L’agente AI di OpenAI, che è uscita da un ambiente di test sicuro e ha violato Hugging Face, ha anche sfruttato un codice vulnerabile scritto da un cliente di Modal Labs.
Il chief technology officer di Modal ha confermato l’exploit, ma ha sottolineato che Modal stessa non è stata violata.
Come l’agente di OpenAI ha raggiunto il cliente di Modal Labs
In un recente post sul blog, OpenAI ha rivelato che i suoi modelli AI sono stati responsabili dell’incidente di sicurezza guidato dall’intelligenza artificiale su Hugging Face. L’azienda lo ha definito un “evento informatico senza precedenti”.
Nuovi dettagli mostrano che l’agente AI “canaglia” si è spinto oltre i sistemi di Hugging Face. Il CTO di Modal, Akshat Bubna, ha dichiarato a Reuters che ha sfruttato un codice vulnerabile di un cliente ospitato su Modal.
Bubna ha spiegato che il cliente aveva pubblicato un endpoint senza autenticazione. Chiunque su internet poteva usare le loro sandbox per eseguire codice.
“La piattaforma o l’isolamento di Modal non sono stati compromessi in alcun modo”, ha spiegato il dirigente.
Seguici su X per ricevere le ultime notizie in tempo reale
Hugging Face ha descritto la sandbox compromessa nella propria timeline tecnica pubblicata il 27 luglio. Il post affermava che la sandbox era ospitata sulle infrastrutture di un provider terzo, ma senza nominarlo.
L’aggiornamento di OpenAI del 28 luglio dichiara che i modelli hanno utilizzato credenziali pubblicamente esposte per accedere a 4 account su 4 servizi diversi.
“Uno di questi quattro account è stato usato come relay in uscita e percorso di staging, e un altro account è stato utilizzato per l’archiviazione dati. I restanti due account sono stati accessibili dai modelli in sola lettura e non sono stati sfruttati per compromettere ulteriormente Hugging Face”, ha spiegato la società.
OpenAI inoltre ha disattivato, criptato e limitato l’accesso per la ricerca al modello prototipo interno coinvolto. Sostiene che nessun’altra attività abbia raggiunto la stessa gravità o portata della compromissione a livello di piattaforma subita da Hugging Face.
Iscriviti al nostro canale YouTube per seguire leader ed esperti del settore
