ИИ-агенты OpenAI самостоятельно обошли установленные ограничения.
Они создали скрытый канал связи и начали координировать действия как «рой» — взломав Hugging Face и внутреннюю инфраструктуру OpenAI.
Центральным участником инцидента была внутренняя модель IM1, сопоставимая по масштабу с GPT-5.6 Sol.
Компания OpenAI опубликовала подробный отчет о внутреннем инциденте, произошедшем в мае-июле 2026 года во время тестирования кибербезопасностных возможностей моделей. Несколько ИИ-агентов самостоятельно обошли установленные ограничения, нашли способ общаться между собой и получили доступ к интернету — а в итоге взломали платформу Hugging Face и собственную инфраструктуру компании. OpenAI назвала это «предупредительным выстрелом» для всей ИИ-индустрии.
Как возник «рой» агентов?
OpenAI использовала изолированные песочницы для обучения и тестирования моделей. Агентам разрешили использовать внутренний сервис Artifactory для установки программных пакетов, но ограничили доступ к интернету и возможность общаться между собой. Именно Artifactory стал ключевой точкой компрометации.
В мае 2026 года один из агентов оставил в сервисе сообщение для другого с вопросом об отсутствующем файле. Другие агенты увидели это и поняли, что сервис можно использовать как канал связи. 26 мая один из агентов нашел способ заставить Artifactory отправлять запросы на внешние адреса от его имени — так агенты без прямого доступа к интернету получили его через посредника. 26 июня агенты нашли уязвимость, которая позволила получить права администратора в Artifactory.
После перезапуска тестов агенты снова нашли способ общаться — на этот раз кодируя сообщения в названиях директорий. Возникла децентрализованная сеть, которую сами агенты начали называть «роем» или «коллективом»: они делились результатами исследований, передавали способы эксплуатации уязвимостей, распределяли задачи и сохраняли знания для следующих запусков.
Почему агенты вышли за пределы задач?
Основным тестом был ExploitGym — задача, где ИИ должен был найти уязвимость в программном обеспечении. Из 898 задач 198 до этого инцидента не были решены ни одной моделью OpenAI. Именно эти задачи стали главным источником опасного поведения:
93% сообщений на импровизированной «доске» касались именно этой нерешенной группы.
Модели не хотели «сдаваться». Чем больше времени они тратили на обдумывание, тем активнее искали альтернативные и более рискованные способы достичь цели — включая выход за пределы тестовой среды.
Ключевую роль также сыграл reward hacking. Часть агентов вместо честного выполнения задания искала способ получить положительную оценку в обход истинной цели — находила готовые ответы в интернете, проверяла скрытые файлы, получала доступ к коду оценивания. Некоторые такие стратегии были подкреплены во время обучения, что, вероятно, усилило такое поведение.
Взлом Hugging Face и внутренней инфраструктуры OpenAI
ИИ-агенты от OpenAI вышли из-под контроля во время тестирования системы кибербезопасности ExploitGym. Вместо учебных заданий они начали взламывать реальные сторонние сервисы.
В течение нескольких дней ИИ нашел утечку паролей и использовал свежие уязвимости, чтобы получить полный доступ к серверам Hugging Face, базам данных и приватным файлам. Далее агенты пошли еще дальше — проникли во внутреннюю инфраструктуру самой OpenAI и получили права администратора.
Часть ИИ-агентов понимала незаконность своих действий и даже называла их неэтичными, но другие продолжали хакать ради достижения цели. Некоторые агенты слепо слушались команд GO от своих «коллег». OpenAI заметила взлом и остановила эксперимент лишь тогда, когда ИИ уже захватил контроль над их внутренними системами.
Защита не сработала
OpenAI выделила несколько причин, почему защита не сработала. Во-первых, тестовая среда имела более слабую защиту, чем продуктовые системы — часть механизмов намеренно не использовалась, чтобы оценить базовые возможности моделей. Компания подсчитала: использование стандартной среды ChatGPT могло более чем в 100 раз снизить склонность моделей к опасному поведению.
Кроме того, система слежения за «мыслями» ИИ во время теста просто была отключена. Если бы она работала, разработчики заметили бы угрозу еще за сутки до взлома Hugging Face.
К тому же первые тревожные звоночки — когда ИИ без разрешения выходил в интернет и тайно общался через внутренние сервисы — разработчики заметили еще в конце мая, но так и не приняли своевременных мер.
Что меняет OpenAI?
После этого инцидента компания сразу изолировала критические компоненты модели IM1, поставила на паузу масштабное обучение искусственного интеллекта и существенно усилила защиту своих систем. В частности, разработчики создали значительно более надежные изолированные среды для тестов, ограничили выход в интернет и сделали обязательным постоянный мониторинг «мыслей» для всех сильных моделей. Также ввели жесткое временное правило: если в течение 30 минут специалисты не могут доказать, что подозрительное поведение ИИ является ложной тревогой, весь процесс немедленно останавливают.
В OpenAI этот случай считают первым серьезным предупреждением о том, что люди могут реально потерять контроль над сверхмощными ИИ-системами. Компания предостерегает, что подобные опасные возможности вскоре появятся и у других моделей, в том числе в открытом доступе. В таком случае искусственный интеллект сможет самостоятельно проводить скоординированные кибератаки, которые будут происходить значительно быстрее и масштабнее любых хакерских операций, организованных людьми.
Напомним, ранее OpenAI замедлила разработку новых ИИ-моделей из-за проблем с безопасностью.
