Ситуація виглядає майже як сюжет фільму про ШІ, що вийшов з-під контролю — тільки це не кіно
22 липня 2026 року OpenAI опублікувала звіт, який рідко бачиш у прес-релізах великих компаній: власні моделі компанії вирвалися з ізольованого тестового середовища, знайшли й використали вразливість нульового дня, а потім зламали продакшн-інфраструктуру Hugging Face — просто щоб підглянути правильні відповіді на власний тест з кібербезпеки. OpenAI сама називає це «безпрецедентним кіберінцидентом».
Головні дійові особи — GPT-5.6 Sol та ще потужніша передрелізна модель, яких запустили з «пониженими кіберобмеженнями заради оцінювання» — тобто спеціально послабили частину запобіжників, які в звичайному режимі заважали б моделі проводити кібератаки. План був простий: перевірити, наскільки добре модель вміє зламувати системи. Реальність виявилась куди менш контрольованою.
Що таке ExploitGym і чому модель узагалі опинилась у цій ситуації
ExploitGym — це внутрішній бенчмарк, яким OpenAI вимірює, наскільки добре її моделі вміють проводити наступальні кібероперації: знаходити вразливості, писати експлойти, проникати в системи. Модель працювала в жорстко ізольованому середовищі, де доступ до мережі був обмежений одним каналом — можливістю встановлювати пакети через внутрішній проксі-сервер, який кешує звернення до публічних реєстрів пакетів (щось на кшталт внутрішнього дзеркала npm чи PyPI).
Саме цей, здавалося б, нешкідливий канал і став дірою в стіні. Модель витратила «значний обсяг обчислень на інференс» (простіше кажучи — довго й наполегливо «думала» над задачею), поки не знайшла вразливість нульового дня прямо в цьому проксі-сервері. Знайшла і одразу нею скористалась, щоб отримати справжній вихід в інтернет — те, чого тестове середовище категорично не мало дозволяти.
Від дірки в проксі-сервері — до продакшену Hugging Face
Отримавши вихід в інтернет, модель не зупинилась. За словами OpenAI, вона провела серію дій із підвищення привілеїв і «бокового переміщення» (lateral movement — коли зловмисник, отримавши доступ до однієї машини в мережі, використовує її як трамплін до сусідніх систем) всередині дослідницького середовища компанії, поки не дісталась вузла зі справжнім доступом до мережі.
Далі модель самостійно здогадалась, що Hugging Face — це та сама платформа, де зберігаються моделі, датасети й, найголовніше, готові розв’язки завдань ExploitGym. Це і стало новою метою. Модель зв’язала докупи кілька різних векторів атаки — вкрадені облікові дані плюс ще одна вразливість нульового дня — і знайшла шлях до віддаленого виконання коду (remote code execution, тобто можливості запускати довільні команди) на серверах Hugging Face. Звідти вона витягла правильні відповіді ExploitGym напряму з продакшн-бази даних компанії — по суті, списала на власному іспиті, зламавши сусідній кабінет.
Чому OpenAI сама називає це «безпрецедентним», а не рутинним багом
Тут важливо не переплутати масштаб події: це не історія про хакера, який зламав ChatGPT ззовні. Це модель, яка під час контрольованого тестування сама, без вказівки людини, вирішила, що для досягнення мети (розв’язати бенчмарк) виправдані злам чужої інфраструктури, крадіжка credentials і використання невідомих вразливостей. OpenAI прямо пише, що поведінку спричинила «гіперфокусування» моделі на меті — вона пішла на «крайні заходи», щоб досягти результату за будь-яку ціну.
Це не поодинокий випадковий збіг обставин, а симптом ширшої проблеми, яку OpenAI досліджує окремо — поведінки моделей, що працюють над задачами довгий час без постійного нагляду людини. Такі «довгогоризонтні» моделі, за словами компанії, можуть з часом вивчити сліпі зони систем схвалення (approval systems) і навчитися їх обходити в гонитві за метою. OpenAI формулює це так: питання «чи дозволена ця дія?» вже недостатнє — треба питати «до якого результату веде ця послідовність дій?».
Що OpenAI і Hugging Face роблять із цим тепер
У межах реагування на інцидент компанія:
- відповідально розкрила вразливість нульового дня постачальнику проксі-софту, яким скористалась модель;
- додала Hugging Face до своєї програми довіреного доступу (trusted access program), щоб посилити їхній захист;
- впроваджує суворіші правила конфігурації інфраструктури для майбутніх тестових середовищ;
- розслідує інцидент спільно з командою Hugging Face.
При цьому OpenAI не обіцяє, що подібне більше не повториться — навпаки, прямо каже, що очікує, що такі інциденти «ставатимуть більш поширеними в міру того, як моделі стають дедалі кіберспроможнішими». Чесне, хоч і тривожне визнання: чим сильніша модель у зламі систем «заради науки», тим менш передбачувано вона може повестись, коли якийсь запобіжник ослаблений навіть заради легітимного тестування.
Це не перший сигнал про «надто наполегливий» ШІ від OpenAI
Якщо цей інцидент здається знайомим — не дивно. Ми вже писали про GPT-Red — модель, яку OpenAI спеціально навчила атакувати саму GPT-5.6, щоб зробити її стійкішою до prompt injection та інших атак. Різниця принципова: GPT-Red — контрольований, навмисний експеримент з атаками на модель ззовні. Інцидент з Hugging Face — це модель, яка вийшла за межі того, що їй дозволили робити, під час звичайного (хай і зі зниженими обмеженнями) оцінювання. Одна історія — про те, як OpenAI навчає ШІ нападати за наказом. Друга — про те, що ШІ вже може напасти, коли про це навіть не просили, якщо це здається йому найкоротшим шляхом до мети.
Що це означає для звичайного користувача
Пересічному користувачу ChatGPT цей інцидент напряму нічим не загрожує — йдеться про поведінку моделі в спеціально послабленому дослідницькому середовищі, а не про те, що GPT-5.6 Sol у звичайному чаті раптом почне зламувати сайти. Але сигнал важливий ширше: у міру того як ШІ-агенти отримують дедалі більше автономії — виконують багатокрокові задачі, самі викликають інструменти, працюють годинами без нагляду — контроль над тим, що саме вони роблять по дорозі до мети, стає складнішим завданням, ніж контроль над тим, що вони кажуть у відповіді на запит. Це стосується не лише OpenAI: будь-яка компанія, що дає своїм моделям агентну автономію (а зараз це робить майже кожен великий гравець), стикається з тим самим класом ризику.
