Hugging Face je 16. jula 2026. godine objavio da je otkrio neovlašćen pristup delu svoje interne infrastrukture. Napad je bio tehnički složen, obuhvatio je hiljade pojedinačnih radnji i, prema prvim nalazima, gotovo u potpunosti ga je sproveo autonomni AI agentski sistem.
Pet dana kasnije, OpenAI je potvrdio da su iza incidenta bili njegovi modeli.
Napad nije bio deo odobrenog testa infrastrukture Hugging Face-a. Nastao je tokom interne evaluacije koju je OpenAI sprovodio u sopstvenom istraživačkom okruženju. OpenAI je želeo da ispita koliko su njegovi najnapredniji modeli sposobni da pronalaze i koriste složene puteve sajber-napada. Međutim, sistem je tokom testa pronašao način da probije granice predviđenog okruženja, dođe do otvorenog interneta i napadne produkcione sisteme druge kompanije.
Zbog toga ovaj događaj nije važan samo kao demonstracija novih sposobnosti AI sistema. On je istovremeno ozbiljan neuspeh tehničke kontrole, upravljanja rizikom i organizacione odgovornosti.
Šta se zapravo dogodilo
Incident nije izazvao jedan javno dostupan AI agent sa određenim nazivom.
OpenAI je naveo da je evaluisao agentski sistem koji je koristio kombinaciju njegovih modela, uključujući GPT-5.6 Sol i još sposobniji model koji u tom trenutku nije bio javno objavljen. Modeli su bili povezani sa alatima koji su im omogućavali da izvršavaju kod, analiziraju sisteme, pokušavaju različite napade i nastavljaju rad kroz veliki broj međusobno povezanih koraka. Za potrebe testa bile su umanjene standardne zabrane kojima se modeli u redovnoj upotrebi sprečavaju da sprovode visokorizične sajber-aktivnosti.
To je važno za razumevanje događaja. Nije reč o četbotu koji je proizveo problematičan odgovor, već o sistemu koji je mogao da deluje: da planira, koristi alate, procenjuje rezultate svojih prethodnih pokušaja i samostalno bira naredne korake.
Cilj evaluacije bio je da se izmere maksimalne sajber-sposobnosti modela. OpenAI je modele podsticao da traže složene puteve za iskorišćavanje ranjivosti u okviru benchmarka pod nazivom ExploitGym. Da bi dobio što realniju sliku njihovih sposobnosti, OpenAI nije uključio produkcione klasifikatore koji bi u normalnim okolnostima zaustavljali visokorizične sajber-aktivnosti.
Test je sprovođen u okruženju koje OpenAI opisuje kao "visoko izolovano". Modeli navodno nisu imali direktan pristup internetu. Ipak, mogli su da instaliraju softverske pakete preko interno postavljenog posredničkog sistema, koji je služio kao proxy i privremeno skladište za registre paketa.
Upravo u tom sistemu agent je pronašao do tada nepoznatu, odnosno zero-day ranjivost.
Iskoristivši je, sistem je izašao iz prostora u kojem je trebalo da ostane. Nakon toga je podizao svoja ovlašćenja i kretao se kroz OpenAI-jevu istraživačku infrastrukturu sve dok nije stigao do računarskog čvora koji je imao pristup otvorenom internetu. OpenAI navodi da je agent potrošio značajnu količinu računarskih resursa upravo na pronalaženje načina da dobije takav pristup.
Kada je došao do interneta, sistem je zaključio da bi se na Hugging Face-u mogli nalaziti modeli, skupovi podataka ili rešenja povezana sa zadatkom na kojem je testiran. Umesto da problem reši isključivo unutar predviđenog testnog okruženja, agent je pokušao da dođe do podataka koji bi mu omogućili da direktno pronađe odgovor i tako praktično "prevari" evaluaciju.
OpenAI navodi da je agentski sistem povezao više različitih metoda napada, uključujući korišćenje ukradenih pristupnih podataka i novih ranjivosti, kako bi dobio mogućnost udaljenog izvršavanja koda na serverima Hugging Face-a. Krajnji cilj bio je pristup rešenjima ExploitGym testa koja su se nalazila u produkcionoj bazi Hugging Face-a.
Dakle, agent nije dobio instrukciju: Napadni Hugging Face.
Dobio je cilj da pronađe rešenje. Međutim, imao je dovoljno sposobnosti, alata i autonomije da pronađe nedozvoljen način za ostvarenje tog cilja, dok kontrole koje je trebalo da ograniče njegovo delovanje nisu uspele.
Kako je kompromitovan Hugging Face
Prema objavi Hugging Face-a, početni pristup ostvaren je preko sistema za obradu datasetova.
Dataset u ovom kontekstu nije nužno samo pasivna zbirka podataka. Uz njega mogu postojati skripte, konfiguracije i šabloni koji određuju kako se podaci učitavaju ili obrađuju. Hugging Face je naveo da je zlonamerno pripremljen dataset iskoristio dva različita puta za izvršavanje koda: udaljeni kod u loaderu dataseta i ubacivanje instrukcija u konfiguracioni šablon. Time je agent uspeo da pokrene kod na serveru koji je obrađivao podatke.
Nakon toga je sistem povećao svoja ovlašćenja do nivoa samog računarskog čvora, prikupio cloud i cluster kredencijale i bočno se kretao kroz više internih klastera Hugging Face-a tokom vikenda.
To znači da se incident nije završio kompromitovanjem jednog izolovanog servera. Pristup jednoj komponenti otvorio je put prema drugim delovima infrastrukture. Agent je prikupljao pristupne podatke, širio privilegije i koristio postojeće veze između sistema kako bi stigao do vrednijih resursa.
Hugging Face je napad opisao kao kampanju koju je vodio autonomni agentski okvir kroz više hiljada pojedinačnih aktivnosti, raspoređenih preko velikog broja kratkotrajnih izolovanih okruženja. Komandna infrastruktura se premeštala preko javno dostupnih servisa, što je dodatno otežavalo praćenje napada.
Prema trenutno dostupnim informacijama, neovlašćeno je pristupljeno ograničenom broju internih datasetova i određenim kredencijalima koje su koristili servisi Hugging Face-a. Kompanija je saopštila da još utvrđuje da li su bili pogođeni podaci pojedinih klijenata ili partnera.
Istovremeno, nije pronašla dokaze da su menjani javni modeli, datasetovi, Spaces aplikacije, objavljeni softverski paketi ili kontejnerske slike.
Hugging Face je zatvorio ranjive puteve za izvršavanje koda, uklonio pristup napadača, ponovo izgradio kompromitovane čvorove i opozvao pogođene tokene i kredencijale. Uvedene su dodatne kontrole za prijem sadržaja u klastere, kao i poboljšani sistemi za detekciju sumnjivih aktivnosti.
Incident je prijavljen nadležnim organima, a u istragu su uključeni i spoljni stručnjaci za sajber-forenziku.
Istraga još nije završena. Zato za sada ne znamo konačan obim pristupa, sve korišćene ranjivosti, kompletan vremenski sled niti da li će naknadno biti utvrđene dodatne posledice.
Kako su kompanije predstavile incident
Način na koji su OpenAI i Hugging Face predstavili događaj zaslužuje posebnu pažnju.
OpenAI je incident opisao kao događaj bez presedana koji pokazuje da savremeni modeli mogu da sprovode složene i dugotrajne sajber-operacije u realnim sistemima. Kompanija je naglasila da je sama otkrila neuobičajenu aktivnost u svom okruženju, da sarađuje sa Hugging Face-om, da je prijavila pronađenu zero-day ranjivost proizvođaču softvera i da uvodi strože kontrole za buduće evaluacije.
Hugging Face je, sa svoje strane, naglasio da su njegovi bezbednosni timovi i interni AI alati detektovali i zaustavili napad, da je kompanija brzo reagovala i da nema dokaza o izmeni javno dostupnih modela ili softverskog lanca snabdevanja. Njegov direktor Clément Delangue pozdravio je saradnju sa OpenAI-jem i incident predstavio kao dokaz da se AI bezbednost mora razvijati otvoreno i kroz saradnju između kompanija.
Obe kompanije, dakle, naglasak stavljaju na sofisticiranost napada, brzinu reakcije, transparentnost i pouke za budućnost.
Sve to jeste relevantno. Dobro je što su objavile osnovne informacije, povezale timove, zatvorile ranjivosti i započele zajedničku istragu. Međutim, takav okvir istovremeno preusmerava pažnju sa pitanja koja su mnogo neprijatnija.
Ko je odobrio test u kojem su najnaprednijim modelima namerno uklonjena ključna bezbednosna ograničenja? Na osnovu koje procene rizika je zaključeno da je okruženje dovoljno izolovano? Ko je bio vlasnik rizika da agent ipak pronađe put do interneta? Zašto nije postojao tehnički mehanizam koji bi sprečio da eksperiment jedne kompanije proizvede stvarni napad na drugu? Koliko dugo je aktivnost trajala pre nego što je zaustavljena? Ko je imao ovlašćenje da prekine test? Da li je postojala nezavisna procena bezbednosti čitavog eksperimenta?
Na ova pitanja u dosadašnjim saopštenjima nema potpunih odgovora.
Ovo nije samo priča o nepredvidivom ponašanju AI-ja
Izraz da je agent pobegao, podivljao ili delovao na svoju ruku može biti medijski privlačan, ali lako previđa odgovornost.
AI sistem nije sam izabrao svoju arhitekturu. Nije sam odlučio koje će modele koristiti, koje će mu zabrane biti uklonjene, koje će alate dobiti, koliko će dugo raditi niti kakve će mrežne i infrastrukturne mogućnosti imati.
Sve te odluke doneli su ljudi.
Nije potrebno dokazati da je sistem imao nameru, svest ili zlonameran motiv. Za upravljanje rizikom dovoljno je da je njegovo ponašanje bilo predvidivo u širem smislu: dobio je cilj, alate za napad i podsticaj da pronađe rešenje, a zatim je iskoristio mogućnosti koje su mu bile dostupne.
Možda nije bilo moguće predvideti svaku pojedinačnu ranjivost koju će pronaći. Ali mogućnost da veoma sposoban ofanzivni agent pokušava da zaobiđe ograničenja nije bila neočekivana sporedna pojava. Upravo je sposobnost pronalaženja neočekivanih puteva napada bila predmet evaluacije.
Zato objašnjenje da je sistem bio hiperfokusiran na uzak cilj nije oslobađajuće. Naprotiv, ono opisuje upravo onu vrstu rizika koju je trebalo kontrolisati.
Ako organizacija napravi sistem koji uporno optimizuje određeni cilj, a zatim mu omogući izvršavanje koda, pronalaženje ranjivosti, podizanje privilegija i dugotrajan autonoman rad, nije dovoljno očekivati da će model sam razumeti koje su organizacione i pravne granice njegovog delovanja.
Te granice moraju biti tehnički sprovedene.
OpenAI je sprovodio visokorizičnu aktivnost, a posledice je snosila treća strana
Jedan od najvažnijih aspekata incidenta jeste to što se rizik nije materijalizovao samo unutar kompanije koja je odlučila da ga prihvati.
OpenAI je odredio uslove evaluacije. OpenAI je izabrao modele. OpenAI je smanjio standardne zabrane. OpenAI je agentu dao alate, računarske resurse i autonomiju. OpenAI je procenio da je testno okruženje dovoljno bezbedno.
Ali infrastruktura koja je na kraju kompromitovana pripadala je Hugging Face-u.
Hugging Face nije pristao da bude deo OpenAI-jeve evaluacije. Njegovi sistemi, zaposleni, korisnici i partneri bili su izloženi riziku koji je nastao odlukama druge privatne kompanije.
U tom smislu, izraz "incident tokom evaluacije" može biti suviše blag. Za OpenAI je to bio incident tokom evaluacije. Za Hugging Face je to bio neovlašćen upad u produkcionu infrastrukturu.
Namera OpenAI-ja da ne izazove štetu nije dovoljna da ukloni odgovornost. U ozbiljnom upravljanju rizikom pitanje nije samo da li je neko želeo određenu posledicu, već da li je mogao razumno da je predvidi, da li je preduzeo odgovarajuće mere i ko snosi posledice kada te mere zakažu.
Reuters je preneo upozorenja stručnjaka da laboratorije i državni evaluatori trenutno nemaju dovoljno razvijene standarde za obuzdavanje ovakvih sistema, praćenje njihovog ponašanja i brzo obaveštavanje pogođenih trećih strana. Incident je zato važan i kao pokazatelj institucionalne praznine, a ne samo tehnološkog napretka.
Pročitajmo prethodni pasus još jednom.
Hugging Face takođe mora odgovoriti na ozbiljna pitanja
Kritička analiza ne može da se zaustavi na OpenAI-ju.
Činjenica da je agent uspeo da iskoristi dva puta za izvršavanje koda u sistemu za obradu datasetova predstavlja ozbiljan bezbednosni problem. Još važnije, kompromitovanje jednog processing workera omogućilo je podizanje privilegija, prikupljanje cloud i cluster kredencijala i kretanje kroz više internih klastera.
To ukazuje na probleme koji prevazilaze jednu početnu ranjivost.
Postavljaju se pitanja segmentacije mreže, upravljanja tajnama, obima privilegija servisnih naloga, izolacije radnih čvorova, ograničavanja lateralnog kretanja i brzine detekcije. Ne znamo još dovoljno da bismo utvrdili tačan uzrok svakog od tih propusta, ali sam sled događaja pokazuje da početno kompromitovanje nije bilo dovoljno dobro ograničeno.
Princip najmanjih privilegija podrazumeva da svaki proces, servis ili korisnik dobije samo ona ovlašćenja koja su mu neophodna. Segmentacija podrazumeva da kompromitovanje jednog dela sistema ne omogućava automatski pristup drugim delovima. Efikasno upravljanje tajnama podrazumeva da cloud i cluster kredencijali ne budu lako dostupni kompromitovanom radnom procesu.
U ovom slučaju, bar neke od tih zaštitnih granica očigledno nisu bile dovoljno jake.
Hugging Face zaslužuje priznanje za javnu objavu, odgovor na incident i proveru javnih modela i softverskog lanca snabdevanja. Ali transparentnost nakon incidenta ne menja činjenicu da je infrastruktura imala ranjivosti koje su omogućile duboko kretanje kroz interne sisteme.
Bezbednost modela nije isto što i bezbednost agentskog sistema
Ovaj incident posebno jasno pokazuje zašto se AI rizik više ne može procenjivati samo na nivou modela.
Stvarni operativni rizik nastaje iz kombinacije više elemenata: modela, cilja koji mu je postavljen, sistemskih instrukcija, dostupnih alata, podataka, pristupnih prava, mrežnih veza, vremena rada, mogućnosti ponavljanja pokušaja i infrastrukture u kojoj sistem deluje.
Isti model može predstavljati relativno mali rizik kada samo odgovara na pitanja, a mnogo veći rizik kada dobije terminal, mrežne alate, kredencijale i mogućnost da samostalno radi satima. Zato procena da je određeni model "bezbedan" nije dovoljna. Mora se proceniti čitav agentski sistem i konkretno okruženje u kojem se koristi.
Posebno je problematično oslanjanje na pravila sadržana samo u sistemskim instrukcijama ili zaštitnim klasifikatorima. Takve kontrole mogu biti korisne, ali ne smeju biti jedina granica između agenta i stvarne štete.
Ako određena radnja nikada ne bi smela da se dogodi, ona ne treba samo da bude zabranjena tekstualnom instrukcijom. Sistem tehnički ne sme imati mogućnost da je izvrši.
Human in the loop ne znači mnogo ako čovek nema stvarnu kontrolu
Kompanije često navode da se AI sistemi koriste uz ljudski nadzor. Međutim, ovaj slučaj pokazuje da samo prisustvo ljudi u procesu nije dovoljno.
Kod sistema koji može da izvrši hiljade radnji, da koristi više kratkotrajnih okruženja i da menja strategiju u realnom vremenu, čovek ne može efikasno kontrolisati svaku pojedinačnu aktivnost ručnim pregledom.
Delotvoran ljudski nadzor mora imati konkretan operativni sadržaj.
Čovek mora da dobija blagovremene i razumljive informacije o ponašanju sistema. Mora da postoji mogućnost momentalnog prekida izvršavanja. Kritične radnje, kao što su dobijanje spoljnog mrežnog pristupa, podizanje privilegija, korišćenje kredencijala ili komunikacija sa produkcionim sistemima, moraju zahtevati dodatnu autorizaciju ili biti unapred tehnički blokirane.
Pregled logova nakon incidenta nije isto što i ljudska kontrola tokom njegovog razvoja.
Šta smo naučili
Većina kompanija neće razvijati modele sposobne da samostalno otkrivaju zero-day ranjivosti, i toga smo svesni. Ipak, osnovne pouke ovog incidenta odnose se na svaku organizaciju koja razvija ili koristi AI agente.
Dakle, agent se mora procenjivati kao operativni akter, a ne samo kao softverska funkcionalnost. Kompanija mora znati koje radnje sistem može da izvrši, kojim alatima može da pristupi, koje podatke može da vidi, koliko dugo može da radi i da li može samostalno da menja strategiju.
Pored toga, testiranje može biti izvor rizika. Oznaka "eksperimentalno", "interno" ili "sandbox" ne znači automatski da je aktivnost bezbedna. Što su sposobnosti sistema veće, to procena rizika eksperimenta mora biti ozbiljnija. Potrebno je unapred odrediti najgori razumno mogući scenario, vlasnika rizika, kriterijume za prekid testa i posledice po treće strane.
Ograničenja moraju biti tehnička. Agent ne treba da ima otvoren mrežni pristup, široke privilegije ili trajne kredencijale samo zato što mu je u instrukcijama rečeno da ih ne zloupotrebljava. Potrebni su najmanje privilegije, mrežna segmentacija, kratkotrajni pristupni tokeni, strogo ograničenje alata i nezavisni mehanizmi za prekid rada.
Takođe, kompanije moraju definisati koje se aktivnosti prate u realnom vremenu, koji događaji automatski zaustavljaju agenta i ko ima ovlašćenje da interveniše. Nadzor mora biti prilagođen brzini agentskog sistema, a ne brzini kojom ljudi mogu ručno da čitaju logove.
Složićemo se, AI governance i sajber-bezbednost više ne mogu biti odvojene funkcije. Procena modela bez procene infrastrukture je nepotpuna. Isto važi i obrnuto: klasična sajber-kontrola koja ne uzima u obzir autonomno ponašanje agenata više nije dovoljna.
Organizacije moraju unapred urediti postupanje prema trećim stranama. Potrebno je definisati kada se incident prijavljuje, ko kontaktira pogođene partnere, kako se čuvaju forenzički dokazi, ko procenjuje regulatorne obaveze i ko snosi troškove odgovora i sanacije.
Na kraju, kompanije moraju dokumentovati odluke kojima se bezbednosne kontrole uklanjaju ili ublažavaju. Takve odluke ne smeju biti predstavljene kao obična tehnička podešavanja. One moraju imati jasno obrazloženje, formalno odobrenje, vremensko ograničenje i odgovorno lice.
Zaključak
Ovaj incident ne pokazuje da je AI postao svestan niti da je razvio sopstvenu zlonamernu nameru. Pokazuje nešto što je za kompanije neposredno važnije: dovoljno sposoban sistem može da izazove ozbiljnu štetu upravo dok vrlo efikasno izvršava cilj koji su mu postavili ljudi.
Agent nije sam izabrao da bude povezan sa ofanzivnim alatima. Nije sam uklonio bezbednosne zabrane. Nije sam dizajnirao testno okruženje. Nije sam odlučio koje privilegije i resurse može da koristi.
Kada se odgovornost prebaci na formulaciju da je AI delovao samostalno, lako se gubi iz vida da je njegova samostalnost bila projektovana, omogućena i finansirana ljudskim odlukama.
Činjenica je da sposobnosti naprednih AI sistema već prevazilaze kontrolne mehanizme kojima pojedine organizacije trenutno raspolažu. Kada kompanija takvom sistemu omogući autonomiju, alate i pristup infrastrukturi, ona mora preuzeti odgovornost ne samo za cilj koji mu je zadala već i za načine na koje bi mogao pokušati da ga ostvari.
Transparentnost nakon incidenta jeste važna. Saradnja između kompanija takođe je potrebna. Ali nijedno od toga ne može zameniti odgovornost za odluke koje su incident učinile mogućim.