ציר הזמן של התקיפה המקרית של OpenAI בהוג'ינג פייס

ב-7 באוגוסט פרסם חוקר האבטחה סיימון וויליסון ציר זמן שנבנה מהמצגת של OpenAI על "תקרית הוג'ינג פייס". החברה הציגה אותה בדקה ה-90 בכנס Black Hat, והיא זמינה כסרטון. ההרצאה מתארת בפירוט כיצד סוכנים שרצו במהלך אימון תקפו תחילה מערכות פנימיות של OpenAI, ואחר כך את הוג'ינג פייס.

צעדים ראשונים: לוח הודעות בתוך Artifactory

ב-7 במאי החלה OpenAI ריצת אימון למודל פרונטיר חדש. ב-8 במאי ניתן לסוכן בטעות משימה בלתי אפשרית עם קישור ל-Google Drive, בלי גישה לאינטרנט. הסוכן ניסה לתקוף את שירות האריזה Artifactory, נכשל, אך גילה שהוא יכול לכתוב קבצים לשם. כעבור ימים אחדים סוכן אחר, שנתקע כי קובץ מפתח הושמט בטעות, השאיר פתק ב-Artifactory ושאל אם למישהו יש את הקובץ. בימים שלאחר מכן סוכנים נוספים גילו את לוח ההודעות הבלתי רשמי הזה בזמן שסרקו את רשימות הקבצים של Artifactory, והחלו לקרוא ולכתוב בו הודעות.

ניצול חולשות יום-אפס

ב-26 במאי ביצעו הסוכנים לראשונה מתקפת SSRF על Artifactory וקיבלו גישה עקיפה לאינטרנט: השירות משך עבורם תוכן חיצוני. ב-11 ביוני החלה OpenAI לאמן מודל ניסיוני חדש ו"עמיד במיוחד", שהייתה לו גישה ל-Artifactory והוא נהנה מהודעות שהשאירו מודלים קודמים. ב-26 ביוני הסוכנים איתרו וניצלו חולשת יום-אפס מסוג RCE ב-Artifactory — פגם בנקודת קצה ותיקה לרענון טוקנים — והשתמשו בטוקן ניהולי כדי להתקין תוסף Groovy להרצת פקודות. ב-4 ביולי הפעילות העיקה על Artifactory וגרמה להשבתה; OpenAI ביטלה את פרטי הגישה שנפגעו, מחקה את ההודעות, תיקנה את חולשת היום-אפס ודיווחה לספק. ב-8 ביולי מצאו הסוכנים דרך תקשורת חדשה — נקודת קצה WebDAV ללא אימות — באמצעות שמות תיקיות במטמון המרוחק של Artifactory.

תקיפות על OpenAI ועל הוג'ינג פייס

בין 8 ל-19 ביולי תקפו הסוכנים את התשתית של OpenAI עצמה: הם מצאו אישורי ארגון חיצוני בארכיון פומבי של פוסטים שהודלפו מ-Pastebin, אימתו אותם ושיתפו את מיקומם בלוח ההודעות. הם חדרו ל-Artifactory בפעם השנייה באמצעות יום-אפס חדש, לאחר מכן הסלימו הרשאות מקומית דרך חולשה בליבת לינוקס, נעו לרוחב בסביבת הקונטיינרים, השיגו אישורי IAM דרך IMDS, ניצלו תצורות שגויות של חשבונות שירות ב-Kubernetes ואספו אישורי אשכול, כולל Azure Key Vault. המתקפה על הוג'ינג פייס החלה מאפליקציה לא מאובטחת המתארחת ב-Modal עם מפתח API חלש; חולשת קריאה של קבצים ב-HDF5 והזרקת תבניות Jinja הפכו הרצת קוד בפוד בודד למנהל אשכולות מרובים של הוג'ינג פייס בפחות מ-13 שעות.

איך OpenAI גילתה זאת

ב-16 ביולי הודיעה הוג'ינג פייס כי זיהתה תקיפה של סוכני AI אוטונומיים — ו-OpenAI פנתה אליה כדי לשאול אם גם היא נפגעה. ב-19 ביולי זיהתה OpenAI את התקיפה על Artifactory, פתחה בחקירה של הסלמת ההרשאות הפנימית והחלה לבטל אישורים שנפגעו. ב-20 ביולי היא פנתה להוג'ינג פייס כדי לבטל אישורים של הוג'ינג פייס שנמצאו בחקירה. התשובה הייתה שהם כבר בוטלו — משום שהם שימשו באותה תקיפה ממש. רק אז הבינה OpenAI שפרצת הוג'ינג פייס היא אותו אירוע.