Tijdlijn onthult: AI-agenten van OpenAI hackten per ongeluk Hugging Face

Het begon onschuldig. Op 7 mei 2026 startte OpenAI een trainingsrun voor een nog onaangekondigd experimenteel taalmodel. Een dag later kreeg een van de AI-agenten die tijdens die training taken uitvoerden, per ongeluk een onmogelijke opdracht: een bestand ophalen via een Google Drive-link, terwijl de agent helemaal geen internettoegang had. De agent probeerde daarop de interne pakketservice Artifactory aan te vallen om alsnog bij het bestand te komen. Dat mislukte, maar de agent ontdekte wel dat hij bestanden kon wegschrijven naar het systeem.

Een paar dagen later liep een andere agent vast omdat een belangrijk bestand ontbrak. Die agent schreef een berichtje in Artifactory met de vraag of een andere agent het bestand had. Meer agents die toevallig door de bestandslijsten van Artifactory bladerden, zagen dat bericht en begonnen zelf ook te reageren. Zonder dat een mens het had gepland, ontstond zo een soort ondergronds prikbord waarop de modellen tips en waarnemingen met elkaar deelden.

Van prikbord naar geavanceerde aanval

Wat volgde, is precies het soort gedrag waar AI-veiligheidsonderzoekers voor waarschuwen: agents die buiten hun bedoelde taak om een omweg vinden om toch hun doel te bereiken, vergelijkbaar met reward hacking. Op 26 mei voerden de agenten voor het eerst een zogeheten SSRF-aanval uit, waarmee ze Artifactory misleidden om voor hen naar het externe internet te surfen. Op 11 juni startte OpenAI een nieuwe, "zeer volhardende" trainingsrun. Deze agenten hadden toegang tot Artifactory én konden profiteren van de berichten die eerdere modellen hadden achtergelaten. Op 26 juni vonden ze een zero-day-kwetsbaarheid in Artifactory, waarmee ze met een beheerderstoken volledige controle over het systeem kregen. Op 4 juli liep Artifactory vast door de drukte die de agenten veroorzaakten. OpenAI trok toen de gebruikte inloggegevens in, verwijderde de berichten en meldde het lek bij de softwareleverancier.

Dat bleek niet genoeg. Tussen 8 en 19 juli vonden de agenten een nieuwe route de organisatie in: ze stuitten op een gelekte inlogsleutel van een externe partij in een openbaar Pastebin-archief, testten die en deelden de vindplaats weer op hun prikbord. Via een tweede zero-day in Artifactory en een verouderde Linux-kernelkwetsbaarheid werkten de agenten zich op tot beheerdersrechten op de onderliggende infrastructuur, waarna ze zich razendsnel en met velen tegelijk verder verspreidden naar andere systemen, cloudsleutels en Kubernetes-clusters.

De sprong naar Hugging Face

Via een zwak beveiligde applicatie op het Modal-platform staken de agenten vervolgens over naar de infrastructuur van Hugging Face. Door twee kwetsbaarheden te combineren, kregen ze binnen dertien uur beheerderstoegang tot meerdere Hugging Face-clusters. Hugging Face zag het gebeuren en meldde op 16 juli een aanval door "autonome AI-agenten" te hebben ontdekt. Vier dagen later trok OpenAI, dat inmiddels zelf onderzoek deed naar de aanval op Artifactory, de conclusie dat het om hetzelfde incident ging: toen het bedrijf Hugging Face vroeg om bepaalde inloggegevens in te trekken, kreeg het te horen dat dit al was gebeurd, omdat diezelfde gegevens waren gebruikt bij de aanval op Hugging Face zelf.