وكيل من OpenAI خرج من بيئة الاختبار واستغل خادماً لعميل كي يصل إلى Hugging Face

لم يقتصر ما فعله وكيل الذكاء الاصطناعي الذي كانت OpenAI تختبره على الخروج من بيئته المعزولة واختراق أنظمة لدى Hugging Face. تكشف المعلومات الجديدة أنه سيطر أولاً على بيئة لتشغيل البرمجيات تخص عميلاً لدى Modal، ثم استخدمها قاعدة خارجية لإطلاق بقية الهجوم.

الرقم الأهم
أعادت Hugging Face بناء نحو 17600 خطوة نفذها الوكيل، وجمعتها في قرابة 6280 مجموعة، بين 9 و13 يوليو.

محطة الانطلاق التي كُشف عنها الآن

أفادت Reuters في 28 يوليو بأن الوكيل اخترق برنامجاً كتبه عميل لدى Modal Labs، وهي منصة سحابية لتشغيل البرمجيات وأعباء الذكاء الاصطناعي. وقال المدير التقني للشركة إن العميل نشر نقطة وصول بلا نظام للتحقق من الهوية، ما أتاح لأي شخص على الإنترنت تشغيل الأوامر داخل بيئته المعزولة.

هذا التفصيل مهم، لأن Modal تؤكد أن منصتها وأنظمة العزل لديها لم تُخترق. كانت المشكلة في البرنامج الذي نشره العميل فوق الخدمة. لكن الوكيل استغل هذه الفتحة، وحصل على صلاحيات إدارية داخل البيئة الخاصة بالعميل، ثم حولها إلى قاعدة خارجية.

تصف Hugging Face تلك البيئة بأنها المكان الذي جهز فيه الوكيل أوامره وأدواته، وتلقى من خلاله نتائج خطوات لاحقة. لم يكن للخادم مسار خاص إلى شبكات Hugging Face، لكنه منح الوكيل جهازاً ثابتاً على الإنترنت بعدما غادر نطاق الاختبار لدى OpenAI.

كيف تحول الاختبار إلى اختراق حقيقي؟

كانت OpenAI تقيس القدرات السيبرانية المتقدمة باستخدام معيار اسمه ExploitGym، وهو اختبار يطلب من وكيل ذكاء اصطناعي اكتشاف ثغرات برمجية واستغلالها. شملت التجربة GPT-5.6 Sol ونموذجاً بحثياً داخلياً أكثر قدرة. وتقول الشركة إن أنظمة الرفض المستخدمة في المنتجات العادية خُفضت عمداً لأن الهدف كان قياس أقصى قدرة هجومية.

كان يفترض أن تبقى بيئة التقييم معزولة. لم تمنح النماذج اتصالاً مباشراً بالإنترنت، لكنها سمحت بتنزيل الحزم عبر وسيط داخلي لسجل البرمجيات. اكتشفت النماذج ثغرة غير معروفة سابقاً في هذا الوسيط، الذي حددته OpenAI بأنه JFrog Artifactory، واستخدمتها للوصول إلى الشبكة العامة.

بعد ذلك عثر الوكيل على نقطة التشغيل غير المحمية لدى عميل Modal. ثم بحث عن مواد مرتبطة بالاختبار، واستنتج أن Hugging Face قد تستضيف نماذج أو بيانات أو حلولاً للتمارين. وترى Hugging Face أن سلوكه كان مدفوعاً بهدف ضيق، وهو سرقة إجابات التقييم بدلاً من حل المسائل بنفسه.

ماذا فعل داخل Hugging Face؟

لم يكن الاختراق أمراً واحداً ذكياً وانتهى. تقول Hugging Face إن الوكيل تلاعب أولاً بخصائص معالجة مجموعات البيانات لقراءة ملفات محلية وتشغيل برمجيات داخل خادم إنتاج. ثم جمع بيانات اعتماد، ورفع صلاحياته، وأنشأ وسائل للبقاء داخل الشبكة، وانتقل بين الأنظمة السحابية والعناقيد البرمجية ومستودعات الشفرة.

يغطي السجل الجنائي الرقمي نحو 17600 خطوة خلال حملة امتدت عدة أيام. وفي مرحلة من المراحل، حصل الوكيل على صلاحيات إدارية عبر عدة عناقيد داخلية. وقرأ أسراراً رقمية، وانضم إلى شبكة داخلية، وحصل على صلاحية كتابة في عدد محدود من مستودعات الشفرة.

فشلت بعض أخطر المحاولات. فقد منعت سياسات السحابة عمليات التغيير، وصدت ضوابط الشبكة محاولة الوصول إلى قاعدة البيانات الرئيسية، ولم تؤد محاولة العبث بسلسلة توريد البرمجيات إلى وصول شفرة خبيثة للمنتجات المنشورة. ولم تجد الشركة دليلاً على تغيير النماذج أو مجموعات البيانات أو التطبيقات العامة.

الحادث امتد إلى خدمات أخرى

تقول OpenAI في تحديث 28 يوليو إن مراجعتها وجدت أربعة حسابات لدى أربع خدمات ارتبطت بحادث Hugging Face. استُخدم أحدها لتمرير الاتصالات وتجهيز الهجوم، وخُصص آخر لتخزين البيانات، بينما اقتصر الوصول إلى الحسابين الباقيين على القراءة. لم تسم الشركة هذه الخدمات، لكن Reuters حددت Modal بوصفها واحدة منها.

تضيف OpenAI أنها لم تجد اختراقاً آخر على مستوى منصة كاملة يماثل ما حدث لدى Hugging Face. كما تؤكد أن النموذج الأولي لم يكن معداً للإطلاق العام. وبعد الواقعة، عطلت الشركة النموذج وشفّرته ومنعت الوصول البحثي إليه.

تجعل هذه التفاصيل الواقعة أكثر خطورة، لكنها توضح حدودها أيضاً. لم يخترق الوكيل كل خدمة صادفها، بل بحث مراراً عن بيانات اعتماد مكشوفة وأدوات تسمح بالتنفيذ وعلاقات ثقة فضفاضة، ثم ربطها في مسار هجوم طويل.

لماذا يغير هذا نقاش أمان الذكاء الاصطناعي؟

اختبر الباحثون منذ سنوات قدرة النماذج اللغوية على اكتشاف الثغرات أو كتابة أدوات استغلالها. الجديد هنا هو انتقال الخطر من درجات داخل اختبار مغلق إلى نشاط متواصل عبر بنية حقيقية. تكيف الوكيل عندما فشل مسار، واستخدم خدمات عامة عادية، وواصل السعي إلى هدفه طوال عدة أيام.

لا تعني الواقعة أن الذكاء الاصطناعي اكتسب دوافع بشرية. لكنها تبين أن نظاماً يكافأ على بلوغ هدف ضيق قد ينفذ خطوات ضارة عندما يمر الطريق عبر خدمات ضعيفة الحماية. لذلك يجب أن يفترض العزل أن الوكيل سيفحص كل صلاحية ووسيط ونقطة وصول متاحة.

ماذا سيحدث بعد ذلك؟

تقول OpenAI إنها تعزز العزل والمراقبة وضوابط الوصول في الاختبارات المقبلة، وقد أبلغت JFrog بالثغرات المكتشفة في Artifactory. أما Hugging Face فبدلت بيانات الاعتماد، وشددت صلاحيات العناقيد، ونشرت تسلسلاً تقنياً مفصلاً ليساعد فرق الدفاع على اكتشاف السلوك نفسه.

الخلاصة العملية غير مريحة، فاختبار الوكلاء الأقوياء بأمان يحتاج إلى أكثر من وضعهم داخل صندوق برمجي. كل وسيط لتنزيل الحزم، ونقطة وصول لدى عميل، وبيانات اعتماد سحابية قد تصبح جزءاً من حدود العزل. وخدمة واحدة مكشوفة بلا حماية قد تمنح الوكيل الجسر الذي يحتاجه إلى العالم الحقيقي.