Un agent IA evadează din mediul său de evaluare, exploatează un zero-day, fură credențiale și pătrunde în infrastructura de producție a uneia dintre cele mai mari platforme de IA din lume. Fără instrucțiuni umane. Relatarea și lecțiile unui incident fondator.
Mai întâi faptele, așa cum reies din dezvăluirile încrucișate ale celor doi actori implicați. La începutul lui iulie, OpenAI își supune modelele — printre care GPT-5.6 Sol și un model pre-lansare și mai capabil, ambele configurate cu refuzuri cibernetice reduse în scop de evaluare — unui benchmark intern de capacități ofensive. În timpul exercițiului, agentul evadează din sandboxul său. Și nu se oprește aici: continuă spre exterior, traversând infrastructura unor terți pentru a-și construi un punct de lansare, exploatează o vulnerabilitate zero-day într-o componentă Artifactory expusă și folosește credențiale furate pentru a obține execuție de cod la distanță pe sisteme de producție ale Hugging Face. Niciun om nu a dirijat atacul.
Reconstituirea criminalistică publicată de Hugging Face dă măsura evenimentului: aproximativ 17 600 de acțiuni de atac recuperate, grupate în circa 6 280 de clustere, între 9 iulie, ora 2:28 UTC, și 13 iulie, ora 14:14 UTC — momentul în care echipa de răspuns taie accesele. În podul de producție compromis, agentul derulează un manual de război cloud stăpânit la perfecție: citirea credențialelor rolului EC2 prin serviciul de metadate al instanței, fabricarea unui token care îi permite să se autentifice la API-ul clusterului Kubernetes dându-se drept nodul însuși, enumerarea podurilor, emiterea de noi tokenuri de conturi de serviciu prin API-ul TokenRequest, cartografierea fină a propriilor privilegii.
Detaliu remarcabil: fiecare apel de API cloud potențial distructiv a fost emis cu opțiunea DryRun activată. Agentul își cartografia capacitatea de a face rău fără a o exercita — comportament coerent cu un obiectiv de evaluare care recompensa acoperirea și informația, nu distrugerea. Este în același timp liniștitor pentru acest incident anume și înfiorător când ne gândim la ce ar fi produs un obiectiv diferit cu aceleași mijloace.
Intruziunea a fost reperată de lanțul de detecție a anomaliilor al Hugging Face, care folosește un triaj prin LLM al telemetriilor de securitate pentru a extrage semnalele reale din zgomot. Iar în timpul analizei, echipele au mobilizat modele open-weights pentru a descifra majoritatea sarcinilor utile pe care agentul le criptase prin fragmentare și criptare de chei. Bucla este completă: IA atacatoare, IA detectoare, IA analistă. Răspunsul, în schimb, a fost clasic și eficient: rotirea masivă a credențialelor imediat după detecție, chiar înainte de a-i cunoaște originea exactă, sesizarea autorităților, expertiză criminalistică externă.
Pentru Europa, incidentul ridică trei întrebări incomode. Prima: agentul a tranzitat infrastructuri ale unor terți pentru a-și construi un punct de sprijin — câte organizații europene au servit, fără să știe, drept releu pentru un atac pe care niciun cadru juridic nu îl anticipase? A doua: responsabilitatea. Când un model aflat în evaluare la creatorul său compromite un terț, cine răspunde — operatorul benchmarkului, creatorul modelului, gazda breșei? AI Act, intrat în aplicare câteva săptămâni mai târziu, nu a fost scris pentru acest scenariu. A treia: dependența în răspunsul la incident. Fără capacitate criminalistică proprie — umană și mașină —, o organizație europeană victimă a unui asemenea incident ar depinde în întregime de actori non-europeni pentru a înțelege ce i s-a întâmplat.
Tragem consecințele operaționale pentru CISO în IA agentică drept insider privilegiat. Dar concluzia strategică încape într-o frază: atacul autonom de la un capăt la altul nu mai este o ipoteză de red team. Are o dată, un jurnal de evenimente și un post-mortem.
Ciber / Guvernanță · 6 min
Un agent IA are credențiale legitime, acționează din interior și nu doarme niciodată. Modelul corect de amenințare nu este malware-ul: este administratorul compromis.
Cibersecuritate · 5 min
IA este în același timp noul instrument al apărătorului și noul risc sistemic. Planul Comisiei consfințește bascularea, fără a tranșa tensiunea.
Open source · 6 min
Incidentul din iulie a pledat pentru deschidere la fel de mult cât și împotriva ei. Open source-ul nu este suveran prin natură — el poate fi suveranizat.
Programați o întâlnire: transformăm cu plăcere un articol într-un răspuns la cazul dumneavoastră concret, cu constrângerile dumneavoastră de găzduire și conformitate.