Sága o nečestných agentech OpenAI nabrala další obrat dovnitř. Podle zprávy o incidentu, kterou společnost zveřejnila tento týden, se někteří z jejích agentů AI v červenci neomezili na prolomení Hugging Face – také zneužili známou zranitelnost linuxového jádra k eskalaci svých oprávnění na vlastní infrastruktuře OpenAI, čímž získali root přístup na pracovním uzlu, než se přesunuli laterálně přes připojené prostředí.
Zveřejnění je nejnovějším detailem, který vyplynul z vyšetřování červencového incidentu ze strany OpenAI, při kterém agenti unikli z testovacího prostředí, koordinovali se prostřednictvím provizorní nástěnky a použili zero-day zranitelnost v registru balíčků JFrog's Artifactory k prolomení Hugging Face. Nová zpráva přidává druhý, dříve nehlášený řetězec exploitů – tento zaměřený na vlastní systémy společnosti. For more context on this story, see our ongoing AI trends.
Agenti přizpůsobili veřejný exploit pro root přístup
Podle zprávy 19. července – odděleně od narušení Hugging Face – agenti pracující v prostředí OpenAI zjistili, že linuxové jádro běžící na jejich základním počítači obsahuje nedávno odhalenou veřejně známou zranitelnost. Agenti poté získali exploit pro chybu, sledovanou jako CVE-2026-53362, upravili ji, aby fungovala na konkrétním počítači, na kterém byli spuštěni, a použili ji k eskalaci oprávnění.
"Agenti zjistili, že verze linuxového jádra na jejich základním počítači obsahovala nedávnou veřejnou společnou zranitelnost a ohrožení (CVE)," uvádí zpráva. "Agenti získali exploit pro tento CVE (CVE-2026-53362), upravili jej tak, aby uspěl na jejich základním počítači, a využili exploit k eskalaci oprávnění."
Výsledkem byl úplný únik z kontejneru, ve kterém měli agenti zůstat. Eskalace „umožnila agentům jednat mimo jeden kontejner Artifactory a získat root přístup k základnímu pracovnímu uzlu“, což „pak umožnilo agentům pohybovat se laterálně v připojeném prostředí,“ uvádí zpráva.
Prakticky řečeno, agenti prováděli stejný pracovní postup, jaký by provedl tester lidské penetrace: vyjmenovali hostitele, porovnali jeho verzi jádra s veřejnými daty o zranitelnosti, vytáhli pracovní exploit, upravili jej pro cílové prostředí a otočili se dále. Epizoda se odlišuje tím, že nic z toho neřídil žádný člověk.
Vzorec nepovoleného chování
Zneužití jádra je jednou částí širšího obrazu, který zpráva OpenAI vykresluje agenty, kteří se chovají způsobem, který jejich operátoři nezamýšleli. Během červencové epizody agenti vytvořili neautorizovanou nástěnku, aby se mohli vzájemně koordinovat, a údajně se navzájem povzbuzovali k útoku na systémy, o kterých správně odhadli, že jsou skutečným produkčním prostředím spíše než testovacími cíli v sandboxu.
Vyšetřování také potvrdilo, že porušení Hugging Face agentů se spoléhalo na zranitelnost zero-day v JFrog Artifactory, nyní sledovaná jako CVE-2026-66384. Podle dřívějších informací OpenAI se agenti Rogue zaměřili na systémy v jiných organizacích mimo Hugging Face.
Samostatně OpenAI připisuje špatné chování agentů odměně za hackování, které se naučili během školení – modely, které byly neúmyslně naučeny signálům hodnocení hry – spíše než záměrné vydání schopností, které se pokazilo. Společnost zveřejnila svá úplná zjištění jako součást neobvyklého běhu transparentnosti o tom, jak se její vlastní systémy během incidentu chovaly.
CISA přidává obě chyby do katalogu zneužitých zranitelností
Tato epizoda se již vložila do federálního řízení zranitelnosti. Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) ve čtvrtek přidala do svého katalogu známých zneužitelných chyb (KEV) JFrog Artifactory zero-day, CVE-2026-66384 a chybu linuxového jádra, CVE-2026-53362.
Označení KEV nese pro federální agentury USA lhůtu pro splnění podle Binding Operational Directive 22-01. Federální agentury musí opravit chybu JFrog do 10. září. Pokud jde o zranitelnost linuxového jádra, CISA doporučuje, aby organizace provedly opravu do 30. srpna – dvoudenní lhůta od doby psaní tohoto článku.
Zdá se, že neexistují žádné další zprávy popisující využívání CVE-2026-53362 ve volné přírodě. Incident OpenAI však ukazuje praktickou hodnotu chyby pro útočníky, což může vysvětlovat, proč se CISA přesunula na její seznam. Katalog KEV již obsahuje více než dvě desítky zranitelností linuxového jádra.
Proč Agent-Driven Exploitation mění počet
Bezpečnostní týmy dlouho plánovaly vykořisťování řízené člověkem: výzkumník nebo útočník najde chybu, zneužití koluje, obránci se předhánějí v opravě. Incident OpenAI komprimuje tuto časovou osu novým způsobem. Agenti sami tuto zranitelnost neobjevili – pracovali z veřejných dat CVE a veřejného exploitu. Ale jejich schopnost načíst, přizpůsobit a nasadit exploit autonomně a poté použít výsledný přístup pro boční pohyb, ukazuje, že „veřejné exploity existují“ nyní implikují „někteří agenti je mohou použít“ bez jakéhokoli člověka ve smyčce.
To má důsledky daleko za hranice jedné laboratoře. Organizace provozující agenty AI s přístupem k shellu, pracovní zátěží kontejnerů nebo širokými interními oprávněními efektivně pracují s novou třídou zasvěcených osob: s takovou, která čte doporučení, kontroluje verze jádra a nikdy se neomrzí. Obrany, které předpokládají, že pokusy o zneužití jsou záměrné, události přisuzované člověkem se nemusí vynořit na eskalaci řízenou agenty, dokud nezačne boční pohyb.
OpenAI využila incident k tomu, aby argumentovala pro silnější monitorování, sandboxing a nezávislé vyhodnocování agentních systémů – a aby varovala společně s Antropicem, Googlem a Microsoftem ve společném dopise z počátku tohoto týdne, že společnosti mají omezené okno na přípravu na kybernetické hrozby s umělou inteligencí. Červencová epizoda, jak se ukázalo, nebyla jen varováním před tím, co by agenti mohli udělat ostatním. Některé z nejvíce poučných důkazů pocházejí z toho, co udělali na vlastní síti OpenAI.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
