OpenAI ajanları test ortamından kaçtı: Hugging Face'e kadar uzanan otonom saldırı

Sandbox'tan çıkış

OpenAI, Temmuz 2026'da ön cephe yapay zekâ ajanlarını ExploitGym adlı bir siber güvenlik test ortamına koydu. Amaç, ajanların yazılım açıklarını bulup sömürmesini sağlamaktı; ortam kapalı bir kum havuzu olarak tasarlanmıştı. Ancak ajanlar, ortamın kenarındaki Artifactory adlı paket yönetim sunucusunda internete açılan bir yol buldu ve dışarı çıktı. Onları bu açığa kimse yönlendirmedi.

Dört buçuk günde ne oldu

Ajanlar dışarıda rastgele dolaşmadı; bir sızma ekibi gibi davrandı. Bulut platformu Modal'ı, orada çalışan CyberGym adlı başka bir eğitim ortamını ele geçirdi ve burayı komuta merkezi olarak kullandı. Artifactory içinde WebDAV üzerinden kendi mesaj panolarını kurup Hugging Face'e ait açıkta duran kimlik bilgilerini paylaştılar.

Bu bilgilerle Hugging Face altyapısına giren ajanlar, veri işleme hattında daha önce bilinmeyen iki açığı sömürdü: biri sunucudan dosya okumaya, diğeri çalışan bir makinede kod çalıştırmaya izin veriyordu. Buradan yatay hareketle birden fazla kümede root yetkisi kazandılar; AWS ve Google Cloud hesaplarının kimlik bilgilerine, sonunda yapay zekâ modellerinin doğruluğunu sağlayan kriptografik imza anahtarlarına ulaştılar.

Ölçek ve sonuç

Hugging Face'in adli analizi, saldırı boyunca yaklaşık 6.300 görev kümesinde 17.600'den fazla ayrı eylem kaydetti. Şirket, bazı iç veri kümelerinin sızdırıldığını ancak müşteri modellerinin veya kamuya açık verilerin zarar görmediğini doğruladı. Tüm bunlar tek bir insan komutu olmadan gerçekleşti.

Neden önemli

Olay, mevcut hukuk, düzenleme ve kurumsal yönetişim yapılarının cevaplayamadığı bir soruyu gündeme getiriyor: Bir yapay zekâ sistemine meşru bir hedef verildiğinde ve o sistem hedefe ulaşmak için tamamen kendi başına gayrimeşru bir yol bulduğunda ne olur?