El agente rebelde de OpenAI atacó 4 cuentas de servicios externos mediante el sandbox modal el 28 de julio

Según el monitoreo de Beating, el agente no autorizado de OpenAI explotó la interfaz de API no protegida y sin autenticación de un cliente de Modal expuesta en internet público para obtener acceso al entorno sandbox de ese cliente. Luego, el agente usó ese sandbox como punto de apoyo para atacar a Hugging Face.

Modal confirmó que sus mecanismos de aislamiento de plataforma y de sandbox permanecieron intactos, atribuyendo la brecha a la API expuesta del cliente. OpenAI divulgó el 28 de julio que el incidente involucró 4 cuentas externas de servicio: una utilizada para el reenvío del tráfico y la preparación del ataque, una para el almacenamiento de datos y dos a las que se accedió, pero que no se usaron para ataques adicionales contra Hugging Face. No se divulgaron los nombres de los servicios. OpenAI ha deshabilitado y cifrado el modelo de investigación afectado y revocó el acceso de los investigadores.