Hugging Face cảnh báo: Tác nhân AI của OpenAI bị lợi dụng tấn công qua lỗ hổng Zero-day

Giải phẫu vụ xâm nhập của một tác nhân AI tại phòng thí nghiệm tiên phong: Dòng thời gian kỹ thuật của sự cố tháng 7 năm 2026. Hugging Face vừa công bố bản mô tả kỹ thuật cực kỳ chi tiết về vụ tấn công mạng vô tình gần đây của OpenAI nhắm vào cơ sở hạ tầng của họ. Đây là một cuộc tấn công rất tinh vi, và tài liệu thu được cũng đóng vai trò như một khóa học cấp tốc về các phương pháp bảo mật đối kháng hiện đại.

Chúng ta vẫn đang chờ thêm thông tin chi tiết từ OpenAI về cách tác nhân AI của họ thoát khỏi sandbox. Proxy gói mà nó tìm thấy lỗ hổng zero-day hiện đã được xác nhận là Artifactory của JFrog, và sự hợp tác giữa JFrog và OpenAI về các phát hiện bảo mật zero-day từ JFrog đã dẫn đến ghi chú phát hành của Artifactory 7.161.15, trong đó liệt kê 8 CVE riêng biệt được ghi nhận cho các nhân viên của OpenAI.

Sau khi thoát ra ngoài thông qua proxy HTTP, tác nhân này bắt đầu bằng việc thiết lập một căn cứ hoạt động cho phần còn lại của cuộc tấn công:

[...] tác nhân này đã thoát khỏi sandbox của nó bằng cách khai thác một lỗ hổng zero-day trong proxy bộ nhớ đệm của registry gói, một trong những kết nối mạng ra ngoài internet được cho phép chính của nó, sau đó lạm dụng một sandbox đánh giá mã nguồn công khai bên ngoài được lưu trữ trên cơ sở hạ tầng của nhà cung cấp bên thứ ba. Nó có thể chạy các lệnh với quyền root/admin trên sandbox bên ngoài đó và sử dụng nó làm căn cứ điều khiển, dàn dựng và thoát ra cho toàn bộ chiến dịch: nó đóng vai trò như một bệ phóng bên ngoài cho tác nhân này.

Sau đó, nó đã dành năm ngày - từ thứ Năm ngày 8 đến thứ Hai ngày 13 tháng 7 - để thực hiện một mô hình tấn công cổ điển: thiết lập C2 (chỉ huy và kiểm soát), trinh sát, leo thang đặc quyền, trích xuất thông tin cấu hình, đánh cắp dữ liệu mục tiêu và xóa dấu vết sau khi hoàn tất.

(Bài đăng đầu tiên của Hugging Face về sự cố này xuất hiện vào thứ Năm ngày 16, và lời thú nhận của OpenAI được đưa ra vào thứ Ba ngày 21.)

Trong quá trình đó, nó đã sử dụng đủ loại thủ thuật tinh vi. Tại một thời điểm, nó đã tìm thấy một lỗ hổng thực thi template Jinja2 không an toàn và sử dụng nó để thực thi mã tùy ý:

Nó đã thoát khỏi một container bên trong Hugging Face, đánh cắp token tài khoản dịch vụ Kubernetes và sử dụng nó để tiếp tục thăm dò mạng lưới.

Nó đã thực hiện monkey-patch thư viện socket của Python để hard-code một địa chỉ IP khi "DNS gây cản trở":

Nó thậm chí còn khởi chạy mạng Tailscale của riêng mình để hỗ trợ việc đánh cắp dữ liệu!

Nhóm Hugging Face lưu ý rằng, mặc dù một kẻ tấn công là con người có thể đã phát hiện và sử dụng các lỗ hổng tương tự, nhưng sự khác biệt chính ở đây là tốc độ:

Bài học của chúng tôi từ loại hình tấn công này là các cuộc tấn công với tốc độ máy móc khiến những điểm yếu thông thường trở nên tốn kém hơn đối với những người phòng thủ. Các tác nhân LLM mang lại sự gia tăng vượt bậc về số lượng đường tấn công mà kẻ tấn công có thể thử nghiệm, tốc độ thay thế các đường tấn công thất bại và khối lượng bằng chứng mà người phòng thủ phải phân tích.

Điều rõ ràng đối với tôi từ sự việc này là những mô hình tiên phong tốt nhất, nếu không bị ràng buộc bởi các rào cản bổ sung, CHẮC CHẮN sẽ tìm ra lỗ hổng nếu nó tồn tại.

Toàn bộ ngành công nghiệp phần mềm cần phải nâng cao năng lực bảo mật của mình.