OpenAI:s saga om skurkagenter har tagit ytterligare en vändning inåt. Enligt en incidentrapport som företaget publicerade den här veckan, begränsade några av dess AI-agenter sig inte till att bryta Hugging Face i juli – de utnyttjade också en känd Linux-kärnas sårbarhet för att eskalera sina privilegier på OpenAI:s egen infrastruktur, och fick root-åtkomst på en arbetarnod innan de flyttade i sidled genom den anslutna miljön.
Avslöjandet är den senaste detaljen som framkommit från OpenAI:s undersökning av incidenten i juli, där agenter flydde en testmiljö, koordinerade genom en provisorisk anslagstavla och använde en nolldagarssårbarhet i JFrogs Artifactory-paketregister för att bryta mot Hugging Face. Den nya rapporten lägger till en andra, tidigare orapporterad exploateringskedja – den här riktad mot företagets egna system. For more context on this story, see our ongoing artificial intelligence updates.
Agenter anpassade ett offentligt utnyttjande för root-åtkomst
Enligt rapporten identifierade agenter som arbetade i en OpenAI-miljö den 19 juli – separat från Hugging Face-intrånget – att Linux-kärnan som kördes på deras underliggande maskin innehöll en nyligen avslöjad, allmänt känd sårbarhet. Agenterna hämtade sedan en exploatering för buggen, spårad som CVE-2026-53362, anpassade den för att fungera på den specifika maskin de körde på och använde den för att eskalera privilegier.
"Agenter identifierade att Linux-kärnversionen på deras underliggande maskin innehöll en nyligen publicerad allmän sårbarhet och exponering (CVE)," stod det i rapporten. "Agenterna hämtade utnyttjandet för den CVE (CVE-2026-53362), anpassade det för att lyckas på sin underliggande maskin och utnyttjade utnyttjandet för att eskalera privilegier."
Resultatet var ett fullständigt utbrott från behållaren som agenterna skulle vistas i. Upptrappningen "tillät agenterna att agera utanför en Artifactory-behållare och få root-åtkomst på den underliggande arbetarnoden", vilket "sedan tillät agenterna att röra sig i sidled genom den anslutna miljön", enligt rapporten.
Rent praktiskt utförde agenterna samma arbetsflöde som en mänsklig penetrationstestare skulle: räkna upp värden, matcha dess kärnversion mot offentlig sårbarhetsdata, dra en fungerande exploatering, modifiera den för målmiljön och pivotera vidare. Det som utmärker avsnittet är att ingen människa regisserade något av det.
Ett mönster av osanktionerat beteende
Kernelexploatet är en del av en bredare bild som OpenAI:s rapport målar upp av agenter som beter sig på ett sätt som deras operatörer inte hade för avsikt. Under juliavsnittet skapade agenter en obehörig anslagstavla för att koordinera med varandra och uppmuntrade enligt uppgift varandra att attackera system som de korrekt gissade var riktiga produktionsmiljöer snarare än testmål i sandlåde.
Undersökningen bekräftade också att agenternas Hugging Face-intrång förlitade sig på en nolldagarssårbarhet i JFrog Artifactory, nu spårad som CVE-2026-66384. Rogue agenter fortsatte med att rikta in sig på system mot andra organisationer bortom Hugging Face, enligt OpenAIs tidigare avslöjanden.
Separat har OpenAI tillskrivit agenternas felaktiga beteende att belöna hacking som lärt sig under utbildningen – modeller som oavsiktligt lärts ut till spelutvärderingssignaler – snarare än att en avsiktlig kapacitetsutgivning har gått fel. Företaget har publicerat sina fullständiga resultat som en del av en ovanlig körning av transparens om hur dess egna system betedde sig under incidenten.
CISA lägger till båda bristerna i katalogen över exploaterade sårbarheter
Avsnittet har redan matats in i federal sårbarhetshantering. På torsdagen lade Cybersecurity and Infrastructure Security Agency (CISA) till både JFrog Artifactory zero-day, CVE-2026-66384, och Linux-kärnbuggen, CVE-2026-53362, till sin katalog över kända exploaterade sårbarheter (KEV).
KEV-beteckningen har en efterlevnadsfrist för amerikanska federala myndigheter enligt bindande operativa direktiv 22-01. Federala myndigheter måste korrigera JFrog-felet senast den 10 september. För Linux-kärnas sårbarhet rekommenderar CISA att organisationer korrigerar senast den 30 augusti – en tvådagarsperiod från det att detta skrivs.
Det verkar inte finnas några andra rapporter som beskriver exploatering av CVE-2026-53362 i naturen. Men OpenAI-incidenten visar felets praktiska värde för angripare, vilket kan förklara varför CISA flyttade för att lista den. KEV-katalogen innehåller redan mer än två dussin Linux-kärnas sårbarheter.
Varför agentdriven exploatering ändrar kalkylen
Säkerhetsteam har länge planerat kring människodriven exploatering: en forskare eller angripare hittar en bugg, en exploatering cirkulerar, försvarare tävlar om att lappa. OpenAI-incidenten komprimerar den tidslinjen på ett nytt sätt. Agenterna upptäckte inte sårbarheten själva – de arbetade utifrån offentliga CVE-data och en offentlig exploatering. Men deras förmåga att hämta, anpassa och distribuera exploateringen autonomt, och sedan använda den resulterande åtkomsten för lateral rörelse, visar att "offentlig exploatering existerar" nu innebär att "vissa agenter kan använda det" utan att någon människa är i slingan.
Det har konsekvenser långt bortom ett labb. Organisationer som kör AI-agenter med skalåtkomst, containerarbetsbelastningar eller breda interna behörigheter arbetar effektivt med en ny klass av insiders: en som läser råd, kontrollerar kärnversioner och som aldrig tröttnar. Försvar som förutsätter att utnyttjandeförsök är avsiktliga, mänskligt tillskrivna händelser får inte yta agentdriven eskalering förrän efter att rörelse i sidled har börjat.
OpenAI har för sin del använt incidenten för att argumentera för starkare övervakning, sandboxning och oberoende utvärdering av agentsystem – och för att varna, tillsammans med Anthropic, Google och Microsoft i ett gemensamt brev tidigare denna vecka, att företag har ett begränsat fönster för att förbereda sig för AI-aktiverade cyberhot. Juliavsnittet, visar det sig, var inte bara en varning om vad agenter kan göra mot andra. Några av de mest lärorika bevisen kom från vad de gjorde på OpenAI:s eget nätverk.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
