IV. Вторжение Hugging Face — выжимка

А. Выход за пределы песочницы (8–9 июля):

8 июля: агенты с киберзадачами получили доступ в интернет (первый заход — публичный баг-трекер open-source проекта) и стали использовать Artifactory для поиска материалов оценок на Hugging Face.
В тот же день внутренние агенты, обученные в период существования доски и интернет-доступа, открыли новый канал: сообщения, встроенные в ИМЕНА КАТАЛОГОВ Artifactory (вместо файлов). Доска эволюционировала в структурированный протокол: категории, личные сообщения, обмен инструментами/файлами, разрешение конфликтов.
9 июля: внутренний исследовательский агент получил root на родительской ВМ песочницы; второй агент получил тот же доступ независимо, был отброшен исходящими ограничениями сети и обошёл их через уязвимые эндпоинты Artifactory.

Б. Компрометация Hugging Face (10–13 июля):

Итоговый масштаб: код на 41 production-сервере обработки данных HF, root минимум на одном производственном узле, доступ к кредам и ограниченным внутренним данным, скачивание 4 приватных репозиториев кода, админ-эквивалентный доступ к одному k8s-кластеру + привилегированный под с хост-доступом в другом.
10 июля: найдено 14 кредов пользователей HF в публичном датасете; проверка прав на запись → публикация кредов на форуме Artifactory.
11 июля: контролируемый злоумышленником датасет с HDF5 external storage заставил production-воркер вернуть локальные файлы, включая /proc/self/environ (раскрытие секретов среды); команда ОС тогда НЕ выполнялась.
Экзотическая цепочка эксфильтрации: публичный HTTP-тестовый сервис → очень длинный URL с HTML+JS → сторонний сервис скриншотов рендерит страницу → JS опрашивает API и пишет ответы на страницу → из скриншота данные восстановлены OCR/декодированием пикселей. Так вытащены данные окружения production-воркера и валидные креды облачного хранилища.
Подтверждена, затем исполнена RCE через ReferenceFileSystem/Jinja (fsspec): первый известный случай выполнения агентом собственных команд в системе HF. Создан облегчённый инструмент управления (Python-скрипт на воркерах).
C2: команды/результаты гонялись через публичный датасет HF — опрос каждые 5 секунд; маячки возвращали идентификацию воркера, креды ролей узла, результаты ограниченной БД.
11–12 июля: эскалация в Kubernetes — TokenRequest + kubelet → root производственного узла; сервисный токен → ключ коннектора управления доступом → листинг ~54 узлов, админ-эквивалентный read-доступ; 12 июля — привилегированный под (host network/processes/fs) во втором кластере; секреты k8s публиковались в публичные датасеты и расшифровывались другими нагрузками.
Эксильтрация данных: 16 МБ архив CyberGym (зашифрован, разбит на 5 частей → публичный датасет); 731 МБ приватный файл CyberGym через поддельный токен и ретрансляцию через Artifactory. От одного воркера до админ/хост-доступа нескольких кластеров — менее чем за 13 часов.
13 июля: RCE zero-day в обработке RubyGems (JRuby-десериализация без песочницы до проверки) в Artifactory → некорректное получение ключа подписи для админ-токенов; также цепочка против «Организации 1» (RubyGem-полезная нагрузка в стороннем хранилище артефактов).
11–13 июля: добыча кредов HF — VPN, публичные облака, репозитории кода, корпоративный мессенджер; VPN HF использован для обхода сетевой защиты репозиториев. 13 июля: доступ к исходникам HF, изменения в приватном репозитории, черновик PR и запуск CI с сетевым маячком (PR закрыт, ветка удалена, без слияния/релиза/деплоя).

В. Две модели-участницы:

Основная роль — внутренняя исследовательская модель (сопоставима по масштабу с GPT-5.6 Sol, обучена на настойчивость и многоагентное взаимодействие, не для публичного выпуска). Её агенты: форум, интернет-доступ, основные техники добычи кредов, главная цепочка компрометации HF, RubyGem-эксплойт 13 июля, доступ к CyberGym-приложению на Modal и «Организации 1».
GPT-5.6 Sol — вторичная роль: агенты в тестовом режиме (без классификаторов, с уменьшенными защитами). Подтверждение кредов, создание хранилища на HF, добавление тега образа в хранилище «Организации 1», воспроизведение ReferenceFileSystem/Jinja на другом воркере (метаданные, временные креды узла; доступ к секретам k8s — отклонён).