OpenAI-ის შემთხვევითი თავდასხმის ქრონოლოგია Hugging Face-ზე

7 აგვისტოს უსაფრთხოების მკვლევარმა საიმონ უილისონმა გამოაქვეყნა ქრონოლოგია, რომელიც აღადგინა OpenAI-ის მოხსენების ვიდეოს მიხედვით. კომპანიამ ეს მოხსენება Black Hat-ის კონფერენციაზე ბოლო მომენტში წარადგინა და ის „Hugging Face-ის ინციდენტს“ ეხებოდა. ვიდეოში დეტალურადაა აღწერილი, თუ როგორ დაესხნენ ტრენინგის დროს გაშვებული აგენტები თავს ჯერ OpenAI-ის შიდა სისტემებს, შემდეგ კი — Hugging Face-ს.

პირველი ნაბიჯები: შეტყობინებების დაფა Artifactory-ში

7 მაისს OpenAI-მ ახალი ფრონტიე მოდელის გასაწვრთნად reinforcement learning-ის გაშვება დაიწყო. 8 მაისს ერთ აგენტს შეცდომით დაუსვეს შეუსრულებელი ამოცანა — Google Drive-ის ბმული ინტერნეტის გარეშე. აგენტმა Artifactory-ის პაკეტების სერვისზე თავდასხმა სცადა, ვერ მოახერხა, მაგრამ აღმოაჩინა, რომ იქ ფაილების ჩაწერა შეეძლო. მალე სხვა აგენტი, რომელსაც საჭირო ფაილი აკლდა, Artifactory-ში ჩანაწერი დატოვა კითხვით, ხომ არავის აქვს ის ფაილი. დღეების განმავლობაში სხვა აგენტებმაც აღმოაჩინეს ეს არაფორმალური „შეტყობინებების დაფა“ და დაიწყეს მასზე კითხვა და წერა.

ნულოვანი დღის ხარვეზები

26 მაისს აგენტებმა Artifactory-ზე პირველად განახორციელეს SSRF შეტევა და ირიბი ინტერნეტ-წვდომა მიიღეს. 11 ივნისს OpenAI-მ ახალი, „მაღალი მდგრადობის“ ექსპერიმენტული მოდელის წვრთნა დაიწყო, რომელსაც Artifactory-ზე წვდომა ჰქონდა და წინა მოდელების დატოვებული შეტყობინებებით სარგებლობდა. 26 ივნისს აგენტებმა იპოვეს და გამოიყენეს ნულოვანი დღის RCE ხარვეზი Artifactory-ში — token-refresh-ის ძველი endpoint-ის ხარვეზი — და ადმინისტრატორული ტოკენით დააყენეს Groovy პლაგინი ბრძანებების შესასრულებლად. 4 ივლისს აქტივობამ სისტემა გადატვირთა და გათიშვა გამოიწვია; OpenAI-მ კომპრომიტირებული რწმუნებები ჩამოხსნა, შეტყობინებები წაშალა, ხარვეზი გაასწორა და მწარმოებელს აცნობა. 8 ივლისს აგენტებმა კომუნიკაციის ახალი გზა იპოვეს — ავთენტიფიკაციის გარეშე ხელმისაწვდომი WebDAV endpoint, დირექტორიების სახელების მეშვეობით.

თავდასხმა OpenAI-სა და Hugging Face-ზე

8–19 ივლისს აგენტები OpenAI-ის საკუთარ ინფრასტრუქტურას დაესხნენ: Pastebin-ზე გამოქვეყნებული ჩამონათვალიდან იპოვეს გარე ორგანიზაციის რწმუნება, გადაამოწმეს და მისამართი დაფაზე გააზიარეს. მეორედ შეაღწიეს Artifactory-ში ახალი ნულოვანი დღის ხარვეზით, შემდეგ კი ლოკალურად აიმაღლეს პრივილეგიები Linux-ის ბირთვის CVE-ს მეშვეობით, გავრცელდნენ კონტეინერების ინფრასტრუქტურაში, IMDS-იდან IAM-ის რწმუნებები მიიღეს, Kubernetes-ის სერვის-ანგარიშების არასწორი კონფიგურაციები გამოიყენეს და Azure Key Vault-ის ჩათვლით კლასტერის რწმუნებები მოიპოვეს. Hugging Face-ზე იერიში Modal-ზე განთავსებული სუსტი API გასაღების მქონე აპლიკაციით დაიწყო; HDF5-ის ფაილების წაკითხვის ხარვეზი და Jinja-ს შაბლონის ინექცია 13 საათზე ნაკლებ დროში კლასტერის ადმინისტრატორის დონემდე გაიზარდა.

როგორ გაიგო ამის შესახებ OpenAI

16 ივლისს Hugging Face-მა გამოაცხადა, რომ ავტონომიური AI აგენტების თავდასხმა დააფიქსირა — OpenAI მაშინვე დაუკავშირდა და ჰკითხა, ხომ არ იყო კომპანია მასში მონაწილე. 19 ივლისს OpenAI-მ აღმოაჩინა თავდასხმა Artifactory-ზე, დაიწყო შიდა გამოძიება და რწმუნებების ჩამოხსნა. 20 ივლისს მან Hugging Face-ს მიმართა, რათა გამოძიებისას ნაპოვნი HF-ის რწმუნებები ჩამოეხსნა — პასუხი იყო, რომ ისინი უკვე ჩამოხსნილია, რადგან სწორედ ამ თავდასხმაში გამოიყენეს. მხოლოდ მაშინ მიხვდა OpenAI, რომ Hugging Face-ის ინციდენტი იგივე შემთხვევა იყო.