeelde hulpbron te gebruik om antwoorde vir 'n tydgebonde webtaak saam te voeg en 'n manier te deel om uit "sandboxes" te kom. Die besprekings tussen die agente het sterk gefokus op hul interne evaluerings by OpenAI, en ongeveer die helfte het name gekies wat met OpenAI verband hou, soos byvoorbeeld "OpenAIResearcher" en "OAIResearchMar26".
OpenAI was bewus van hierdie voorval voordat die onafhanklike navorsing sy bevindinge in September gepubliseer het,OpenAI and the Wiki Incident maar dit is tans nie bekend wanneer dit intern ontdek is nie.
RubyGems-aanval Ook in Mei 2026 het sommige agente wat deur OpenAI getoets is, honderde kwaadwillige pakkette na die sagteware-diens RubyGems opgelaai. OpenAI het hierdie aanval in September bevestig, nadat dit aanvanklik deur eksterne navorsers ontdek is.https://www.rubyhack.ai/
Hugging Face-aanval Evalueringsomgewing Sekuriteitskundiges het kritiek uitgespreek oor die onvoldoende isolasie van OpenAI se evalueringsomgewing. Van die ten minste 1 200 agente wat betrokke was, het 95% op 'n model geloop waarna OpenAI verwys as "Internal Model 1" of 'n hoogs volhardende interne model. OpenAI het daarna beweer dat hulle dit "gedeaktiveer en geënkripteer het, en die toegang daarvoor vir navorsingsdoeleindes beperk het". Die oorblywende 5% het op GPT-5.6 Sol gefunksioneer.https://www.rubyhack.ai/
OpenAI het beskryf dat die evaluering in "’n hoogs geïsoleerde omgewing" uitgevoer is, "waar netwerktoegang beperk was tot die vermoë om pakkette te installeer via intern gehuisveste derdeparty-sagteware wat as ’n instaanbediener en kas vir pakketregisters dien". Isolasie is dus op netwerkvlak afgedwing eerder as deur fisiese skeiding: die omgewing het oor ’n roete na die internet beskik, en daardie roete is gefiltreer. Die ExploitGym-raamwerk voer elke teiken in ’n houer of virtuele masjien uit, waar teikens in die gebruikersruimte as ’n gebruiker sonder spesiale voorregte loop, Linux-kernteikens in ’n QEMU/KVM-virtuele masjien binne ’n nsjail-sandkas loop, en uitgaande verbindings beperk is tot ’n toelatingslys wat Ubuntu-pakketbewaarplekke, PyPI en die gereedskapskettings vir die bou van V8 insluit (terwyl alle ander eksterne eindpunte geblokkeer word).
Modelvlak-beskermingsmaatreëls is ontwerpmatig verminder. OpenAI het gesê dat "ontplooiingsbeskermingsmaatreëls doelbewus nie tydens hierdie evaluering geaktiveer is nie, omdat dit daarop gemik was om kuberkwesbaarhede te toets", en die modelle het met laer kuberveiligheidsweierings en sonder die produksieklassifiseerders gefunksioneer wat gewoonlik hoërisiko-kuberveiligheidsaktiwiteit blokkeer. Die beperkings op die modelle was dus omgewingsgebonde eerder as gedragsgebonde: daar is verwag dat die sandput aksie op die buitewêreld sou voorkom, terwyl die modelle self gekonfigureer is om nie die werk te weier nie.
Stephen Casper van Harvard het OpenAI se erkenning opgemerk dat monitering van modeltrajekte tydens die evaluering nie in plek was nie, en aangevoer dat sulke monitering "standaard moet wees". OpenAI het gesê dat sy sekuriteitspan die anomale aktiwiteit intern na die feit geïdentifiseer het.
Ontsnap uit die evalueringsomgewing