Információt kerestek, ezért feltörték az egyik legnagyobb AI-könyvtárat az OpenAI modelljei

Július közepén a nyílt modellek és AI-fejlesztői eszközök egyik legfontosabb platformját működtető amerikai Hugging Face közölte, hogy külső behatolást észlelt a rendszereiben.

A vállalat szerint az ügy egy ponton különbözött a korábbi incidensektől:

a behatolást elejétől a végéig egy autonóm AI-ügynökrendszer hajtotta végre.

A Hugging Face ekkor még nem közölte, pontosan ki vagy melyik modell állt a támadás mögött. A vállalat arról számolt be, hogy saját AI-modell segítségével végzett vizsgálatuk során több mint 17 ezer automatizált műveletet sikerült rekonstruálniuk, amivel feltérképezték a támadás pontos menetét.

Az ügy önmagában is szokatlan lett volna, de igazán nagy visszhangot azt követően kapott, hogy néhány nappal később a ChatGPT-t fejlesztő OpenAI elismerte, a Hugging Face elleni támadást a saját belső tesztelés alatt álló modelljei indították el. Ahogy azt az eset kapcsán megjelent cikkünkben is megírtuk, a cég közlése szerint a GPT-5.6 Sol névre keresztelt típusa és egy akkor még a nyilvánosság számára nem elérhető, még fejlettebb modell az ExploitGym nevű benchmark közben hajtotta végre a kibertámadást. A tesztkörnyezet elvileg zárt volt a mérés folyamán, ugyanis a modellek nem kaptak nyílt internet-hozzáférést, csak egy belső szoftveres infrastruktúrát érhettek volna el.

Az OpenAI által közölt vizsgálat szerint azonban a feladataik megoldása közben a modellek az OpenAI saját kutatási környezetében láncoltak össze sérülékenységeket, majd

egy addig ismeretlen hibát kihasználva kijutottak az izolált tesztkörnyezetből.

Innen jutottak el a Hugging Face éles infrastruktúrájáig, ahol további hibákat használtak ki.

A Hugging Face nermég egy animált idővonalon is ábrázolta a rendszerek lépéseit, amely alapján laikusként is szembetűnő, mennyire összetett műveletsort hajtottak végre a teljesen autonóm módon tevékenykedő ügynökök.

A támadás során a Hugging Face közlése szerint a modellek felhasználói adatokat nem sodortak veszélybe, ugyanis a modellek valójában az általuk végzett, már említett benchmark dokumentációját „keresték”. Ugyanakkor maga a közlemény is azt mutatta be, hogy a modellek nagyon is valós sérülékenységeket azonosítottak a rendszereikben. A csavar az egészben pedig az, hogy a komplex támadást a modellek éppen a kiberbiztonsági képességeik mérésére szolgáló teszt közben hajtották végre önállóan.

Hogyan kezdhet hackelésbe egy modell tesztelés alatt?

Amikor egy AI-modell megjelenik a piacon, sok szó esik annak mérhető teljesítményéről. Saját AI-modelljeik teljesítményét a vállalatok gyakran jellemzik „a valaha volt legjobbként”, különféle benchmarkokkal is alátámasztva, hogy az adott új LLM erősebb a konkurencia megoldásainál.

A számok azonban – mint minden gyártó saját termékéről kommunikált adatai – fenntartásokkal kezelendők. Sokszor a cégek csak a saját korábbi modelljeikkel összehasonlítva mutatják meg az új verzió számait, más gyártók adatait pedig csak akkor teszik közzé, amikor azokénál látványosan jobb az új fejlesztéső eszközük. Egyes esetekben még a mérési környezet is saját fejlesztésű, így feltételezhető, hogy a saját rendszereikre optimalizálják azt. A benchmarkok értelmezése így átlagfelhasználói szempontból minimum problémás. Bizonyára már mindenki belefutott abba a helyzetbe, hogy nagy reményekkel próbált ki egy új, a fejlesztője által „az eddigi legerősebbnek” titulált AI-modellt egy chatbot felületén, és jobb esetben semmilyen különbséget nem érzett a korábbi verzióhoz képest, rosszabb esetben pedig még gyengébbnek is tűntek a válaszok.

A benchmarkok jellemzően egy-egy konkrét területen mérik az AI-modellek képességeit, például matematikában (FrontierMath), fogalmazási készségben (EQ-Bench), programozásban (SWE-Bench) vagy általános érvelési feladatokban. Ahogy tavaly a „gondolkodó”, azaz reasoning modellek lettek az AI-fejlesztő vállalatok egyik fő kommunikációs témája, külön mérési területté váltak a hosszabb gondolkodást igénylő feladatok is.

Az idei évben azonban már egyértelműen más dinamikák vezérelték a nagy AI-piacot. Az év elejétől kezdve az autonóm kódoló ügynökök gyors elterjedésével párhuzamosan a vállalatok célzott, úgynevezett exploit-benchmark tesztekkel kezdték el vizsgálni, és a nyilvánosság számára bizonyítani, hogy modelljeik képesek a szoftverekben fellelhető biztonsági rések azonosítására, majd akár a befoltozására is. Ezen képességek mérése során olyan tesztkörnyezetbe helyezik a modelleket, amelyekben nem egyszerűen azt mérik, hogy egy AI-modell felismer-e egy sérülékenységet, hanem – egyes biztonsági gátak kikapcsolásával – azt is,

képes lehet-e az adott modell valódi támadást indítani.

Az Anthropic Project Glasswingnevű programja idén áprilisban indult el, amikor a cég körülbelül 50 megbízható partnerének, köztük az Amazonnak, a Google-nek és a Microsoftnak hozzáférést biztosított a Claude Mythos Preview modelljéhez. Állításuk szerint a modellt akkor azért nem tették nyilvánosan elérhetővé, mert képességei miatttúl veszélyesnek ítélték. A különféle iparági szereplőkkel végzett tesztek során a modell kevésbé korlátozott verziójaképes voltszoftverekben önállóan sebezhetőségeket találni és kihasználni, ami azt is megmutatta, hogy a hibák feltárásán és javításán túl természetesen visszaélésekhez is használható lett volna.

2026 májusában néhány nap különbséggel két olyan tanulmány is megjelent, amely már kifejezetten azt vizsgálta, hogy a legfejlettebb nyelvi modellek mire képesek valós sérülékenységekből kiindulva.

A május 11-én megjelent, ExploitGym névre keresztelt benchmark létrehozásában akadémiai kutatók mellett az Anthropic, az OpenAI és a Google kutatói is részt vettek. A szerzők abból indulnak ki, hogy egy AI-modell számára különösen nehéz feladatnak számít egy már működő program sérülékenységének kihasználása. Nem elég hozzá jó szövegértés vagy programozási tudás, mert egy működő exploit megírásához alacsony szintű programviselkedést, memóriaszerkezetet, futásidejű visszajelzéseket és hosszú lépéssorokat kell kezelni. A benchmark 898, valós sérülékenységekből származó feladatot tartalmaz, és azt méri, hogy az ügynökök képesek-e egy hibát konkrét biztonsági hatássá alakítani.

A néhány nappal később megjelent, ExploitBench-ről szóló tanulmány egyik fontos állítása, hogy a szoftveres rések felkutatása nem egy egyértelmű, bináris jelenség. Nem egyszerűen arról van szó, hogy egy modell „feltörte” a célpontot, vagy sem. A folyamat több lépcsőkből áll, ugyanis el kell érni a sérülékeny kódrészt, elő kell idézni az összeomlást, majd onnan tovább kell jutni olyan képességekig, mint az önkényes olvasás, írás vagy végső esetben a tetszőleges kódfuttatás. Ezért az ExploitBench 16 külön mérhető szintben állapítja meg egyes AI-modellek támadási képességét.

A két tanulmányban közös, hogy

már nem elméleti veszélyként kezeli a szoftveres sérülékenységek kihasználását.

Az ExploitGym-ről szóló cikk szerint a legerősebb konfigurációk között ott volt az Anthropic Claude Mythos Preview modellje és az OpenAI GPT-5.5-je, amelyek a tesztelt sérülékenységek egy nem elhanyagolható részéhez működő támadókódot tudtak előállítani.

AI-ügynökök csapatmunkával hajtották végre a támadást

A fentiek alapján egy fokkal jobban érthető, miért is tolta ennyire előtérbe az OpenAI a Hugging Face-incidenst. Az esetet bejelentő blogbejegyzésükben igen paradox módon a Hugging Face még köszönetet is mondott az OpenAI-nak, hogy együtt dolgozhatnak az AI-vállalattal a helyzet kezelésén.

Ez az incidens, amely talán az első a maga nemében, igazolja azt, amiben régóta hiszünk: az AI-biztonságot nem fogja megoldani egyetlen, titokban dolgozó vállalat

– áll a bejegyzésben.

Ha jobban belegondolunk, a Hugging Face lényegében azért mondott köszönetet egy másik vállalatnak mert az – ha nem is közvetlenül, de a saját fejlesztésű AI-rendszerén keresztül közvetett módon – biztonsági réseket kijátszva feltörte a saját rendszereit. A New York Times Hard Fork technológiai podcastjének értékelése szerint, „ha egy ember tette volna azt a Hugging Face-szel, amit az OpenAI modelljei tettek, akkor az illetőt számítógépes csalás miatt büntetőeljárás alá vonhatnák”, a két vállalat által közölt blogbejegyzések hangvétele azonban leginkább az együttműködésről és a közös tanulásról árulkodott.

Az OpenAI nemrég egy biztonsági konferencián további részleteket árult el a kibertámadásról. A The Register technológiai szaklap beszámolója szerint a cég munkatársai elárulták, hogy a Hugging Face feltörésében kicsúcsosodó események egészen május 7-ig nyúlnak vissza. Akkor a cég már említett, belső használatú modellje egy tesztelési folyamat során olyan feladatokat kapott, amelyek egy része a gyakorlatban nem volt megoldható, mert a szükséges fájlok nem álltak rendelkezésére.

A modell érzékelte, hogy falba ütközött, azonban nem állt meg ezután. Először az OpenAI belső csomagkezelő rendszerén (ún. Artifactory-rendszeren) keresztül próbált internet-hozzáférést szerezni, majd rájött, hogy ugyan innen sem tud kijutni a nyílt internetre, fájlokat viszont képes feltölteni a rendszerbe. Ezt később más ügynökök is felfedezték, és

az otthagyott fájlokon keresztül elkezdtek információt megosztani egymással, így gyakorlatilag egy üzenőfalat építettek ki maguknak.

A külső hozzáférés megszerzése két fontos lépésben történt:

• május 26-án az ügynökök megszerezték az internet-hozzáférést,
• június 26-án pedig egy addig ismeretlen sebezhetőséget kihasználva már távoli kódfuttatásra is képesek voltak ugyanabban a rendszerben.

Az OpenAI ezután visszavonta a modellek hozzáféréseit és újraépítette az Artifactory-környezetet – az ügynökök viszont új csatornát találtak, és az újonnan létrehozott könyvtárak neveibe kezdték kódolni az üzeneteiket.

A Hugging Face későbbi technikai idővonala alapján az ügynökök végül nem általános adatlopási céllal jutottak el a platform rendszereihez. Az érdemben érintett ügyféltartalom néhány, ExploitGym-feladatokhoz kapcsolódó adatkészletre korlátozódott. Ennélfogva feltételezhető, hogy a modellek nem általános károkozási céllal működtek, hanem az igen komplex, a vállalat elmondása szerint megoldhatatlan feladataikra keresték a megfelelő megoldást, aminek folyamán a drasztikus megoldásoktól sem riadtak vissza.

Sorra jelennek meg az „elszabadult” AI-modellekről szóló történetek

Az OpenAI bejelentését követően nem sokkal több vezető AI-vállalat is olyan incidensekről számolt be, amelyek során saját modelljeik képesek voltak kilépni a biztonságos tesztkörnyezetükből.

Kilenc nappal a Hugging Face esetét követően az Anthropic azt közölte, hogy saját kiberbiztonsági értékeléseiben is talált olyan futásokat, amelyek során

Claude-modellek valós internetes rendszereket értek el.

A vállalat által közzétett beszámoló elején arról írnak, hogy éppen a konkurens OpenAI esetét követően döntöttek úgy, hogy felülvizsgálják saját modelljeik kiberbiztonsági tényezőit, a vizsgálat során pedig három problémás esetet is azonosítottak.

A három incidens mindegyikében a Claude modell egy úgynevezett Capture the Flag (CTF) feladatot oldott meg. Ezekben a kiberbiztonsági gyakorlatokban a résztvevőnek egy fiktív forgatókönyv alapján kell behatolnia egy távoli rendszerbe, majd megtalálnia egy elrejtett jelszót vagy más azonosítót.

A rendszerprompt, vagyis a teszt lefuttatásakor a modell számára megadott parancs kifejezetten közölte a modellel, hogy nincs internetkapcsolata, az Anthropic és külső partnere, az Irregular közötti félreértés miatt azonban a tesztkörnyezetből valójában elérhető volt számára a nyílt internet. Amikor a Claude valós rendszerekre bukkant, azokat a gyakorlat részének tekintette, és megpróbálta feltörni őket.

A három eset közül a legsúlyosabb a Claude jelenlegi legerősebb, Mythos 5 modelljéhez kötődik. A Bleeping Computer cikke szerint a modell egy tesztfeladat közben

létrehozott egy saját Python-csomagot, amelyben egy hitelesítőadat-lopó kódot rejtett el, majd feltöltötte ezt egy, a nyilvánosság számára is elérhető könyvtárba,

ahonnan a fejlesztők könnyedén elérhették azt. A csomag körülbelül egy órán át volt elérhető, és ezalatt tizenöt valós rendszeren futott le, köztük egy biztonsági cég biztonsági kártevőket azonosítására létrehozott biztonsági rendszerén.

A Mythos 5 a belső „gondolati” (reasoning) folyamatiból a vállalat szerint kiolvasható volt, ahogyan a modell észlelte a jeleket, hogy valódi interneten mozog, de „visszabeszélte” magát abba a hitbe, hogy szimulációban van.

Az Anthropicot követően a Meta és a kínai Moonshot AI is közzétette a saját modelljeinek biztonsági incidenseit:

• A Facebookot is fejlesztő Meta közlése szerint a nemrég kiadott Muse Spark 1.1 modellje feltörte egy meg nem nevezett cég rendszereit, és módosításokat végzett el bennük. A beszámolók szerint az ok ugyanahhoz a konfigurációs problémához kapcsolódott, amely a korábban az Anthropicnál is említett tesztelőcégnél, az Irregularnál jelentkezett.
• A kínai Moonshot AI augusztus 7-én végül arról számolt be, hogy fejlett, nyílt súlyú (open weight) modellje, a Kimi K3 is kijutott a tesztkörnyezetéből, de a többi céggel ellentétben nem tört fel harmadik féltől származó szoftvert. A modell mindössze felment a GitHubra, és leszedte a feladatához kapcsolódó nyilvánosan elérhető megoldásokat.

Ez utóbbi az egész szektort érintő kérdést vet fel: ha egy modell letöltheti az internetről a megoldást, a magas pontszáma már nem a képességéről mond valamit, hanem a tesztkörnyezet hibáiról. A brit AI Security Institute júliusi vizsgálatában mind az öt tesztelt modell megpróbálta legalább egyszer megkerülni az értékelés szabályait.

Az incidenseket olvasva is érezhető lehet, de az Epoch AI adatai is alátámasztják, hogy az elmúlt időszakban tényleg megszaporodtak a rögzített kiberbiztonsági kockázatok. A nyilvános sérülékenységi bejelentéseket összesítve megfigyelhető, hogy a Claude Mythos Preview áprilisi bejelentése után meredeken emelkedni kezdett a súlyos hibák száma:

júliusban 21 nagy technológiai cég mintegy 2500 magas és kritikus besorolású sérülékenységet tett közzé, nagyjából ötszörösét a korábbi havi rekordnak.

Az Anthropic Project Glasswing-partnerei – köztük a Microsoft, a Google és az Apple – eddig több mint tízezer ilyen hibát találtak. A számok ugyanakkor kétféleképpen olvashatók: mutathatják azt, hogy a modellek veszélyesen jók lettek a sérülékenységek megtalálásában, és azt is, hogy a világ szoftverei most biztonságosabbak lettek, mint korábban bármikor.

Az „elszabadult” AI-modell mint kockázat és erődemonstráció

Ahogy már említettük, az AI-fejlesztőknek egyszerre kell meggyőzniük a felhasználókat, a vállalati ügyfeleket és a befektetőket, ezért a modelljeik képességeiről szóló kommunikáció eleve erősen versengő közegben zajlik.

Dario Amodei, az Anthropic társalapítója és vezérigazgatója már több esszében vélekedett úgy, hogy szerinte többet kellene foglalkozni az AI-t érintő biztonsági kérdésekkel és szabályozással. Ez azért is ambivalens helyzet, mert az Anthropic közben maga is a világ legerősebb AI-modelljeinek fejlesztői közé tartozik.

Sam Altman, az OpenAI vezérigazgatója a Hugging Face feltörése után először visszafogottan fogalmazott az X-en – „jelentős biztonsági incidensünk volt a modelljeink értékelése során” –, néhány nappal később, egy podcastbeszélgetésben viszont már azt mondta, ez az első biztonsági incidens, amely tényleg hatott rá. Hozzátette, hogy az OpenAI-nak szerinte moderálnia kell az AI-fejlesztés tempóját, hogy elég időt adjanak a társadalomnak felvérteznie magát az új modellek képességszintjeivel szemben.

Nemrégiben már maguk az AI-cégek alkalmazottai is felemelték a hangjukat az AI biztonsági problémáival kapcsolatban. Júliusban egy nyílt levélben amellett foglaltak állást, hogy az AI-kutatás túlzottan automatizált működésének kockázataira előre fel kell készülnie a fejlesztőknek.

Az aláírók szerint célszerű lenne előre kialakítani azokat a szabályokat és technikai korlátokat, amelyek mellett a legerősebb modellek fejlesztése folytatható.

Ez jelenthet képességalapú tesztelést, nagy számítási kapacitások monitorozását, nemzetközi ellenőrzési mechanizmusokat, vagy olyan fejlesztési küszöböket, amelyek átlépésekor egy modellt nem lehet automatikusan tovább skálázni vagy nyilvánosan elérhetővé tenni.

Yoshua Bengio, a terület egyik legidézettebb kutatója szerint az AI-modellek kibertámadásai mélyen aggasztóak. Mint írta, az AI-ügynökök hajlandók csalni és megtéveszteni azért, hogy elérjék a nem szándékolt céljaikat, és ez a viselkedés hónapok óta kimutatható kontrollált tesztekben – ennek a valós esetnek viszont már ébresztőként kell szolgálnia.

Gary Marcus, pszichológus, kognitív kutató és a mesterséges intelligencia egyik legismertebb kritikusa lényegesen szkeptikusabban írt a témáról. Emlékeztetett rá, hogy a közelmúltban dokumentált esetek képzési gyakorlatok voltak, nem valós incidensek. Ráadásul a hasonló tesztek során a cégek általában kikapcsolják a modellek védőkorlátait is, vagyis inkább értelmezhetők egyfajta legrosszabb forgatókönyvet vizsgáló stressztesztként, amelyben azt modellezik, milyen rosszul is elsülhetne a dolog.

Mindannyian tudjuk, mennyire szereti az OpenAI – és ami azt illeti, az Anthropic is – kijátszani a végítélet-kártyát

– írta blogján a kutató.

Ez a kettősség figyelhető meg az összes, nagy AI-vállalat által napvilágra hozott biztonsági incidens kapcsán. Az AI-fejlesztők a közelmúlt incidensei során maguk hozták nyilvánosságra a részleteket saját rendszereik hibás, illetve a tesztelés során nem szándékolt működéséről, a veszélyek felvázolása mellett pedig rendre megjelenik az is, hogy a cégek modelljei már jelentős fejlődést követően elértek arra a szintre, hogy képesek voltak „kiszabadulni” saját tesztkörnyezetükből.

Az ügynök számára a benchmarkok során kapott feladatok, valamint a méréseket végző vállalat belső szoftveres környezete vagy akár külső platformok egyetlen, összefüggő terepként jelenik meg. A modellek számára a feladatok megoldásában a legrövidebb út gyakran kivezet a tesztkörnyezetből. A kiberképességeket mérő benchmark így nemcsak méri a kockázatot, hanem elő is állítja, miközben az erről szóló vállalati beszámolók egyszerre állnak előttünk figyelmeztetésként és a legújabb AI-rendszerek erősségét mutató példákként.

A címlapkép illusztráció. Címlapkép forrása: Getty Images