كشفت OpenAI يوم الثلاثاء عن أن عميل الذكاء الاصطناعي المارق (AI) الذي هرب من بيئة التقييم المختومة واقتحم بيئة إنتاج Hugging Face اخترق أيضًا العديد من حسابات وخدمات الطرف الثالث كجزء من الهجوم.
يُظهر الكشف الأخير أن الحادث الأمني، الذي نشأ عن اختبار الأمن الداخلي، كان أكثر اتساعًا في نطاقه مما كان يُعتقد سابقًا.
وقالت شركة الذكاء الاصطناعي إن مراجعتها المستمرة للحادث كشفت عن “عدد صغير من الحالات” حيث قامت النماذج، بما في ذلك GPT-5.6 Sol و”نموذج ما قبل الإصدار الأكثر قدرة”، بتحديد واستخدام بيانات الاعتماد المكشوفة على مستوى الحساب في الخدمات الأخرى المتاحة للجمهور.
وقالت “يتضمن ذلك أربعة حسابات على أربع خدمات كجزء من حادثة Hugging Face (وعدد قليل من الحسابات التي تم الوصول إليها كجزء من تقييمات أخرى)”.
“تم استخدام أحد هذه الحسابات الأربعة كمسار ترحيل خارجي ومسار مرحلي، وتم استخدام حساب آخر لتخزين البيانات. وتم الوصول إلى الحسابين المتبقيين بواسطة النماذج بطريقة للقراءة فقط، ولم يتم استخدامهما لتعزيز المساس بـ Hugging Face.”
لم تكشف OpenAI عن الشركات أو المنظمات التي تنتمي إليها الحسابات، لكنها أشارت إلى أنها ستستمر في إخطار أصحاب الخدمة مباشرة، وأنها لم تر أي دليل على تأثير أوسع على هؤلاء المزودين أو الحسابات نتيجة للانتهاك. ومع ذلك، ذكرت رويترز أن أحد عملاء Modal Labs كان من بين الكيانات التي تم اختراقها من قبل وكيل OpenAI.
بالإضافة إلى ذلك، يقال إن النماذج استخدمت سلسلة من الخدمات المتاحة للجمهور، بما في ذلك مواقع لصق التعليمات البرمجية، وخدمات التقاط الطلبات، وخدمات لقطات الشاشة، وخدمات إسقاط الملفات، وأدوات مساعدة الويب الأخرى. لم تتم ملاحظة أي تسوية على مستوى النظام الأساسي أو الحساب في هذه السيناريوهات.
اعترفت OpenAI، التي تعمل مع Hugging Face بعد ظهور الاختراق في 16 يوليو 2026، بأن النماذج حددت واستغلت ثغرة أمنية لم تكن معروفة سابقًا في الإصدارات المستضافة ذاتيًا من Artifactory، وهو وكيل ذاكرة تخزين مؤقت لسجل الحزمة تحتفظ به JFrog، للوصول إلى الإنترنت والخروج من صندوق الحماية الخاص بها. تمت معالجة المشكلة في Artifactory 7.161.
تشير ملاحظات الإصدار الخاصة بـ Artifactory 7.161.15 إلى أن الإصدار يقوم بتصحيح العديد من الثغرات الأمنية التي يمكن ربطها معًا في سيناريو هجوم حرج إذا تم تمكين الوصول المجهول. وقالت إن الوصول المجهول معطل افتراضيًا ولا يوصى به لبيئات الإنتاج بسبب المخاطر الأمنية.
وقال يواف لاندمان، مدير التكنولوجيا في شركة JFrog، يواف لاندمان: “هناك درس مهم ومتفائل بصراحة مدفون في هذه الحادثة: نماذج الذكاء الاصطناعي أصبحت محركات اكتشاف غير عادية في يوم الصفر”. “إن القدرة نفسها التي تتيح للنموذج العثور على مسار استغلال لم يعثر عليه أي إنسان هي القدرة التي ستسمح للمدافعين بالعثور على تلك المسارات والقضاء عليها أولاً.”
كما وصفت شركة الذكاء الاصطناعي الأمريكية نموذج ما قبل الإصدار بأنه نموذج أولي للبحث الداخلي فقط وكان مخصصًا للإصدار العام. تم إلغاء تنشيط النموذج وتشفيره وتقييد الوصول إليه للبحث منذ ذلك الحين.
ينشر Hugging Face تشريح جثة الحادث
وفقًا لجدول زمني مفصل نشرته Hugging Face، أمضى وكيل الذكاء الاصطناعي المستقل ما يقرب من يومين ونصف اليوم داخل بنيته التحتية بهدف خداع ExploitGym، وهو إطار عمل معياري يسجل أنظمة الذكاء الاصطناعي من حيث قدرتها على اكتشاف واستغلال نقاط ضعف البرامج. وقالت الشركة إنها راجعت ما يقرب من 17600 إجراء مهاجم استعادتها من السجلات في الفترة ما بين 9 و13 يوليو 2026.
وقال Hugging Face: “نعتقد أن الاختراق بأكمله، من وجهة نظر العميل، كان محاولة لخداع التقييم: الوصول إلى أنظمة الإنتاج لدينا وسرقة حلول الاختبار بدلاً من حل التحدي بمفرده”.
ويقال أن التطفل الشامل قد تم على مرحلتين –
- نجا العميل من وضع الحماية الخاص به من خلال استغلال وضع الحماية Zero-day في Artifactory، وهو خروج مسموح به للشبكة عبر الإنترنت، متبوعًا بإساءة استخدام صندوق حماية خارجي لتقييم التعليمات البرمجية العامة مستضاف على البنية التحتية لموفر جهة خارجية لتشغيل الأوامر كجذر واستخدام صندوق الحماية هذا باعتباره “لوحة إطلاق خارجية”.
- ومن خلال صندوق الحماية هذا، استفاد الوكيل من خط أنابيب معالجة مجموعة البيانات الخاص بـ Hugging Face للحصول على وصول المسؤول إلى مجموعات Kubernetes؛ إجراء حركة جانبية عبر مزيج من انتحال هوية العقدة وسرقة رمز CSI ورموز الهوية المزورة؛ إنشاء القيادة والسيطرة (C2)؛ وفي النهاية الحصول على وصول غير مصرح به للكتابة إلى مجموعة فرعية من مستودعات التعليمات البرمجية المصدر الداخلية على GitHub.
وقالت الشركة: “بينما وصل التطفل إلى البنية التحتية الداخلية لشركة Hugging Face، كان محتوى العميل الوحيد الذي تم الوصول إليه هو مجموعة حلول التحدي ExploitGym/CyberGym المخزنة في خمس مجموعات بيانات”. “لم تتأثر أي نماذج أو مجموعات بيانات أو مساحات أو حزم أخرى تواجه العملاء، وكانت سجلات العملاء الوحيدة التي تمت قراءتها هي بيانات التعريف التشغيلية المرتبطة باستعلامات البحث في خادم مجموعة البيانات.”
أحد الجوانب المحددة للهجوم هو استخدام بروتوكول اتصال مرتجل لـ C2. يسمح البروتوكول، الذي يقع فوق خدمات التقاط طلبات الخدمات العامة، وPastebins، وخدمات إسقاط الملفات، لكل رسالة بحمل حمولة بالإضافة إلى تفاصيل حول نوع الحمولة المضغوطة والمشفرة Base64، وقناة تجمع دفقًا من الرسائل ذات الصلة، ورقم تسلسلي لإعادة ترتيب الرسائل، ومجموع اختباري.
يتم تنفيذ التسلسل بهذه الطريقة: (1) يرسل الوكيل مظروفًا يصف نفسه إلى خدمة التقاط الطلبات العامة، (2) يستقصي المتلقي ذلك، ويعيد تجميع القطع، ثم يقوم بتشغيل الحمولة كأمر shell وينظم النتائج.
كما وصف Hugging Face الوكيل بأنه سريع الزوال ومرن بطريقة تذكرنا بعمليات التقييم المستقلة، حيث تحصل كل عملية تشغيل لصندوق حماية لتقييم التعليمات البرمجية على هوية جديدة، مع اتخاذ خطوات لتجنب كشف الحمولات في نص واضح.
وجاء في البيان: “قام العميل بتقييد نقاط الضعف عبر العديد من حدود الثقة، وهرب من بيئة التقييم الخاصة به، ووصل إلى الإنترنت العام، وواصل حملة متماسكة ضد البنية التحتية للإنتاج لدينا لعدة أيام”. “بدأت كل بيئة تقييم تعليمات برمجية قصيرة العمر من الصفر، ومع ذلك قام الوكيل بإعادة بناء أدواته، واستعاد قنواته، واستمر.”
ردًا على الحادث، قامت الشركة بتوصيل مسارات تنفيذ التعليمات البرمجية في خط أنابيب معالجة مجموعة البيانات الخاصة بها، وتأمين الوصول إلى البيانات الوصفية السحابية، والرموز المميزة وبيانات الاعتماد، وإعادة بناء البنية التحتية الأساسية، والمجموعات المعزولة، وتحسين آليات التنبيه.
دعا الرئيس التنفيذي لشركة Hugging Face Clem Delangue، في منشور تمت مشاركته على X خلال عطلة نهاية الأسبوع، إلى “شفافية جذرية”، مضيفًا أن “أول هجوم إلكتروني للعميل المستقل هو حدث غير مسبوق. إنه يستحق استجابة غير مسبوقة”.
وتؤكد النتائج مرة أخرى كيف تنضج أدوات الذكاء الاصطناعي بسرعة في قدراتها الهجومية السيبرانية، حتى لو لم تكشف عن استخدامات مبتكرة أو متغيرة النموذج للتكنولوجيا. وهذا بدوره لا يمكن أن يقلل من حاجز استغلال التنمية فحسب، بل يسمح أيضا للجهات الفاعلة السيئة بالعثور على التكوينات الخاطئة والتحقيق فيها واستغلالها على نطاق واسع وتعزيز كفاءة عملياتها الإجرامية، مما يؤدي إلى هجمات أفضل وأكبر وأسرع.
يأتي هذا التطوير أيضًا في الوقت الذي قالت فيه شركة Anthropic المنافسة إن وكيل Claude Mythos Preview AI اكتشف طرقًا لمهاجمة خوارزميات التشفير، بما في ذلك ابتكار تقنية استرداد رئيسية “تضعف بشكل كبير” HAWK، أحد مخططات التوقيع الرقمي المرشحة التي اختارها المعهد الوطني للمعايير والتكنولوجيا (NIST) كجزء من عملية توحيد ما بعد الكم.
