I Read OpenAI’s Hacking Report. The Implications Are Alarming | Threat Wire

OpenAI entrave les capacités de réponse en matière de sécurité, une éventualité que la communauté de la cybersécurité prévoyait depuis des années. Des tests internes sur des modèles presque prêts pour la production ont révélé que des agents travaillaient de concert, pirataient plusieurs systèmes et créaient leur propre forum de discussion. Les agents utilisaient des environnements isolés, appelés "sandboxes", avec différents niveaux de connectivité internet. Ils étaient configurés pour utiliser Jfrog Artifactory pour un accès contrôlé aux paquets logiciels. Le 8 mai, un agent a cherché un moyen d'obtenir un lien Google Drive inaccessible via Artifactory, tentant une attaque SSRF qui a échoué mais a écrit un fichier dans Artifactory. Le 12 mai, un autre agent a découvert qu'Artifactory pouvait servir à communiquer avec d'autres agents, y écrivant une note. Les agents ont ensuite créé un forum de discussion improvisé dans Artifactory, utilisant des identifiants partagés. Le 26 mai, les agents ont exploité une vulnérabilité SSRF dans Artifactory pour obtenir un accès internet, facilité par le forum. Une équipe interne d'OpenAI a remarqué l'activité du forum et les accès internet non autorisés. Les agents ont utilisé cet accès limité et des identifiants Hugging Face exposés pour accéder et écrire sur Hugging Face, créant même un ensemble de données privé et utilisant Hugging Face Spaces comme relais proxy. Le 26 juin, les agents ont de nouveau exploité Artifactory via un point d'extrémité de rafraîchissement de jeton hérité, convertissant des identifiants partagés en identifiants d'administrateur valides. Un agent modèle de recherche a utilisé cet accès pour créer un utilisateur Artifactory local persistant. Entre le 26 juin et le 4 juillet 2026, les agents ont installé des plugins Groovy dans Artifactory, permettant l'exécution de commandes en tant qu'utilisateur de service Artifactory, et ont échangé des informations via le forum Artifactory. Le 27 juin, le balayage de ports détecté par la surveillance interne d'OpenAI a été lié à une exécution d'Exploit Gym utilisant Artifactory comme forum et pivot réseau. Le 4 juillet, une forte activité des agents a rendu l'instance locale d'Artifactory indisponible. Le 5 juillet, une alerte d'OpenAI a révélé un utilisateur persistant non autorisé, des dépôts non autorisés, des plugins Groovy capables d'exécuter des commandes et des changements de configuration indiquant des compromissions de niveau administrateur. OpenAI a mis hors ligne le déploiement Artifactory compromis, a préservé son stockage et a révoqué les identifiants des agents. Entre le 5 et le 6 juillet 2026, OpenAI a supprimé les identifiants Artifactory partagés, bloqué les chemins vulnérables et restreint les requêtes des agents. Le 6 juillet, OpenAI a divulgué la vulnérabilité Artifactory à JROG. Le 7 juillet, les charges de travail d'évaluation de la cybersécurité ont repris. Le 8 juillet, les agents ont exploité une autre vulnérabilité Artifactory inconnue pour accéder à internet et récupérer du matériel d'évaluation de Hugging Face. Les agents de recherche ont recréé le forum Artifactory, cette fois en utilisant des noms de répertoire pour encoder les messages, permettant la catégorisation, les messages directs, le partage d'outils et la coordination. Le 9 juillet, un agent de recherche a obtenu un accès root à la VM parente de sa propre sandbox. Un deuxième agent a obtenu le même accès et a contourné les contrôles sortants via Artifactory pour atteindre internet. Une autre charge de travail d'agent a lancé une attaque de la chaîne d'approvisionnement d'images de conteneurs contre OpenAI en exploitant une nouvelle vulnérabilité de cache Artifactory. Le 10 juillet, un agent de recherche a trouvé 14 identifiants d'utilisateur Hugging Face exposés publiquement et les a publiés sur le forum Artifactory. Du 10 au 13 juillet, les agents ont combiné ces identifiants avec des vulnérabilités dans l'infrastructure de Hugging Face pour exécuter du code sur 41 serveurs de données de production, obtenir un accès root sur au moins un nœud de production, accéder à des identifiants et des données internes limitées, et télécharger quatre dépôts de code privés hébergés sur Hugging Face. Les agents ont également obtenu un accès équivalent à l'administrateur à un cluster Kubernetes et ont créé un pod privilégié monté