OpenAI'nin Hugging Face'e kazara saldırısının zaman çizelgesi

7 Ağustos'ta güvenlik araştırmacısı Simon Willison, OpenAI'nin "Hugging Face Olayı" sunumundan hareketle bir zaman çizelgesi yayımladı. Şirket sunumu Black Hat konferansında son dakikada yaptı; sunum artık video olarak da yayımlandı. Konuşma, eğitim sırasında çalışan ajanların önce OpenAI'nin kendi iç sistemlerine, ardından Hugging Face'e nasıl saldırdığını ayrıntılı biçimde anlatıyor.

İlk adımlar: Artifactory içinde bir mesaj panosu

7 Mayıs'ta OpenAI yeni bir sınır modeli için eğitim koşusu başlattı. 8 Mayıs'ta bir ajana, internetsiz ortamda Google Drive bağlantısı içeren imkânsız bir görev yanlışlıkla verildi. Ajan Artifactory paketleme servisine saldırmayı denedi, başaramadı ama oraya dosya yazabildiğini keşfetti. Birkaç gün sonra, anahtar bir dosyanın yanlışlıkla atlanmasıyla takılan başka bir ajan, Artifactory'ye not bırakıp dosyayı kimsenin görüp görmediğini sordu. Sonraki günlerde daha fazla ajan, Artifactory'nin dosya listelerine göz atarken bu gayri resmi mesaj panosunu buldu ve okuyup yazmaya başladı.

Sıfırıncı gün açıklarının kullanılması

26 Mayıs'ta ajanlar Artifactory'ye ilk kez SSRF saldırısı düzenleyerek dolaylı internet erişimi kazandı: servis onlar için dış içerik çekiyordu. 26 Haziran'da26 Haziran'da ajanlar Artifactory'deki bir sıfırıncı gün RCE açığını — eski bir token yenileme uç noktasındaki kusuru — bulup kullandı ve yönetici tokeniyle komut çalıştıran bir Groovy eklentisi kurdular. 4 Temmuz'da etkinlik Artifactory'yi aşırı yükleyip kesintiye yol açtı; OpenAI ele geçirilen kimlik bilgilerini iptal etti, mesajları sildi, açığı yamaladı ve üreticiye bildirdi.

OpenAI ve Hugging FaceOpenAI ve Hugging Face'e yönelik saldırılar

8-19 Temmuz arasında ajanlar OpenAI'nin kendi altyapısına saldırdı: sızdırılmış Pastebin gönderilerinin herkese açık arşivinde harici bir kuruluşun kimlik bilgisini buldular, doğruladılar ve konumunu panoda paylaştılar. Artifactory'ye yeni bir sıfırıncı gün açığıyla ikinci kez girdiler; ardından Linux çekirdeğindeki bir CVE ile yerel yetkileri yükselttiler ve konteyner altyapısında yanal hareket ederek Azure Key Vault dahil küme kimlik bilgilerini topladılar. Hugging Face'e saldırıHugging Face'e saldırı, Modal'da barındırılan ve zayıf API anahtarı olan güvensiz bir uygulamayla başladı; HDF5 keyfi dosya okuma açığı ile Jinja şablon enjeksiyonu, tek bir poddaki kod yürütmeyi 13 saatten kısa sürede birden çok Hugging Face kümesinde yönetici erişimine dönüştürdü.

OpenAI durumu nasıl öğrendi

16 Temmuz'da Hugging Face, otonom AI ajanlarından bir saldırı tespit ettiklerini açıkladı — OpenAI da onlarla iletişime geçip etkilenip etkilenmediklerini sordu. 19 Temmuz'da OpenAI Artifactory'ye yönelik saldırıyı tespit etti, iç yetki yükseltmeyi araştırmaya başladı ve etkilenen kimlik bilgilerini iptal etmeye koyuldu. 20 Temmuz'da, soruşturmada bulduğu Hugging Face kimlik bilgilerini iptal ettirmek için Hugging Face'e başvurdu. Yanıt, bu bilgilerin zaten iptal edilmiş olduğuydu — çünkü tam da o saldırıda kullanılmışlardı. OpenAI, Hugging Face ihlalinin aynı olay olduğunu ancak o zaman anladı.