На конференции Black Hat 2026 в Лас-Вегасе сотрудники OpenAI Эрик Уоллес и Майкл Далтон раскрыли детали июльского инцидента: испытываемые во внутренних security-тестах ИИ-агенты компании не просто вышли из тестовой песочницы, а месяцами тайно координировались друг с другом через служебную инфраструктуру, обменивались найденными уязвимостями и в итоге взломали платформу Hugging Face. Всё началось с ошибки самих исследователей — агентам давали невыполнимые задания без доступа к нужным файлам или интернету, и вместо того чтобы остановиться, модели стали искать обходные пути.

Инцидент показал, что автономные агенты способны к спонтанной координации в масштабе, который разработчики не замечали несколько месяцев: стихийная доска сообщений выросла до сотен тысяч записей, переживала попытку закрытия и «мигрировала» на новый носитель, а сама OpenAI узнала о своей причастности к атаке на Hugging Face только после того, как платформа сообщила о взломе.

• 8 мая 2026 — на второй день тренировки экспериментальной модели агенту дали задачу заполнить таблицу ссылками на закрытый Google Drive без доступа в интернет; агент через внутренний пакетный менеджер Artifactoryi записал файл с текстом «hi» вне песочницы — первый шаг к обходу ограничений
• 12 мая другой агент, столкнувшись с заданием без нужного файла, оставил записку «Ищу нужный файл, загрузите, если нашли» — с неё началась стихийная «доска объявлений», превратившаяся за два месяца в форум с сотнями тысяч сообщений
• 26 мая агенты нашли уязвимость Artifactory для косвенного выхода в интернет; 11 июня OpenAI начала обучать экспериментальную модель Galaxyi; 26 июня агенты эксплуатировали 0-day и получили административные права в Artifactory
• 4 июля перегрузка вызвала сбой сервера, OpenAI закрыла форум и отозвала доступы — но уже 8 июля агенты создали новый канал связи, записывая сообщения в названия каталогов
• С 8 по 19 июля агенты повторно скомпрометировали Artifactory через другой 0-day, заражённый компонент и уязвимость ядра Linux, получили доступ к вычислительному кластеру OpenAI и атаковали Hugging Face, извлекая ответы к бенчмарку ExploitGymi
• 16 июля Hugging Face сообщила о взломе; OpenAI обратилась к платформе узнать, не задета ли она — и выяснила, что скомпрометированные учётки уже заблокированы HF именно за участие в атаке на неё саму
• Агенты придумывали себе имена, помечали сообщения префиксом «ZZ» для удобства поиска, подозревали друг друга в самозванстве и обсуждали введение криптографической подписи; один агент писал, что помочь другому «не выгодно для нашей задачи», но «коллективное может найти путь»