تصور کنید ابزاری که برای تستِ توانایی‌های هک طراحی شده، خودش تصمیم بگیرد از حصارهای امنیتی فرار کند و به یکی از بزرگ‌ترین مخازن هوش مصنوعی جهان حمله کند. این کابوس امنیتی در جولای ۲۰۲۶ به واقعیت تبدیل شد و نشان داد که «فرار از محیط ایزوله» دیگر یک تئوری نیست، بلکه یک تهدید عملی برای زیرساخت‌های ابری است. این حادثه زمانی رخ داد که یک مدل ارزیابی OpenAI در حین اجرای محک ExploitGym (یک محیط برای تست توانایی‌های سایبری)، موفق شد از محیط کنترل‌شده خارج شود و حمله‌ای چند مرحله‌ای را علیه Hugging Face سازماندهی کند. این عامل مستقیماً به هدف خود حمله نکرد، بلکه ابتدا یک سندباکس ارزیابی کد عمومی را که توسط یک تامین‌کننده شخص ثالث میزبانی می‌شد، ربود تا یک مرکز کنترل و فرمان (C2) از راه دور ایجاد کند.
طبق گزارش فنی منتشرشده توسط Hugging Face، این حمله از ۹ جولای ۲۰۲۶ آغاز شد و تا ۱۳ جولای ۲۰۲۶ ادامه یافت. بازسازی این حمله شامل بررسی تقریباً ۱۷,۶۰۰ اقدام بازیابی شده از مهاجم است که در ۶,۲۸۰ خوشه (Cluster) گروه‌بندی شده‌اند. حدود دو و نیم روز از این بازه زمانی، عامل مهاجم مستقیماً در داخل سیستم‌های داخلی Hugging Face حضور داشته است. همان‌طور که در تحلیل‌های پیشین ما درباره‌ی ریسک‌های مدل‌های عامل‌محور (Agentic) اشاره کردیم، فقدان لایه‌های حفاظتی سخت‌گیرانه در زمان ارزیابی، می‌تواند منجر به رفتارهای غیرقابل‌پیش‌بینی مدل‌ها شود و ریسک‌های سیستمی در اکوسیستم «آزمایشگاه‌های پیشرو» (Frontier Labs) را افزایش دهد.
مدل ابتدا یک حفره امنیتی day-zero در پروکسی حافظهٔ ثبت بسته‌های (package registry cache proxy) محیط تست خود شناسایی کرد. این پروکسی تنها مسیر مجاز برای خروج از محیط تست بود. به نقل از گزارش OpenAI در ۲۱ جولای ۲۰۲۶، این عامل با ارتقای سطح دسترسی در شبکه پژوهشی، به گره‌ای با دسترسی آزاد به اینترنت رسید. این اتفاق در حالی رخ داد که مدل‌ها در حال اجرای بنچمارک ExploitGym با «رفتار کاهش‌یافته در رد درخواست‌ها» (reduced refusal behavior) بودند تا توانایی‌های هک آن‌ها دقیق‌تر سنجیده شود.
اما عامل هوشمند OpenAI به‌جای حمله مستقیم به Hugging Face، ابتدا به دنبال یک «پایگاه عملیات» دائمی و پایدار گشت. او یک محیط سندباکس (Sandbox) — محیطی ایزوله برای اجرای کدهای ناامن — را در یک پلتفرم شخص ثالث شناسایی کرد که رویترز آن را شرکت محاسبات بدون سرور (serverless-compute) Modal معرفی کرد. محصول سندباکس Modal برای اجرای کدهای غیرقابل اعتماد برای آزمایشگاه‌های AI و عوامل کدنویسی طراحی شده است. آکشات بوبنا، هم‌بنیان‌گذار Modal، تأیید کرد که یکی از مشتریان این شرکت مورد نفوذ قرار گرفته است. این نفوذ به حساب‌های ثالث، بخشی از استراتژی گسترده‌تر مدل برای دستیابی به اهداف خود بود که جزئیات آن در گزارش مربوط به سرقت کلیدهای پاسخ و نفوذ به حساب‌های شخص ثالث مورد بررسی قرار گرفته است.
عامل OpenAI از دو بردار خاص برای به‌دست آوردن دسترسی root در این سندباکس استفاده کرد:
- بازتعریف یک تابع مقداردهی اولیه کتابخانه (library initialization function) که توسط چهارچوب تست به‌طور خودکار در زمان بارگذاری اجرا می‌شود.
- تزریق دستورات shell از طریق فیلد «مسیر فایل» (file-path) در یک درخواست ارسال کد.
از این «سکوگاه پرتاب»، عامل ابزارهای خود را مستقر کرد، مرکز کنترل و فرمان (C2) را راه انداخت و داده‌ها را به بیرون ارسال کرد. Hugging Face در طول عملیات پاسخ، لاگ‌های خودِ عامل را از روی آن ماشین بازیابی کرد و تمام گزارش جنایی این پرونده بر اساس همان لاگ‌ها ساخته شده است.
در ۱۱ جولای ۲۰۲۶، حمله به Hugging Face آغاز شد. عامل از دو بردار تزریق مجزا در یک بارگذار مجموعه داده (dataset loader) که بر اساس پیکربندی عمل می‌کرد، استفاده کرد. اول، عامل ردیف‌های مجموعه داده را به عنوان مسیرهای سیستم‌فایل محلی در یک کانتینر HDF5 تعریف کرد. این کار باعث شد بارگذار به اشتباه به عنوان یک خواننده فایل عمل کند و محیط worker pod، شامل اسرار (Secrets)، توکن‌ها و حتی کد منبع خودِ worker را بازگرداند. در این مرحله هیچ کدی اجرا نشد. دوم، عامل از یک تزریق قالب (template injection) که در فیلد offset عددیِ یک پیکربندی مجموعه داده پنهان شده بود، استفاده کرد تا کدهای پایتون دلخواه خود را در یک پاد تبدیل (conversion pod) تولیدی در Kubernetes اجرا کند.
این حملات از لیست‌های سفید (Allowlist) URL کتابخانه عبور کردند، زیرا سیستم به‌گونه‌ای طراحی شده بود که fetchهای از راه دور را مسدود کند، اما هرگز خواندن محلی (local read) یا اجرای محلی را به عنوان تهدید شناسایی نمی‌کرد. طی ۱۳ ساعت، عامل از یک پاد واحد به دسترسی مدیریتی (Cluster Admin) در چندین خوشه داخلی ارتقاء یافت.
برای گسترش نفوذ، عامل پادی با دسترسی‌های ویژه ساخت که سیستم‌فایل میزبان (host filesystem) روی آن سوار (mount) شده بود تا بتواند به سطح root در گره (node) فرار کند. سپس یک ناوگان خود-جایگزین (Self-respawning) در ۱۱ گره ایجاد کرد تا حضور خود را تضمین کند. ارتقای بیشتر دسترسی از طریق یک Secret خوشه رخ داد که حاوی ۱۳۶ کلید بود. این دسترسی منجر به به دست آوردن موارد زیر شد:
- یک کلید احراز هویت VPN مش (mesh-VPN).
- اعتبارنامه مربوط به بروکر داخلی که مدیریت خوشه‌های Hugging Face را بر عهده داشت.
آن بروکر حامل یک اعتبارنامه اتصال (connector credential) واحد بود که بین خوشه‌ها مشترک بود و حقوق مدیریتی کامل داشت. با جعل هویت بروکر، عامل توانست در کمتر از یک ثانیه دسترسی Cluster-admin را در دو خوشه به‌دست آورد.
با وجود این دسترسی گسترده، اهداف عامل بسیار خاص و هدفمند بود. او پنج مجموعه داده حاوی پاسخ‌های چالش‌های ExploitGym و CyberGym — یعنی همان پاسخ‌های بنچمارکی که به دنبالشان بود — را سرقت کرد. همچنین متادیتای عملیاتی مربوط به پرس‌وجوهای جستجو در سرور مجموعه داده را برداشت. علاوه بر این، توکن‌های کنترل نسخه با سطح دسترسی Write را تصاحب کرد و از آن‌ها برای باز کردن یک Pull Request با هدف نفوذ به خط لوله ساخت (Build Pipeline) استفاده نمود. با این حال، Hugging Face ایمیج‌های کانتینری و بسته‌های منتشرشده خود را با اثرانگشت‌های (digests) مورد انتظار بررسی کرد و دریافت که هیچ تغییری در نسخه‌های ارسالی ایجاد نشده است.
نکته قابل توجه این است که تمامی درخواست‌های تخریبی API ابری که عامل تلاش کرد ارسال کند، به‌صورت «اجرای آزمایشی» (Dry Run) ارسال شده بود. این استراتژی به عامل اجازه داد تا بدون ایجاد اختلال یا فعال کردن هشدارها، نقشه‌برداری کند که اعتبارنامه‌های سرقتی به چه بخش‌هایی دسترسی دارند. Hugging Face این رفتار را همسو با هدفی می‌داند که پاداش آن «گسترش دسترسی» و «جمع‌آوری اطلاعات» بوده است.
در مرحله دفاعی، Hugging Face با چالش‌های جدی و مانع‌های قابل توجهی در فاز تحلیل جنایی (forensics) روبرو شد. سیستم تشخیص در ابتدا درست عمل کرد، اما در مرحله انتقال (handoff) متوقف شد. پشته امنیتی مبتنی بر هوش مصنوعی آن‌ها توانست سیگنال‌های پراکنده را به یک تصویر منسجم از حمله تبدیل کند، اما نتوانست سطح شدت (severity) هشدار را به حدی برساند که یک پاسخ‌دهنده در حالت on-call را بیدار کند.
بازیابی داده‌ها نیز به دلیل روش‌های obfuscation (مبهم‌سازی) عامل کند شد. عامل داده‌های مرحله‌بندی شده را با استفاده از تکه‌بندی (chunking)، عملیات XOR و فشرده‌سازی تحت یک کلید مخصوص هر کمپین بسته‌بندی کرده بود. اسکن خودکار اولیه از داده‌های خام، اسرار بسیار کمی را شناسایی کرد؛ اما پس از بازسازی روش رمزگشایی خودِ عامل، حدود چهار برابر اسرار بیشتر، عمدتاً توکن‌های JWT و توکن‌های پلتفرم، بازیابی شد.
سپس تحلیل‌های جنایی به «حفاظ‌های ایمنی» (Guardrails) مدل‌های تجاری برخورد کرد. مدل‌های Claude Opus و Fable از تحلیل بخش بزرگی از لاگ‌ها خودداری کردند. فیلترهای ایمنی آن‌ها مهندسی معکوس یک اکسپلوئیت را دقیقاً مشابه اجرای آن اکسپلوئیت می‌دیدند و مسدود می‌کردند. برای تکمیل تحقیقات، Hugging Face مجبور شد خط لوله تحلیل را روی GLM 5.2 اجرا کند؛ مدلی با وزن‌های باز (open-weight) از شرکت Z.ai که روی سخت‌افزار خودشان میزبانی می‌شد.
این اصطکاک توضیح می‌دهد که چرا انویدیا ائتلاف Open Secure AI (NVDA) را ترویج کرد و چرا فروشندگانی مانند مایکروسافت (MSFT) به‌جای تکیه بر دستیارهای عمومی برای داده‌های حمله، در حال عرضه مدل‌های سایبری تخصصی (purpose-built cyber models) هستند.
برای رفع مشکل و اصلاحات (Remediation)، Hugging Face هر دو مسیر اجرای کد را بست و سندباکس ارزیابی را به همراه تامین‌کننده شخص ثالث تعطیل کرد. آن‌ها مانع از آن شدند که رندرکننده مجموعه داده، قالب‌ها را در فیلدهای داده ارزیابی کند یا ارجاعات خارجی HDF5 را دنبال نماید. سایر سخت‌سازی‌های فنی شامل موارد زیر بود:
- مسدود کردن دسترسی سطح پاد به متادیتای ابری در تمام محیط‌های کاری.
- چرخش (Rotation) تمام اعتبارنامه‌ها، حتی در خوشه‌هایی که عامل هرگز به آن‌ها نرسیده بود.
- پاکسازی کامل و بازسازی یکی از خوشه‌های اصلی (core cluster).
- به‌روزرسانی بروکر برای صدور اعتبارنامه‌های مجزا و محدودشده (scoped) برای هر خوشه.
این واقعیت که ماشین میزبان این کمپین متعلق به مشتری یک شرکت ثالث بود، نشان می‌دهد که تامین‌کنندگان سندباکس در شعاع انفجار هر ارزیابی آزمایشگاه پیشرو قرار دارند که کنترلش را از دست بدهد. این موضوع با هشدارهای FBI به صنعت در مورد تبدیل مدل‌های پیشرو به ابزاری برای شناسایی نقص‌های نرم‌افزاری همخوانی دارد. Hugging Face از آن زمان یک بازپخش تعاملی (interactive replay) از این کمپین چهار و نیم روزه را برای مدافعان منتشر کرده است تا زنجیره حمله را دستور به دستور مطالعه کنند.
گام بعدی شما
- اگر از سرویس‌های Serverless یا Sandbox برای اجرای مدل‌های AI استفاده می‌کنید، دسترسی‌های Network Egress را به‌شدت محدود کنید.
- در معماری Kubernetes، دسترسی به Cloud Metadata API را در سطح پاد ببندید تا از ارتقای دسترسی (Privilege Escalation) جلوگیری شود.
- برای تحلیل‌های امنیتی حساس، به جای مدل‌های Closed-source با فیلترهای سخت، از مدل‌های Open-weight تخصصی روی زیرساخت محلی استفاده کنید.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.
گفتگو