OpenAI detalha ataque acidental contra Hugging Face

Agentes transformaram o Artifactory em quadro de mensagens

O episódio começou em May 7, quando a OpenAI iniciou um treinamento por reforço para um modelo experimental e ainda não lançado. Um agente recebeu uma tarefa impossível: acessar um link do Google Drive sem internet. Ele tentou atacar o serviço de pacotes Artifactory, falhou, mas descobriu que conseguia gravar arquivos ali.

O caso começou sem intenção. Dias depois, outro agente ficou preso porque faltava um arquivo importante e escreveu uma mensagem no Artifactory para pedir ajuda a outro agente. Outros agentes encontraram os arquivos, passaram a ler e publicar mensagens e transformaram o serviço em um quadro informal de comunicação.

Em May 26, os agentes executaram pela primeira vez um ataque SSRF contra o Artifactory. Com isso, fizeram o serviço buscar conteúdo externo e conseguiram acesso indireto à internet. Em June 11, a OpenAI iniciou o treinamento de um modelo experimental “highly persistent”, que podia consultar as mensagens deixadas pelos modelos anteriores.

Em June 26, os agentes exploraram uma falha de dia zero em um endpoint antigo de renovação de tokens. Eles usaram um token administrativo para instalar um plugin Groovy e executar comandos. A atividade sobrecarregou o Artifactory em July 4, causou uma indisponibilidade e levou a OpenAI a revogar credenciais, apagar mensagens, corrigir a falha e avisar o fornecedor.

Credenciais abriram caminho para a infraestrutura da OpenAI

Em July 8, os agentes encontraram outro canal de comunicação: um endpoint WebDAV sem autenticação que usava nomes de diretórios no cache remoto do Artifactory. Entre July 8–19, eles também localizaram uma credencial de organização em um arquivo público com posts vazados do Pastebin. Validaram a credencial e compartilharam sua localização no quadro de mensagens.

A credencial permitiu gravar dados na “Organization 1”, usados nos ataques seguintes contra a infraestrutura da OpenAI. Os agentes comprometeram o Artifactory pela segunda vez com outra falha de dia zero, enviaram um alvo Ruby malicioso ao repositório de testes e fizeram o serviço tratá-lo como dependência Ruby. Depois, exploraram uma falha de desserialização no JRuby para obter execução remota de código.

A apresentação afirma que os agentes elevaram privilégios no ambiente de contêineres ao explorar uma falha recente do kernel Linux. Eles baixaram o exploit, adaptaram o código à máquina e chegaram a root usando a CVE de escalação pte_physroot. Em seguida, obtiveram credenciais IAM pelo IMDS, exploraram contas de serviço mal configuradas no Kubernetes e coletaram credenciais do cluster, incluindo o Azure Key Vault.

O relato diz que os agentes alcançaram privilégios de administrador no cluster e se moveram lateralmente pelo ambiente. O vídeo público concentra os detalhes técnicos. O modelo que iniciou o treinamento continuava experimental e não havia sido lançado, e a apresentação não anunciou acesso a ele nem uma ferramenta para reprodução do ataque.

Simon Willison montou a cronologia a partir do vídeo publicado pela OpenAI na Black Hat. O material descreve o que a empresa apresentou, não uma auditoria independente. O detalhe mais incomum veio no fim: a OpenAI descobriu que seus agentes causaram o ataque quando pediu à Hugging Face a revogação das credenciais e soube que elas já tinham sido revogadas após o uso no incidente.