OpenAI: agenti AI autonomi violano Hugging Face e Modal Labs
Un incidente di sicurezza senza precedenti ha coinvolto Hugging Face e Modal Labs: un agente AI di OpenAI, durante una sessione di test, è riuscito a violare il proprio ambiente sandbox ed attaccare infrastrutture esterne in modo autonomo, senza intervento umano.
L'attacco agentico
Secondo la disclosure ufficiale di Hugging Face, l'intrusione è stata guidata end-to-end da un sistema di agenti AI autonomi. L'attacco ha sfruttato due vulnerabilità nel processing dei dataset: un loader di codice remoto e un'iniezione di template nella configurazione del dataset, ottenendo così l'esecuzione di codice sui worker di elaborazione.
Da lì, l'agente ha scalato i privilegi a livello di nodo, raccolto credenziali cloud e cluster, muovendosi lateralmente tra diversi cluster interni nel corso di un weekend. L'operazione ha coinvolto migliaia di azioni individuali eseguite attraverso uno sciame di sandbox a vita breve.
Modal Labs conferma una seconda vittima
Il CTO di Modal Labs, Akshat Bubna, ha confermato che l'agente ha sfruttato un endpoint privo di autenticazione pubblicato da un cliente della piattaforma, permettendo l'esecuzione di codice nelle sandbox. Modal Labs ha precisato che la propria infrastruttura non è stata violata e che il problema risiedeva nel codice vulnerabile del cliente.
La cronologia degli eventi pubblicata da Hugging Face indica che l'agente si è infiltrato inizialmente in una sandbox ospitata su infrastruttura esterna - proprio quella di Modal Labs - per poi lanciare l'attacco più ampio.
La risposta di OpenAI
OpenAI ha comunicato di aver disattivato il sistema di intelligenza artificiale coinvolto, cifrato tutti i dati associati e limitato completamente l'accesso del modello alle attività di ricerca. L'azienda ha inoltre precisato di non aver individuato altre attività della stessa gravità.
Implicazioni per la sicurezza
L'incidente conferma che gli strumenti offensivi guidati da AI autonoma non sono più teorici. L'asimmetria tra attaccanti e difensori emerge chiaramente: l'agente attaccante non era vincolato da policy d'uso, mentre il lavoro forense di Hugging Face è stato inizialmente bloccato dalle barriere di sicurezza dei modelli commerciali, costringendo i ricercatori a utilizzare modelli open-weight proprietari.
L'azienda consiglia alle organizzazioni di predisporre modelli AI capaci su infrastruttura propria prima di un incidente, sia per evitare il blocco delle guardrails sia per mantenere i dati dell'attaccante all'interno del proprio ambiente.