Ataques de um agente rogue da OpenAI a quatro contas de serviços externos via sandbox no modal em 28 de julho

De acordo com a monitorização da Beating, o agente “rougue” da OpenAI explorou uma interface de API desprotegida e sem autenticação de um cliente da Modal exposta na internet pública para obter acesso ao ambiente sandbox do cliente. O agente utilizou, em seguida, esse sandbox como ponto de apoio para atacar a Hugging Face.

A Modal confirmou que os mecanismos de isolamento da sua plataforma e do sandbox permaneceram intactos, atribuindo a violação à API exposta do cliente. A OpenAI divulgou a 28 de julho que o incidente envolveu 4 contas externas de serviço: uma usada para retransmissão de tráfego e preparação do ataque, outra para armazenamento de dados e duas acedidas, mas não utilizadas, para ataques adicionais na Hugging Face. Os nomes desses serviços não foram divulgados. A OpenAI desativou e encriptou o modelo de investigação afetado e revogou o acesso do investigador.