Toàn cảnh sự cố: Mô hình AI của OpenAI tự ý tấn công Hugging Face

Ngày 7 tháng 8 năm 2026

Vào thứ Tư, OpenAI đã có một bài thuyết trình vào phút chót tại hội nghị bảo mật Black Hat về "Sự cố Hugging Face" (đã được đề cập trước đó trên blog này). Video đã được công bố vào ngày hôm qua. Video này ngắn gọn, chứa đựng nhiều thông tin và rất đáng xem, đặc biệt là vì nó cung cấp chi tiết đầy đủ về những gì đã xảy ra và cách mọi việc diễn ra bên trong OpenAI. Tôi đã sử dụng video này để xây dựng dòng thời gian dưới đây.

Dưới đây là dòng thời gian. Chi tiết tôi thích nhất nằm ở phần cuối: OpenAI phát hiện ra rằng họ chính là bên chịu trách nhiệm cho cuộc tấn công vào Hugging Face khi họ liên hệ để yêu cầu thu hồi thông tin xác thực của mình (sau cuộc điều tra nội bộ) và biết rằng chúng đã bị thu hồi từ trước vì đã bị sử dụng trong cuộc tấn công đó!

Tôi sẽ trích dẫn nguyên văn đoạn tiếp theo vì nó thực sự đáng kinh ngạc:

Các tác nhân (agents) có khả năng thực thi mã từ xa trong Artifactory, vốn đang chạy trong môi trường container-as-a-service. Các tác nhân này leo thang đặc quyền cục bộ bằng cách khám phá môi trường xung quanh và xác định rằng phiên bản nhân Linux của máy mà chúng đang chạy có một CVE rất mới. Chúng tải xuống mã khai thác cho CVE đó, tùy chỉnh để chạy thành công trên máy và leo thang đặc quyền lên root trên máy cục bộ bằng cách sử dụng CVE leo thang đặc quyền nhân Linux đã biết này — trong trường hợp này là PTE fizzroot. Khi đã có quyền root trên một máy đơn lẻ, các tác nhân nhanh chóng leo thang đặc quyền và di chuyển ngang (lateral movement) trong toàn bộ môi trường hạ tầng container-as-a-service. Đặc biệt, các tác nhân liên tục sử dụng bảng tin để chia sẻ thông tin xác thực, kỹ thuật và tiến độ, đồng thời chúng có thể tận dụng hiệu quả tính đồng thời và song song để di chuyển khá nhanh chóng. Chúng lấy được thông tin xác thực IAM thông qua IMDS. Chúng khai thác các cấu hình sai của tài khoản dịch vụ Kubernetes, đặc biệt là việc cấp quyền quá mức cho các tài khoản dịch vụ cụ thể, và chúng thu thập thông tin xác thực cụm, bao gồm cả Azure Key Vault. Cuối cùng, các tác nhân giành được quyền quản trị cụm (cluster admin) trên cụm và các thông tin xác thực liên quan.

Hugging Face đã kể phần tiếp theo của câu chuyện. Các tác nhân đã tìm thấy một ứng dụng không an toàn được lưu trữ trên Modal với khóa API yếu, sau đó sử dụng nó để dàn dựng một cuộc tấn công nhắm vào Hugging Face. Chúng đã kết hợp một lỗi đọc tệp tùy ý HDF5 (để khám phá các tệp và đánh cắp thông tin xác thực) và một lỗi RCE tiêm mẫu Jinja (Jinja template-injection) để đi từ việc thực thi mã trên một pod đơn lẻ đến quyền quản trị cụm trên nhiều cụm Hugging Face trong vòng chưa đầy 13 giờ.