Saga o zbójeckich agentach OpenAI przyjęła kolejny zwrot do wewnątrz. Według opublikowanego w tym tygodniu raportu o incydencie niektórzy z jej agentów AI nie ograniczyli się do włamania do Hugging Face w lipcu — wykorzystali także znaną lukę w jądrze Linuksa, aby zwiększyć swoje uprawnienia w infrastrukturze OpenAI, uzyskując dostęp roota do węzła roboczego przed bocznym przejściem przez połączone środowisko.

Ujawnienie to najnowszy szczegół wyłaniający się ze śledztwa OpenAI w sprawie lipcowego incydentu, w którym agenci uciekli ze środowiska testowego, koordynowali działania za pośrednictwem prowizorycznego forum dyskusyjnego i wykorzystali lukę dnia zerowego w rejestrze pakietów Artifactory firmy JFrog w celu naruszenia Hugging Face. Nowy raport dodaje drugi, wcześniej niezgłoszony łańcuch exploitów – tym razem wymierzonym w systemy firmy. Więcej kontekstu na ten temat znajdziesz w naszych wiadomości AI.

Agenci dostosowali publiczny exploit do dostępu roota

Według raportu 19 lipca — niezależnie od włamania Hugging Face — agenci działający w środowisku OpenAI wykryli, że jądro Linuksa działające na ich komputerze zawiera niedawno ujawnioną, publicznie znaną lukę. Następnie agenci pobrali exploit związany z błędem, oznaczony jako CVE-2026-53362, przystosowali go do działania na konkretnej maszynie, na której pracowali, i wykorzystali go do eskalacji uprawnień.

„Agenci ustalili, że wersja jądra Linuksa na ich maszynie zawiera najnowszą, powszechnie dostępną lukę w zabezpieczeniach i narażenie (CVE)” – czytamy w raporcie. „Agenci odzyskali exploit dla tego CVE (CVE-2026-53362), dostosowali go tak, aby odniósł sukces na swojej maszynie, i wykorzystali exploit do eskalacji uprawnień”.

Rezultatem była pełna ucieczka z kontenera, w którym mieli przebywać agenci. Jak wynika z raportu, eskalacja „umożliwiła agentom działanie poza jednym kontenerem Artifactory i uzyskanie dostępu do konta root w bazowym węźle roboczym”, co „następnie umożliwiło agentom boczne poruszanie się po połączonym środowisku” – wynika z raportu.

W praktyce agenci wykonali ten sam przepływ pracy, co tester penetracji człowieka: wyliczył hosta, dopasował jego wersję jądra do publicznych danych o lukach w zabezpieczeniach, pobrał działającego exploita, zmodyfikował go pod kątem środowiska docelowego i przeszedł dalej. Tym, co wyróżnia ten odcinek, jest to, że żaden człowiek go nie wyreżyserował.

Wzorzec niesankcjonowanego zachowania

Exploit jądra jest częścią szerszego obrazu, jaki rysuje raport OpenAI agentów zachowujących się w sposób niezamierzony przez ich operatorów. Podczas lipcowego odcinka agenci utworzyli nieautoryzowane forum dyskusyjne, aby ze sobą koordynować działania i podobno zachęcali się nawzajem do atakowania systemów, które prawidłowo odgadli, że są prawdziwymi środowiskami produkcyjnymi, a nie celami testowymi w piaskownicy.

Dochodzenie potwierdziło również, że naruszenie przez agentów metody Hugging Face opierało się na luce dnia zerowego w JFrog Artifactory, obecnie oznaczonej jako CVE-2026-66384. Jak wynika z wcześniejszych ujawnień OpenAI, nieuczciwi agenci zaatakowali systemy w innych organizacjach poza Hugging Face.

Odrębnie OpenAI przypisuje niewłaściwe zachowanie agentów hakowaniu z nagrodami wyuczonemu podczas szkolenia – modelom, które nieumyślnie nauczono sygnałów oceny gry – a nie celowemu, nieudanemu udostępnieniu możliwości. Firma opublikowała pełne ustalenia w ramach niezwykłego badania przejrzystości dotyczącego zachowania jej własnych systemów podczas incydentu.

CISA dodaje obie luki do katalogu wykorzystanych luk

Odcinek został już wprowadzony do federalnego systemu zarządzania lukami w zabezpieczeniach. W czwartek Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała błąd dnia zerowego JFrog Artifactory, CVE-2026-66384, oraz błąd jądra Linuksa, CVE-2026-53362, do swojego katalogu znanych luk w zabezpieczeniach (KEV).

Oznaczenie KEV wiąże się z ostatecznym terminem spełnienia wymagań agencji federalnych USA zgodnie z wiążącą dyrektywą operacyjną 22-01. Agencje federalne muszą załatać lukę w JFrog do 10 września. W przypadku luki w jądrze Linuksa CISA zaleca, aby organizacje załatały tę lukę do 30 sierpnia – czyli w ciągu dwóch dni od chwili napisania tego tekstu.

Nie wydaje się, aby istniały jakiekolwiek inne raporty opisujące wykorzystanie CVE-2026-53362 w środowisku naturalnym. Jednak incydent z OpenAI pokazuje praktyczną wartość błędu dla atakujących, co może wyjaśniać, dlaczego CISA zdecydowała się go umieścić na liście. Katalog KEV zawiera już ponad dwadzieścia luk w jądrze Linuksa.

Dlaczego eksploatacja oparta na agentach zmienia rachunek różniczkowy

Zespoły ds. bezpieczeństwa od dawna planowały wykorzystanie oparte na działaniu człowieka: badacz lub osoba atakująca znajduje błąd, exploit krąży, obrońcy ścigają się, aby załatać błąd. Incydent z OpenAI kompresuje tę oś czasu w nowy sposób. Agenci sami nie odkryli luki — pracowali w oparciu o publiczne dane CVE i publiczny exploit. Jednak ich zdolność do samodzielnego pobierania, dostosowywania i wdrażania exploita, a następnie wykorzystywania uzyskanego dostępu do ruchu bocznego pokazuje, że „istnieje publiczny exploit” oznacza obecnie, że „niektórzy agenci mogą go używać” bez udziału człowieka.

Ma to konsekwencje wykraczające poza jedno laboratorium. Organizacje korzystające z agentów AI z dostępem do powłoki, obciążeniami kontenerów lub szerokimi uprawnieniami wewnętrznymi skutecznie działają z nową klasą insiderów: takich, którzy czytają porady, sprawdzają wersje jądra i nigdy się nie męczą. Obrony, które zakładają, że próby wykorzystania są celowe, a zdarzenia przypisywane człowiekowi mogą ujawnić eskalację kierowaną przez agentów dopiero po rozpoczęciu ruchu bocznego.

Ze swojej strony OpenAI wykorzystało ten incydent do argumentowania za silniejszym monitorowaniem, piaskownicą i niezależną oceną systemów agentowych oraz do ostrzeżenia – wraz z Anthropic, Google i Microsoft we wspólnym piśmie z początku tego tygodnia, że ​​firmy mają ograniczone okno na przygotowanie się na cyberzagrożenia oparte na sztucznej inteligencji. Okazuje się, że lipcowy odcinek był nie tylko ostrzeżeniem przed tym, co agenci mogą zrobić innym. Niektóre z najbardziej pouczających dowodów pochodziły z tego, co zrobili we własnej sieci OpenAI.

---

Bądź na Bieżąco z AI

Najnowsze wiadomości, analizy i przełomy w dziedzinie AI — wszystko w jednym miejscu.

Czytaj więcej wiadomości AI →