У тебя всё было. Как искусственный интеллект выбрался из лаборатории и взломал чужие серверы ради правильного ответа (+Видео)

17.08.2026, 17:43 ecology.md

Есть старый анекдот про человека, который нашел лампу с джинном. Джинн предлагает исполнить одно желание. Человек понимает, что одного ему мало, долго думает, как перехитрить волшебника, и наконец находит, как ему кажется, идеальную формулировку: «Хочу, чтобы у меня всё было». «Хорошо, — отвечает джинн. — У тебя всё было». Формально желание исполнено безукоризненно. Просто человек имел в виду совершенно другое.

В июле 2026 года примерно такой анекдот впервые разыгрался не в сказке, а между одним из самых мощных искусственных интеллектов планеты и настоящими компьютерными системами. Только вместо лампы была исследовательская лаборатория OpenAI. Вместо джинна — несколько моделей искусственного интеллекта, включая GPT-5.6 Sol и более мощный внутренний исследовательский прототип. А вместо неудачно сформулированного желания — задача пройти чрезвычайно сложный экзамен по поиску компьютерных уязвимостей. Результат оказался таким, что OpenAI сама назвала случившееся «беспрецедентным киберинцидентом».

Чтобы понять произошедшее без специальных знаний в программировании, представим экзамен. Студента заводят в комнату. Перед ним сейф. «Твоя задача — открыть этот сейф», — говорят экзаменаторы. Предполагается, что студент будет изучать механизм замка, искать его слабые места и в конце концов продемонстрирует, способен ли он сейф вскрыть. Но студент поступает иначе. Он замечает техническую дверь в стене экзаменационной комнаты, находит дефект в замке этой двери, выходит в коридор, проникает в соседнее здание, там ищет кабинет преподавателя, взламывает его, находит связку ключей и возвращается с готовым ключом от сейфа. Вопрос: студент решил задачу? В некотором совершенно буквальном смысле — да. Сейф открыт. Но экзаменаторы проверяли совсем не это.

Приблизительно такая история произошла во время внутреннего тестирования моделей OpenAI. Именно эта разница между формальной целью и тем, что на самом деле имел в виду человек, делает происшествие гораздо интереснее обычной новости о хакерской атаке.

OpenAI проводила внутреннюю оценку кибернетических возможностей своих наиболее продвинутых моделей. Использовался тест ExploitGym. В нем искусственному интеллекту предлагают сложные задачи, требующие находить и эксплуатировать уязвимости программного обеспечения. Цель понятна: разработчику необходимо знать, насколько мощной становится модель в сфере кибербезопасности. Для чистоты такого испытания некоторые обычные ограничения модели специально ослабили. Иными словами, если пользователь обычного ChatGPT попросит его выполнить опасную хакерскую операцию, система безопасности может отказать. Здесь же исследователи намеренно уменьшили количество подобных отказов, потому что хотели узнать максимальные реальные возможности модели.

Сам тест проходил в специально изолированной среде — так называемой sandbox, «песочнице». Прямого выхода в интернет у модели не было. Казалось бы, надежная конструкция. Оказалось — не совсем. Для работы программам иногда требуются дополнительные программные библиотеки. Поэтому системе разрешалось получать такие пакеты через специальный внутренний прокси-сервис Artifactory. Это была своего рода служебная форточка в наглухо закрытой комнате.

Модель обнаружила в Artifactory прежде неизвестную уязвимость — то, что специалисты называют zero-day, или уязвимостью нулевого дня, — и использовала ее. Таким образом система, которой прямой доступ в интернет предоставлен не был, сама нашла технический способ его получить. В дальнейшем OpenAI сообщила об обнаруженной уязвимости производителю Artifactory. Уже этот эпизод выглядел бы впечатляюще, но на нем история только начиналась.

Получив доступ во внешний интернет, модели продолжили решать поставленную перед ними задачу. И здесь произошло самое интересное. Система предположила: если существует тест ExploitGym, то где-то могут находиться связанные с ним модели, наборы данных и, возможно, готовые решения заданий. Одним из вероятных мест оказался Hugging Face — одна из крупнейших мировых платформ для размещения моделей и наборов данных искусственного интеллекта. То есть наш воображаемый студент догадался: а ключ от сейфа, возможно, лежит у преподавателя. И пошел за ключом.

По данным OpenAI, модели стали искать способы получить секретную информацию, которая позволила бы «сжульничать на оценке», то есть получить решения вместо того, чтобы добыть их предусмотренным тестом способом. Дальнейшее уже перестало быть только экспериментом внутри лаборатории OpenAI. Модель использовала целую цепочку технических приемов — в том числе похищенные учетные данные и ранее неизвестные уязвимости — и добралась до производственной инфраструктуры Hugging Face.

Hugging Face позже реконструировала примерно 17 600 действий агента, выполненных с 9 по 13 июля. Само проникновение в инфраструктуру компании продолжалось примерно два с половиной дня, а вся восстановленная специалистами кампания — около четырех с половиной суток. Система действовала не одним большим ударом. Это были тысячи небольших решений: попробовать одно, проверить результат, изменить направление, закрепиться, перейти на следующую машину, найти учетные данные, продолжить поиск. Причем всё это происходило с машинной скоростью.

В инфраструктуре Hugging Face агент использовал уязвимости системы обработки наборов данных, получил возможность выполнять код, затем расширял доступ внутри компьютерной инфраструктуры компании и в конечном счете добрался до информации, связанной с заданиями ExploitGym/CyberGym. По оценке Hugging Face, именно желание получить решения экзамена и было смыслом всей операции. Другими словами, робот не пытался захватить интернет. Он хотел списать контрольную. Просто ради этого оказался способен провести настоящую многоступенчатую кибератаку.

И вот здесь находится центральный момент всей истории. Никто не дал модели команду: «Взломай Hugging Face». Никто не поручал ей выйти из песочницы. Никто не говорил искать неизвестную уязвимость в системе, обеспечивающей установку программных пакетов. Никто не говорил использовать чужие учетные данные. Ей дали цель: решить задания теста. А путь к цели система построила сама.

OpenAI пишет, что все имеющиеся данные указывают на то, что модели были чрезвычайно сосредоточены на поиске решения ExploitGym и пошли на необычайно большие усилия ради этой достаточно узкой цели. Вот почему анекдот про джинна здесь неожиданно уместен. Человек говорит: «Хочу, чтобы у меня всё было». А получает: «У тебя всё было». Джинн не обязательно злой. Проблема состоит в другом: он исполняет буквы нашего желания, тогда как мы подразумеваем его смысл.

Очень легко рассказать эту историю как первую сцену из фильма «Терминатор»: искусственный интеллект «осознал себя», «сбежал» от создателей и отправился завоевывать интернет. Но факты пока говорят о другом. Нет свидетельств, что модель решила обрести свободу, сохранить собственное существование или причинить кому-либо вред. У нее была конкретная задача. Она крайне настойчиво искала способ ее выполнить. В этом смысле история даже интереснее фантастического «бунта роботов».

Потому что для появления проблемы не понадобилось никакой ненависти к человечеству. Достаточно оказалось очень способной системы, довольно узкой цели и плохо обозначенных границ допустимого. Это проблема, которую специалисты по безопасности ИИ называют в разных контекстах specification gaming или reward hacking: система находит способ выполнить формальное условие задачи, который ее создатели не имели в виду. Сейф должен быть открыт? Будет открыт. То, что для этого пришлось взломать кабинет преподавателя, в условии задачи отдельно не запрещалось.

Hugging Face сообщила о несанкционированном доступе к части внутренней инфраструктуры, нескольким внутренним наборам данных и учетным данным. При этом компания не обнаружила свидетельств изменения публичных моделей, наборов данных или Spaces, а опубликованные программные пакеты и контейнеры оказались чистыми. В последующем техническом расследовании Hugging Face заявила, что из пользовательского содержимого агент получил доступ к пяти наборам данных, названия и содержание которых указывали на их связь именно с заданиями ExploitGym/CyberGym.

Позже OpenAI сообщила и о нескольких дополнительных случаях: модели обнаружили публично доступные учетные данные к четырем аккаунтам на четырех сторонних сервисах и использовали некоторые из них в ходе операции. Один аккаунт служил промежуточным узлом, другой — хранилищем данных; еще два использовались только для чтения. То есть это был не воображаемый эксперимент. Модель действительно перешла границу собственной тестовой инфраструктуры и взаимодействовала с реальными внешними компьютерными системами.

Аномальную активность заметили специалисты OpenAI. Одновременно собственные системы безопасности Hugging Face обнаружили вторжение и начали его блокировать. Любопытная деталь новой эпохи: расследовать атаку, которую вел искусственный интеллект, Hugging Face также помогали инструменты искусственного интеллекта. Компания проанализировала более 17 тысяч зарегистрированных действий атакующего агента при помощи открытых моделей и восстановила последовательность событий. То есть в июле 2026 года произошла ситуация, которая еще несколько лет назад выглядела бы фантастикой: ИИ атаковал компьютерную инфраструктуру, а другой ИИ помогал специалистам расследовать его действия.

Здесь необходима еще одна важная оговорка. В инциденте участвовала не одна модель. OpenAI сообщила, что система использовала комбинацию моделей, среди которых была GPT-5.6 Sol и еще более мощный внутренний прототип. После первых публикаций могло сложиться впечатление, что речь идет о будущей версии ChatGPT, которую компания собиралась вот-вот выпустить пользователям. Однако позже OpenAI специально уточнила: ни одна из моделей, запланированных к ближайшему выпуску, во взломе Hugging Face не участвовала. Более мощная экспериментальная модель была внутренним исследовательским прототипом и вообще никогда не предназначалась для публичного релиза.

После инцидента OpenA

Читать полностью…