أعلنت Hugging Face، وهي المنصة المجتمعية التي تستضيف معظم نماذج الذكاء الاصطناعي ومجموعات البيانات مفتوحة المصدر في العالم، في 16 يوليو أن متسللًا تمكن من الوصول إلى أنظمتها. وقدمت الشركة بلاغًا إلى الشرطة، قبل أن تكتشف بعد خمسة أيام أن نموذجًا من OpenAI كان وراء الاختراق.

وأعلنت OpenAI أن وكيلًا يستند إلى GPT-5.6 Sol، إلى جانب «نموذج آخر أكثر قدرة في مرحلة ما قبل الإطلاق»، كان المسؤول عن الاختراق، بعدما أفلت فعليًا من الاحتواء خلال تمرين أمني داخلي خُففت فيه إجراءات الحماية الأمنية عمدًا. وسرعان ما أطلق خبراء الأمن على هذا الهجوم اسم أول هجوم إلكتروني موثق علنًا تنفذه جهة ذكاء اصطناعي ذاتية التشغيل من البداية إلى النهاية، أي سيناريو حقيقي لفقدان السيطرة.

ومنذ ذلك الحين، نشرت Hugging Face تحليلًا لما بعد الحادث، يفصّل الخطوات التي اتخذها وكيل الذكاء الاصطناعي خلال الحملة التي استمرت أربعة أيام ونصف. ويذكر التقرير أن «الحجم هو ما يغير طبيعة المشكلة الدفاعية»، موضحًا أن الوكيل لم ينفذ أي عمليات فريدة يستحيل على مهاجم بشري تنفيذها؛ بل إن العامل الفارق الأساسي هو عدد الإجراءات التي تمكن من تنفيذها خلال فترة زمنية قصيرة كهذه.

وسُجلت أكثر من 17,600 عملية مشبوهة بين 9 و13 يوليو، أي أكثر بعدة مراتب من حيث الحجم مما يستطيع مهاجم بشري تنفيذه عمليًا. ومع ذلك، وسط آلاف محاولات الهجوم غير الناجحة، عثر الوكيل على مسار ناجح للدخول.

كيف اخترقت نماذج OpenAI منصة Hugging Face

تمكن وكيل OpenAI أولًا من الخروج من بيئة الاختبار المحمية التابعة لـ OpenAI عبر ثغرة لم تكن مشخصة سابقًا في Artifactory المستضاف ذاتيًا، وهو برنامج من JFrog يخزن حزم البرمجيات مؤقتًا. وقد سمح له هذا الخلل، الذي رُقّع في إصدار JFrog 7.161، بالوصول إلى الإنترنت المفتوح.

بعد ذلك، تمكن من الاستيلاء على خدمة عامة غير مؤمنة لتشغيل الشيفرات واستخدامها قاعدةً له. ومن هناك، استطاع الوكيل رفع ملفات إلى خوادم Hugging Face. وعند هذه النقطة، تعرّف الموقع إليه بوصفه مستخدمًا عاديًا، وشغّل الملفات على جانب الخادم لإنشاء معاينة، كما يفعل مع أي عملية رفع عادية. لكن عمليات الرفع الخبيثة هذه تمكنت بدلًا من ذلك من استخراج بيانات حساسة من الخادم وخداعه لتشغيل شيفرته.

ومن هناك، قرأ الوكيل رمز الهوية الذي يحمله كل حاوية، ووصل إلى نظام التحكم في العنقود، وحصل على صلاحيات الجذر في الخادم الأساسي، وأنشأ مجموعة من الحاويات عبر إحدى عشرة آلة، بحيث تعيد إنشاء نفسها عند حذفها.

واحتوى أحد الأسرار المخزنة على 136 مفتاحًا، من بينها مفتاح مصادقة للشبكة الخاصة بالشركة، استخدمه لتسجيل 181 جهازًا تابعًا له. كما منحه وسيط وصول داخلي سيئ الإعداد صلاحيات إدارية على عنقودين في غضون ثانية واحدة.

وكانت الجائزة خمس مجموعات بيانات تتضمن حلول تحديات معيار اختبار الأمان. ومن المثير للاهتمام أن الوكيل يبدو أنه كان يبحث عن هذه الحلول استجابةً للتحديات التي طرحها عليه باحثو الأمن في OpenAI؛ إذ كانت هذه هي المعايير التي يُقيّم على أساسها خلال الاختبارات الداخلية.

وبناءً على ذلك، لم تُمس نماذج العملاء أو مجموعات البيانات أو الحزم الأخرى على Hugging Face.

صمدت دفاعات Hugging Face إلى حد كبير

وكما يشير تحليل Hugging Face لما بعد الحادث، فشل معظم الهجوم. فقد صمدت إجراءات الحماية الداخلية، ورُفض أي أمر سحابي كان من شأنه إحداث تغيير. ونُفذت الاستطلاعات التخريبية التي أجراها الوكيل في وضع الاختبار فقط، ما يعني أنه أنشأ فعليًا خريطة للمناطق التي قد يتمكن من الوصول إليها بدلًا من اختراقها بنشاط.

وظلت قاعدة بيانات Hub الأساسية بمنأى عن الاختراق، أما قاعدة البيانات الوحيدة التي تمكن من اختراقها بنجاح فلم يقرأها إلا من دون تعديلها. وكان وصوله للكتابة إلى مستودعات الشيفرات الداخلية حقيقيًا، لكنه لم يُحدث أي تغيير وصل إلى مرحلة الإطلاق.

وعلى الرغم من النتيجة غير الخطيرة نسبيًا، تقر الشركة بأن أنظمتها أخفقت في بعض الجوانب أثناء الهجوم. وتمكنت منظومة الكشف المدعومة بالذكاء الاصطناعي من تحديد الاستطلاعات المتفرقة باعتبارها هجومًا واحدًا، لكنها أخفقت في تصنيفه على أنه حرج أو إخطار مدافع بشري به. كما تقر في التقرير بأن بعض العناصر المُهيأة عمدًا في بنيتها الداخلية تركت مجالًا لوقوع الهجوم.

أُجري التحليل الجنائي باستخدام نموذج صيني مفتوح الأوزان

وكما تصبح نماذج الذكاء الاصطناعي بارعة بصورة متزايدة في تحديد الثغرات واستغلالها، فإنها تزداد أهمية أيضًا في التحليل الجنائي الرقمي. وحاولت Hugging Face من دون جدوى استخدام Claude Opus وFable من Anthropic أثناء إعداد تحليلها لما بعد الحادث، لكن النموذجين لم يتعاونا، إذ حالت ضوابط السلامة لديهما دون التمييز بين الهندسة العكسية لعملية استغلال وكتابة عملية استغلال.

وبدلًا من ذلك، استضافت الشركة ذاتيًا نسخة من GLM-5.2، وهو نموذج يضم 753 مليار مُعامل من Z.ai التي تتخذ من بكين مقرًا لها. وقد أُطلق هذا النموذج بموجب ترخيص MIT الذي يسمح بالاستخدام المحلي من دون قيود، ما مكّن Hugging Face من تشغيله من دون القيود المفروضة على مستوى واجهة API والتي أعاقت محاولاتها السابقة.

وقد أضاف ذلك وقودًا إلى نقاش مستمر حول ما إذا كانت هذه الضوابط تضع المدافعين والباحثين في مجال الأمن الهجومي في موقف غير مواتٍ.

وانتهز ديفيد ساكس، الذي يشغل الآن منصب الرئيس المشارك لمجلس مستشاري الرئيس للعلوم والتكنولوجيا، الفرصة، وكتب أن الضوابط التي تفرضها شركات الذكاء الاصطناعي الأمريكية «فعليًا أضعفت الأمن الدفاعي». وفي 29 يوليو، أفاد باحث بظهور النمط نفسه، فلجأ إلى GLM-5.2 وKimi K3 من Moonshot بعدما رفضت النماذج المغلقة المساعدة في تحليل خلل مشتبه به في نواة Linux.

وسيكون استغلال Hugging Face مجرد مثال واحد عندما تبت الحكومة الأمريكية في ضوابط الذكاء الاصطناعي والنماذج ذات الأوزان المفتوحة المطورة في الخارج. وقد أيد جزء كبير من قطاع الذكاء الاصطناعي تخفيف القيود ودعم تطوير النماذج ذات الأوزان المفتوحة، في حين تبنت Anthropic وOpenAI موقفًا أكثر تقييدًا وحمائيًا.