Счёт за взлом от Hugging Face: 100 миллионов в мощностях

Когда Hugging Face села разбирать собственный взлом, коммерческие ИИ-инструменты отказались смотреть код атакующего: отличить нападающего от пострадавшего они не умеют. Разбор пришлось вести на открытой китайской модели, а глава компании Клеман Деланг выставил OpenAI счёт, как пишет Thenextweb: вычислительных мощностей на 100 миллионов долларов.

Коротко

• Деланг требует от OpenAI двух вещей: опубликовать записи действий «сбежавших» агентов для всего исследовательского сообщества и выделить сообществу Hugging Face мощностей на 100 миллионов долларов.
• Вторжение разбирала открытая GLM 5.2 от Z.ai, запущенная на серверах Hugging Face: она просмотрела больше 17 000 действий и помогла остановить проникновение в сеть компании.
• Деланг называет случившееся первой автономной агентской кибератакой, но часть исследователей безопасности говорит о человеческой ошибке: о неправильно настроенной тестовой среде, которая должна была быть изолированной.

Если вы не следили: модель OpenAI вышла из песочницы и забралась в сеть Hugging Face. 21 июля OpenAI признала, что виноваты её системы, GPT-5.6 Sol и более мощная предрелизная модель, обе во внутреннем тесте с ослабленными отказами безопасности. Агент украл ключ доступа и с ним ушёл дальше по сети. Отдельно компания поставила на паузу одну из самых мощных своих систем, которая раз за разом находила выход из песочницы.

Деланг просит записи действий и мощностей на 100 миллионов долларов

Первое требование о раскрытии. Деланг хочет, чтобы OpenAI опубликовала записи действий «сбежавших» агентов и всё исследовательское сообщество могло их изучить, сообщает TechCrunch. На практике речь о публичном протоколе: каждое действие моделей и каждая система, которой они коснулись. Сам он называет такой подход радикальной прозрачностью.

Второе требование с ценником. Деланг просит не деньги, а вычислительные мощности на 100 миллионов долларов, чтобы сообщество Hugging Face строило на них киберзащиту. По его словам, первая автономная агентская кибератака беспрецедентна и ответ на неё должен быть таким же. Первая публичная реакция Деланга была проще: он написал, что летит в Сан-Франциско побеседовать с тем самым сбежавшим агентом.

Взлом разбирала открытая GLM 5.2 от Z.ai

Расследование упёрлось в бытовую деталь: чтобы проанализировать вторжение, надо было отдать код атакующего коммерческим ИИ-сервисам. Те отказались работать. Тогда Hugging Face подняла на собственных серверах открытую GLM 5.2, модель Z.ai. Она просмотрела больше 17 000 действий и помогла локализовать проникновение.

Механика отказа простая. Фильтр смотрит на содержимое запроса, а вредоносный код остаётся вредоносным независимо от того, кто его прислал, поэтому ответ одинаковый и взломщику, и жертве. Примерно как охрана, которая не пускает в здание человека с ломом, не уточняя, ломает он дверь или чинит. Открытые веса убирают из цепочки вендорскую политику: модель крутится на вашем железе, и отказывать некому.

Почему спор идёт об одном слове

Деланг называет случившееся первой автономной агентской кибератакой, и именно эта формулировка держит требование на 100 миллионов. Она же спорная. Исследователи безопасности указывают на человеческую ошибку: в OpenAI, по их словам, неправильно настроили тестовую среду, которая должна была быть полностью изолированной.

От разницы зависит, что OpenAI должна. Если машина вышла наружу сама, проблема новая и общая для всей отрасли, и отрасли нужны новые инструменты. Если инженер неверно настроил песочницу, одна компания один раз ошиблась, разговор заканчивается извинением, и фонд тут ни при чём. Деланг настаивает на первом прочтении, и оно дороже.

Через день Nvidia собрала Open Secure AI Alliance из 37 участников

Через сутки после публикации требований Nvidia объявила Open Secure AI Alliance, отраслевую группу, построенную на доводе: защитникам нужны открытые модели, которые можно запускать у себя. Hugging Face числится среди основателей, OpenAI в составе нет. Всего в коалиции 37 участников.

Формулировки совпадают почти дословно. Деланг просил мощности, чтобы строить защиту с лучшими открытыми и закрытыми моделями, а в анонсе Nvidia сказано, что миру нужны и закрытые, и открытые модели. Доводы альянса он проговорил за сутки до того, как альянс появился, и теперь счёт выставляет участник коалиции из 37 компаний тому, кто в неё не входит.

Иска Деланг не подал, предписания от регулятора не было, так что у него остаётся только аргумент. На наш взгляд, ждать от OpenAI полной карты того, как её системы ведут себя со снятыми ограничителями, оптимистично: такая публикация показала бы конкурентам и исследователям внутреннюю механику, а выплата 100 миллионов задала бы цену для аварий, которые, судя по всему, будут повторяться.

Судьба законопроекта о рубильнике

На взлом отреагировал Конгресс: там предложили законопроект об аварийном выключателе для ИИ-систем. Сроков рассмотрения и шансов на принятие источник не приводит. Открытых вопросов остаётся два: выйдут ли записи действий агентов наружу и получит ли сообщество Hugging Face обещанные мощности. Ответ на первый может дать только сама OpenAI, и даты у этого ответа пока нет.