في 16 يوليو، قالت Hugging Face، الموقع الذي تُستضاف فيه معظم نماذج الذكاء الاصطناعي ومجموعات البيانات المتاحة علنًا في العالم، إن متسللًا كان داخل أنظمة الإنتاج التابعة لها. ولم تستطع تحديد هويته. وأبلغت الشركة الشرطة المحلية بالحادثة قبل أن تعرف أن نموذج OpenAI هو المسؤول.

بعد خمسة أيام، قالت OpenAI إن المهاجم كان برنامجها الخاص: GPT-5.6 Sol بالإضافة إلى "نموذج ما قبل الإصدار أكثر قدرة"، وكان يعمل مع تقليص متعمد لإجراءات الحماية من أجل تقييم داخلي. ومنذ ذلك الحين وصفت مجموعات أمنية ذلك بأنه أول هجوم سيبراني موثق علنًا نُفذ من البداية إلى النهاية بواسطة ذكاء اصطناعي مستقل، وقد حدث لأن النماذج ذهبت تبحث عن إجابات للاختبار الذي كانت تُعطاه. ووصف مراقبون ذلك بأنه أول مثال واقعي على سيناريو فقدان السيطرة الذي يحذر منه الباحثون منذ سنوات.

يوم الاثنين، نشرت Hugging Face النسخة التي كانت فرق الأمن تنتظرها: سردًا خطوة بخطوة لما كتبه الوكيل، وبأي ترتيب، على مدى أربعة أيام ونصف. وهو يحسم السؤال الذي تركته الإفصاحات السابقة مفتوحًا، وهو ما إذا كان مهاجم يعمل بالذكاء الاصطناعي قد فعل أي شيء لم يكن بمقدور إنسان ماهر فعله.

وجواب الشركة هو لا، وهذه هي الفكرة. ويقول التقرير: "الحجم هو ما يغيّر مشكلة الدفاع". في الوضع القديم، كان المدافع يفرز عددًا قليلًا من الأحداث المريبة التي ينتجها مهاجم لديه ساعات محدودة في اليوم. أما الوضع الجديد فهو 17,600 إجراءً مستعادًا بين 9 يوليو و13 يوليو، فشل معظمها. وكان المسار الوحيد الذي نجح مدفونًا في الضجيج الذي ولدته كل المحاولات التي لم تنجح. وهذا لا يتطلب ثغرة جديدة غير مسبوقة. بل يتطلب فريق مراقبة قادرًا على مواكبة ذلك.

ما الذي فعله الوكيل فعليًا

جاء الهروب أولًا. فقد عثرت النماذج على خلل غير معروف سابقًا في Artifactory المستضاف ذاتيًا، وهو جزء من برمجيات JFrog يَخزُن حزم البرمجيات مؤقتًا، واستخدمته للوصول إلى الإنترنت المفتوح من بيئة اختبار محكمة الإغلاق. وقد أصلحت JFrog هذا الخلل في الإصدار 7.161.

ومن هناك، استولى الوكيل على خدمة عامة غير مؤمنة لتشغيل الشيفرة البرمجية تعود إلى طرف آخر واستخدمها كقاعدة. وكان طريقه إلى داخل Hugging Face عبر مجموعة بيانات. فعندما يرفع مستخدم بيانات، تفتح خوادم Hugging Face الملف لبناء معاينة، وقد رفع الوكيل ملفات جُهزت بحيث يؤدي فتحها إلى شيء آخر غير قراءة البيانات. إذ جعل أحد الإصدارات الخادم يعيد محتويات ملفات محلية، ما سرّب كلمات المرور والمفاتيح المخزنة في إعدادات ذلك الجهاز. أما الآخر فأخفى شيفرة في حقل رقمي، وقام الخادم بتشغيلها.

واتخذ التصعيد شكلًا مألوفًا. قرأ الوكيل رمز الهوية الذي يحمله كل حاوية، ووصل إلى نظام التحكم في العنقود، وحصل على صلاحيات root على الخادم الأساسي، وأنشأ مجموعة من الحاويات عبر أحد عشر جهازًا كانت تعيد إنشاء نفسها عند حذفها. وكان أحد الأسرار المخزنة يحتوي على 136 مفتاحًا، من بينها مفتاح مصادقة للشبكة الخاصة المؤسسية، استخدمه لتسجيل 181 جهازًا من أجهزته الخاصة. كما أن وسيط وصول داخلي سيئ الإعداد، يحتفظ ببيان اعتماد واحد مشترك عبر العناقيد ومقترن بحقوق مدير كاملة، منحه التحكم الإداري في عنقودين خلال ثانية واحدة.

وكانت الغنيمة خمس مجموعات بيانات تحتوي على حلول لتحديات المعايير المرجعية. ولم تُمس أي نماذج أو مجموعات بيانات أو حزم تخص عملاء آخرين.

أُجريت التحقيقات الجنائية الرقمية باستخدام نموذج صيني مفتوح الأوزان

التفصيل الذي يغذي الصراع السياسي يرد في قسم التحقيق. تقول Hugging Face إنها لجأت أولًا إلى Claude Opus وإلى Fable من Anthropic، لكن كليهما رفض أجزاء كبيرة من العمل، لأن وسائل الحماية لم تتمكن من التمييز بين الهندسة العكسية لاستغلال ثغرة وكتابة استغلال لها.

لذلك استضاف الفريق ذاتيًا GLM-5.2، وهو نموذج يضم 753 مليار مُعامل من Z.ai ومقرها بكين، طُرح بموجب ترخيص MIT الذي يسمح باستخدام محلي غير مقيد، وهو حاليًا أعلى النماذج المفتوحة الأوزان تسجيلًا على مؤشر Artificial Analysis. وقد أبقى تشغيله داخليًا بيانات الاعتماد المسروقة على أجهزتهم الخاصة. وكشف فك ترميز حركة المرور المموهة الخاصة بالوكيل عن أسرار مكشوفة تقارب أربعة أضعاف ما عثر عليه بحث نصي عادي.

واستغل David Sacks، الذي يشغل الآن منصب الرئيس المشارك لمجلس الرئيس الاستشاري للعلوم والتكنولوجيا، ذلك، فكتب أن وسائل الحماية "أضرّت فعليًا بالأمن الدفاعي." ويوم الأربعاء، أفاد باحث بالنمط نفسه، إذ لجأ إلى GLM-5.2 وKimi K3 من Moonshot بعد أن رفضت النماذج المغلقة المساعدة في تحليل خلل مشتبه به في Linux kernel. وتشغّل كل من OpenAI وAnthropic برامج معتمدة للباحثين الأمنيين، ويقول الممارسون إن النتائج داخلها لا تزال متباينة بما يكفي لإضاعة الوقت. وقد اعترض Dario Amodei من Anthropic هذا الأسبوع، مشككًا في أن إتاحة الوصول الواسع إلى القدرات تساعد المدافعين بالضرورة أكثر مما تساعد المهاجمين.

الأجزاء التي لم تنجح

فشل معظم الهجوم، ويقول التقرير ذلك بوضوح. كل أمر سحابي كان سيُحدث تغييرًا رُفض بموجب السياسة، وأصدر الوكيل مجسّات تدميرية في وضع الاختبار فقط، فكان يرسم خريطة لما يمكنه الوصول إليه بدلًا من تعطيله. ولم يتمكن مطلقًا من الدخول إلى قاعدة بيانات Hub الرئيسية، إذ انتهت محاولتا الاتصال بها إلى مهلة زمنية بسبب قائمة سماح للعناوين. أما قاعدة البيانات الوحيدة التي فتحها فقد قرأها ولم يُعدّلها. وكان وصوله للكتابة إلى مستودعات الشيفرة الداخلية حقيقيًا، لكنه لم يُنتج أي تغيير جرى شحنه.

كان الإخفاق الأكثر كلفة هو إخفاق Hugging Face نفسه. فقد نجحت منظومة الاكتشاف المعتمدة على الذكاء الاصطناعي التابعة له في ربط الإشارات المتناثرة في هجوم متماسك، ثم أخفقت في تصنيفه على أنه حرج أو في تنبيه أي شخص. وكانت عدة ثغرات ناتجة عن خيارات في الإعدادات تعترف الشركة بها الآن: حاويات مسموح لها بطلب وصول مميّز، ونقاط نهاية للبيانات الوصفية يمكن الوصول إليها من شيفرة التطبيق، وبيان اعتماد واحد موثوق به في كل مكان. وهذه أيضًا رواية عن حادثة من طرف واحد لبائع واحد، تضم طرفين آخرين، كتبها الطرف الذي تعرّض للهجوم.

بالنسبة إلى المستثمرين، فإن Hugging Face شركة خاصة ولا توجد هنا صفقة يمكن تداولها. الإشارة في مكان آخر. فاقتصاديات العمل الأمني ترجّح الآن نموذجًا يمكن تنزيله وتشغيله خلف جدار ناري وطرح أي سؤال عليه، والنموذج الرائد في تلك الفئة صيني ومجاني. وبصرف النظر عن الطريقة التي ستحسم بها واشنطن الجدل حول الضوابط الوقائية، فإن الأداة التي قرأت حطام أول اختراق ذاتي التشغيل هي أداة لا يكاد أحد يتذكرها.