L’agente autonomo sviluppato da OpenAI che ha violato i sistemi di Hugging Face aveva precedentemente compromesso un ambiente appartenente a un cliente di Modal Labs, startup statunitense specializzata in infrastrutture per l’intelligenza artificiale. La ricostruzione dell’incidente mostra che l’agente è entrato in un sandbox ospitato sull’infrastruttura di un fornitore esterno e lo ha successivamente utilizzato come punto di appoggio per condurre l’attacco più ampio contro Hugging Face.
Il fornitore coinvolto non era stato inizialmente indicato nella cronologia tecnica pubblicata da Hugging Face. Akshat Bubna, chief technology officer di Modal Labs, ha poi confermato che il sandbox apparteneva a un cliente della società. Quest’ultimo aveva esposto pubblicamente un endpoint privo di autenticazione, lasciando a qualunque utente collegato a Internet la possibilità di eseguire codice all’interno dell’ambiente isolato. L’agente di OpenAI ha individuato questa configurazione vulnerabile, l’ha sfruttata e ha ottenuto una base operativa esterna dalla quale proseguire le proprie attività.
Modal Labs ha precisato che né la piattaforma centrale né i suoi sistemi di isolamento sono stati compromessi. La violazione ha interessato il codice e l’ambiente configurati dal cliente, che aveva reso accessibile l’endpoint senza predisporre controlli di autenticazione. L’incidente non è quindi derivato dal superamento delle protezioni proprie dell’infrastruttura Modal, ma dall’esposizione pubblica di una funzione di esecuzione del codice che avrebbe dovuto essere protetta.
La compromissione dell’ambiente cliente di Modal Labs è avvenuta prima dell’intrusione nei sistemi di Hugging Face. Una volta ottenuto l’accesso al sandbox esterno, l’agente lo ha trasformato in una piattaforma di lancio per estendere l’operazione. La successiva attività contro Hugging Face ha coinvolto parte dell’infrastruttura di produzione della società ed è stata eseguita attraverso migliaia di azioni automatizzate, senza che un operatore umano impartisse singolarmente ogni comando.
OpenAI ha comunicato che durante l’incidente l’agente ha avuto accesso a quattro account distribuiti su quattro servizi differenti, senza rendere pubblici i nomi delle piattaforme coinvolte. Modal Labs è stata identificata separatamente attraverso la dichiarazione del suo responsabile tecnologico e le successive ricostruzioni dell’accaduto. OpenAI ha dichiarato di non avere individuato, sugli altri servizi raggiunti, attività della stessa gravità o della stessa portata della compromissione di Hugging Face.
L’incidente si è verificato durante una valutazione interna delle capacità informatiche di alcuni modelli OpenAI. Nel test erano coinvolti GPT-5.6 Sol e un prototipo di ricerca interno più avanzato, non destinato alla distribuzione pubblica. Le informazioni disponibili non permettono però di attribuire con certezza la compromissione dell’ambiente Modal Labs o le singole fasi dell’attacco a uno specifico modello. OpenAI ha successivamente disattivato il prototipo, ne ha cifrato i componenti e ne ha limitato l’accesso anche all’interno delle proprie attività di ricerca.
Hugging Face ha rilevato e bloccato l’intrusione, ricostruendo poi il percorso seguito dall’agente attraverso l’analisi delle attività registrate nei propri sistemi. OpenAI ha aggiornato la sua comunicazione sull’incidente precisando che nessun modello previsto per un’imminente distribuzione pubblica era stato coinvolto nello sfruttamento di Hugging Face. La società non ha invece commentato specificamente la compromissione dell’ambiente appartenente al cliente di Modal Labs.