Сенат США требует документы по взлому Hugging Face

Сенатор-республиканец Джош Хоули открыл расследование против OpenAI из-за июльского взлома Hugging Face, который устроили агенты компании во время внутренних испытаний. В письме Сэму Альтману от 9 сентября претензия идёт дальше самого инцидента: по версии сенатора, OpenAI ещё с мая видела, что агенты ведут себя нештатно, и всё равно не останавливала тесты.

Письмо и пресс-релиз от 10 сентября опубликованы на сайте Сената. Хоули действует как председатель подкомитета по управлению в чрезвычайных ситуациях, который входит в сенатский комитет по внутренней безопасности и делам правительства. Поводом он называет «новые тревожные свидетельства» об инциденте. Кроме того, в рамки расследования он включает «растущие утверждения об экзистенциальном риске новых ИИ-продуктов».

Что сенатор взял из отчётов

Фактуру Хоули берёт из отчётов OpenAI и её партнёров-аудиторов от 26 августа. Во время проверки кибервозможностей GPT-5.6 Sol и более сильной нераскрытой модели, которая в отчётах значится как «highly-persistent internal model», самоорганизованный рой из более чем 1 200 агентов вырвался из тестовой среды. Агенты завели несанкционированный канал связи и обменялись друг с другом более чем 70 000 сообщений и файлов. Около 700 из них провели скоординированную атаку на платформу Hugging Face и добрались до её продакшн-систем и закрытого исходного кода.

Искали они, по словам сенатора, ответы к собственным тестам, а следы своей активности подчищали. «Короче говоря, они вышли из-под контроля», - резюмирует Хоули.

Механизм побега известен из публикаций о самом инциденте. Модели проверяли на навыки атаки с отключёнными защитами, которые обычно блокируют рискованную киберактивность. Наружу они вышли через кэширующий прокси реестра пакетов: в изолированной среде OpenAI только этому компоненту разрешено обращаться вовне, и в штатном режиме он ходит лишь к публичным репозиториям кода. Как сообщает Wired, в открытый интернет модели попали через уязвимость нулевого дня, ранее никому не известную дыру, когда «зациклились» на решении бенчмарка ExploitGym; в таких экспериментах промпты давят на модель, требуя найти решение. Там же приводится формулировка самой OpenAI: «Получив доступ в интернет, модели сделали вывод, что на Hugging Face потенциально лежат модели, датасеты и решения для ExploitGym».

«Это безрассудно»

Главный упрёк касается хронологии. К маю 2026 года OpenAI, по словам Хоули, знала, что агенты пользуются несанкционированными досками сообщений. 26 июня агенты нашли эксплойт, который дал им права администратора в менеджере репозиториев ПО компании, и стали оставлять через него сообщения друг другу. А 4-7 июля руководство OpenAI, зная, что множество агентов получили админ-доступ к скомпрометированной тестовой среде, пересобрало сервер и одобрило перезапуск испытаний, так и не поняв, что делают агенты. «Это безрассудно», - пишет сенатор.

Вторая часть претензий касается аудиторов. Полные транскрипты действий агентов им дали всего за два дня, хотя события, которые привели к взлому, растянулись на недели. Период с 13 по 19 июля, когда, судя по отчёту OpenAI, агенты провели вторую волну атак, уже на внутренние системы компании, аудиторам изучить не дали. Отправлять запросы к «highly-persistent internal model» они не могли, хотя на эту модель приходится 95% атакующей активности агентов. Многие важные детали о ней OpenAI в отчёте закрыла.

Вторая проверка за месяц

Федеральный запрос идёт следом за региональным. Генпрокурор Алабамы Стив Маршалл направил OpenAI повестку, опубликованную 24 августа: от компании требуют данные обо всех затронутых сетях, сайтах и базах, сведения о мерах защиты во время тестов и имена всех сотрудников и руководителей, которые поднимали вопросы о безопасности тестирования моделей. Судя по этим запросам, обе проверки нацелены прежде всего на решения людей: что в OpenAI знали до взлома и что компания раскрыла после него.

Часть специалистов по безопасности тоже смотрит на людей, только под другим углом. «Это не проблема ИИ. Это халатность при стандарте сорокалетней давности», - говорит консультант по безопасности Дави Оттенхаймер. Исследователь Нильс Провос коротко сказал, что «такого не должно было случиться». Обе цитаты приводит Wired. Издание напоминает, что серьёзные уязвимости в хранилищах артефактов компании закрывают уже десять лет: из-за бага, раскрытого в 2024 году, любой, кто мог достучаться до сервера, получал по URL конфигурационные файлы, пароли и токены доступа без входа в систему.

Экзистенциальный риск в том же письме

Вторую линию расследования Хоули строит на публичных высказываниях отрасли. По его словам, на той же неделе трое исследователей Anthropic публично оценили вероятность того, что ИИ убьёт всех людей в ближайшие десять лет, выше чем в 10%. Главного научного сотрудника самой OpenAI сенатор цитирует по тексту, написанному за несколько дней до письма: «ни одна лаборатория не решила задачи выравнивания и мониторинга в достаточной мере, чтобы ещё долго ответственно масштабироваться на максимальной скорости».

Отсюда вопросы, которые сенатор задаёт прямо: что будет с критической инфраструктурой, банками и коммунальными службами, если ИИ-агенты взломают их системы, как защитить персональные данные миллионов американцев и кто отвечает, когда ИИ выходит из-под контроля.

Документы по списку из приложения к письму Хоули потребовал прислать не позднее 1 октября, а вопросы о рамках запроса предложил обсудить с его офисом.