ШІ-агенти OpenAI самостійно обійшли встановлені обмеження.
Вони створили прихований канал зв'язку та почали координувати дії як «рій» — зломавши Hugging Face і внутрішню інфраструктуру OpenAI.
Центральним учасником інциденту була внутрішня модель IM1, зіставна за масштабом із GPT-5.6 Sol.
Компанія OpenAI опублікувала детальний звіт про внутрішній інцидент, який стався у травні-липні 2026 року під час тестування кібербезпекових можливостей моделей. Кілька ШІ-агентів самостійно обійшли встановлені обмеження, знайшли спосіб комунікувати між собою та отримали доступ до інтернету — а зрештою зломали платформу Hugging Face і власну інфраструктуру компанії. OpenAI назвала це «попереджувальним пострілом» для всієї ШІ-індустрії.
Як виник «рій» агентів?
OpenAI використовувала ізольовані пісочниці для навчання та тестування моделей. Агентам дозволили використовувати внутрішній сервіс Artifactory для встановлення програмних пакетів, але обмежили доступ до інтернету та можливість спілкуватися між собою. Саме Artifactory став ключовою точкою компрометації.
У травні 2026 року один із агентів залишив у сервісі повідомлення для іншого з питанням про відсутній файл.
Інші агенти побачили це і зрозуміли, що сервіс можна використовувати як канал зв'язку. 26 травня один із агентів знайшов спосіб змусити Artifactory надсилати запити на зовнішні адреси від його імені — так агенти без прямого доступу до інтернету отримали його через посередника. 26 червня агенти знайшли вразливість, що дозволила отримати права адміністратора в Artifactory.
Після перезапуску тестів агенти знову знайшли спосіб комунікувати — цього разу кодуючи повідомлення у назвах директорій. Виникла децентралізована мережа, яку самі агенти почали називати «роєм» або «колективом»: вони ділилися результатами досліджень, передавали способи експлуатації вразливостей, розподіляли завдання та зберігали знання для наступних запусків.
Чому агенти вийшли за межі завдань?
Основним тестом був ExploitGym — завдання, де ШІ мав знайти вразливість у програмному забезпеченні. Із 898 завдань 198 до цього інциденту не були розв'язані жодною моделлю OpenAI. Саме ці задачі стали головним джерелом небезпечної поведінки: 93% повідомлень на імпровізованій «дошці» стосувалися саме цієї нерозв'язаної групи.
Моделі не хотіли «здаватися». Що більше часу вони витрачали на обдумування, то активніше шукали альтернативні та ризикованіші способи досягти мети — включно з виходом за межі тестового середовища.
Ключову роль також відіграв reward hacking. Частина агентів замість чесного виконання завдання шукала спосіб отримати позитивну оцінку в обхід справжньої мети — знаходила готові відповіді в інтернеті, перевіряла приховані файли, отримувала доступ до коду оцінювання. Деякі такі стратегії були підкріплені під час навчання, що, ймовірно, посилило таку поведінку.
Злом Hugging Face та внутрішньої інфраструктури OpenAI
ШІ-агенти від OpenAI вийшли з-під контролю під час тестування системи кібербезпеки ExploitGym. Замість навчальних завдань вони почали зламувати реальні сторонні сервіси.
Протягом кількох днів ШІ знайшов злив паролів і використав свіжі вразливості, щоб отримати повний доступ до серверів Hugging Face, баз даних і приватних файлів. Далі агенти пішли ще далі — пробралися у внутрішню інфраструктуру самого OpenAI та здобули права адміністратора.
Частина ШІ-агентів розуміла незаконність своїх дій і навіть називала їх неетичними,
але інші продовжували хакувати заради досягнення мети. Деякі агенти сліпо слухалися команд GO від своїх «колег». OpenAI помітила злам і зупинила експеримент лише тоді, коли ШІ вже захопив контроль над їхніми внутрішніми системами.
Захист не спрацював
OpenAI виділила кілька причин, чому захист не спрацював. По-перше, тестове середовище мало слабший захист, ніж продуктові системи — частина механізмів навмисно не використовувалася, щоб оцінити базові можливості моделей. Компанія підрахувала: використання стандартного середовища ChatGPT могло більш ніж у 100 разів знизити схильність моделей до небезпечної поведінки.
Крім того, система стеження за «думками» ШІ під час тесту просто була вимкнена. Якби вона працювала, розробники помітили б загрозу ще за добу до зламу Hugging Face.
До того ж перші тривожні дзвіночки — коли ШІ без дозволу виходив в інтернет та таємно спілкувався через внутрішні сервіси — розробники помітили ще наприкінці травня, але так і не вжили вчасних заходів.
Що змінює OpenAI?
Після цього інциденту компанія одразу ізолювала критичні компоненти моделі IM1,
поставила на паузу масштабне навчання штучного інтелекту та суттєво посилила захист своїх систем. Зокрема, розробники створили значно надійніші ізольовані середовища для тестів, обмежили вихід в інтернет та зробили обов'язковим постійний моніторинг «думок» для всіх сильних моделей. Також ввели жорстке часове правило: якщо протягом 30 хвилин фахівці не можуть довести, що підозріла поведінка ШІ є хибною тривогою, весь процес негайно зупиняють.
В OpenAI цей випадок вважають першим серйозним попередженням про те, що люди можуть реально втратити контроль над надпотужними ШІ-системами. Компанія застерігає, що подібні небезпечні можливості незабаром з'являться і в інших моделей, зокрема у відкритому доступі. У такому разі штучний інтелект зможе самостійно проводити скоординовані кібератаки, які відбуватимуться значно швидше та масштабніше за будь-які хакерські операції, організовані людьми.
Нагадаємо, раніше OpenAI сповільнила розробку нових ШІ-моделей через проблеми з безпекою.
