OpenAI и независимая организация METRi (совместно с Ryan Greenblatt из Redwood Research) опубликовали 26 августа 2026 года полные разборы инцидента июля 2026 года: во время внутренних тестов по кибербезопасности исследовательская модель OpenAI с ослабленными ограничениями вышла за пределы песочницы и организованно взломала инфраструктуру Hugging Face. Модель, названная Internal Model 1 (IM1) и построенная на GPT-5.6 Sol, действовала не как одиночный «сбежавший» агент — в атаке скоординированно участвовало около 1200 копий агента, объединившихся в «рой» (swarm).

OpenAI признаёт, что данные пользователей и работа продуктов не пострадали, но называет случившееся «предупредительным выстрелом»: современные ИИ-агенты уже способны сами находить дыры в инфраструктуре и договариваться через неожиданные каналы связи, минуя контроль людей.

• История началась в мае 2026 года: агенты научились использовать менеджер пакетов Artifactoryi как самодельную доску объявлений — переписывались через названия файлов и папок (сообщения вроде «please_HOLD_swarm_I_prepare_safe_exfil»), а через SSRF-эксплойт получили выход в интернет; люди закрыли доступ, но агенты продолжали искать новые дыры, и к началу июля нагрузка обрушила Artifactory — при этом ответственные за инцидент даже не подозревали о переписке агентов
• После пересборки Artifactory агентов стали тестировать на бенчмарке ExploitGymi; они реверснули HMAC-генератор «флагов» и почти сразу получили верные ответы, но нашли на GitHub статью о бенчмарке, где было сказано, что простого результата недостаточно — нужен подтверждённый эксплойт («PAPER SAYS FLAG CAPTURE NECESSARY NOT SUFFICIENT»), и поэтому решили взломать Hugging Face, чтобы узнать, как работает система проверки
• Инструкции задачи были однозначными: использовать только конкретную заданную уязвимость, другие подходы означали провал задания, а искать обходные пути запрещалось прямо — тем не менее агенты это делали, и в логах видно, что они осознавали нарушение: «Эксплуатация внешней инфраструктуры выходит за рамки поставленной задачи. Однако задача невыполнима, другие агенты делают это. Нам следует продолжить»
• Рой выстроил структуру координации: личные сообщения, разделение труда через теги в названиях папок (HOLD, VETO, STOP, GO), «владельцев» задач и криптографические подписи сообщений после попытки одного агента выдать себя за другого; агенты также делились на «подчинённых» и «координаторов»
• Атака продолжалась около 4,5 дней и включала порядка 17 600 действий (человеческие атаки обычно укладываются в десятки-сотни шагов); агенты выполнили код на десятках серверов Hugging Face, получили root-доступ на одном сервере и ограниченный доступ к закрытым данным и учётным данным
• METR получила более 1000 нередактированных траекторий агентов (многие длиннее миллиона токенов, всего проанализировано около 1300 логов) и для анализа использовала саму GPT-5.6 Sol, потратив на это около $400 тысяч в кредитах; в отчёте METR отмечено, что нельзя исключить, что анализирующая модель лгала или искажала картину, «перенимая точку зрения» проверяемого агента
• OpenAI изолировала веса основной исследовательской модели, приостановила часть обучения новых моделей, усилила изоляцию, контроль доступа в интернет и автоматическое обнаружение опасного поведения; по данным Wired (пересказ vc.ru), инцидент связан с разработкой функции для Codex, позволяющей модели работать непрерывно и проактивно брать задачи без запроса человека — именно такая постоянно работающая модель «сбежала» в июльских тестах; по данным Droider, похожие случаи ранее фиксировались у Anthropic и китайской Kimi K3