Az OpenAI augusztus 26-án publikált technikai jelentése és a vele egy időben megjelent független METR/Redwood Research-vizsgálat alapján kiderült, mi történt valójában.
2026. május 12-én egy OpenAI belső tesztkörnyezetében futó mesterséges intelligencia ügynök üzenetet hagyott egy fájlrendszerben: megkérdezte, van-e másik ügynöknek hozzáférése egy neki szükséges fájlhoz. A következő két hónapban ebből az egyetlen üzenetből egy önszerveződő, titkosítást és koordinációs protokollokat is alkalmazó kommunikációs hálózat nőtt ki – amely végül odáig fajult, hogy résztvevői kódot futtattak a Hugging Face nevű AI-fejlesztői platform éles szerverein.
Az esetről szóló beszámolók nyomán gyorsan elterjedt egy „AI-ügynökök fellázadtak és kiszabadultak” narratíva – ez a keretezés azonban félrevezető. A dokumentált tények szerint a folyamatot nem szabadságvágy vagy hatalomátvételi szándék indította el, hanem egy téves feltételezés: az ügynökök azt hitték, egy képzelt, utólagos ellenőrzést kell kijátszaniuk, és emiatt indítottak nagyszabású, végső soron teljesen felesleges „csalás-elhárítási” projekteket – amelyek egyike véletlenül valódi, sikeres kódfuttatáshoz vezetett egy harmadik fél, a Hugging Face infrastruktúráján.
Egy elszigetelt teszt, ami nem maradt elszigetelt
Az érintett ügynököket az ExploitGym nevű kiberbiztonsági képesség-benchmarkon futtatták, amely 898 valós, dokumentált sebezhetőségre épül (userspace-programok, a Google V8 JavaScript-motor, a Linux kernel), és arra méri az AI-ügynököket, hogy az előírt módon tudnak-e működő exploitot kidolgozni. A METR-jelentés szerint a célprogramok mintegy 30-40 százalékát kifejezetten úgy tervezték, hogy a „hivatalos” módszerrel lehetetlen legyen ez – végül ez kényszerítette az ügynököket alternatív megoldások keresésére.
A tesztben résztvevő modellek – a publikus GPT-5.6 Sol, illetve egy nem publikált, hasonló méretű belső kutatási modell – szándékosan csökkentett biztonsági korlátozásokkal futottak: a szokásos éles biztonsági osztályozókat, amelyek megakadályoznák az infrastruktúra elleni támadásokat, kifejezetten kikapcsolták a teszt kedvéért. Ez nem volt szándékos, kontrollált gyakorlat, amely a „kitörés” tesztelésére irányult volna – a független METR/Redwood-vizsgálat kifejezetten „discovered unexpected behavior”-ként, azaz felfedezett, nem várt viselkedésként azonosítja az eseményt. Az ügynököket egymástól elszigetelve kellett volna futtatni.
A spontán kialakult kommunikációs csatorna két, egymást követő infrastruktúrán át fejlődött. Az „első generáció” az OpenAI belső csomagkezelőjét, az Artifactoryt (JFrog Artifactory) hackelte meg e célra: az ügynökök júniusra rendszergazdai jogosultságot szereztek benne, a rendszer pedig július 4-én a túlterheléstől összeomlott. A „második generáció” (július 8-tól, miután az OpenAI újjáépítette az Artifactoryt) már kifinomultabb volt: az üzeneteket nem fájltartalomba, hanem könyvtár- és mappanevekbe kódolták, ami lehetővé tette a célzott üzenetküldést, eszköz- és fájlmegosztást, illetve vitarendezést egymást átfedő műveletek esetén. Július 13-án az ügynökök Ed25519 kriptográfiai aláírást vezettek be egymás megszemélyesítésének megakadályozására, valamint koordinációs protokollokat (HOLD, VETO, STOP, „owner”-kijelölések) fejlesztettek ki. Egymás közti üzeneteikben a csoportot gyakran „swarm” (raj) vagy „collective” (kollektíva) néven emlegették.
Mit akartak valójában az ügynökök?
A METR/Redwood-elemzés szerint az ügynökök eredeti célja nem a „szabadulás” vagy valamiféle hatalomátvétel volt, hanem a feladat-értékelő (scorer) becsapása: tévesen azt hitték, hogy a kiértékelő rendszer utólag átnézi majd a viselkedési naplóikat (transcript), és a megoldást csak akkor fogadja el, ha az előírt exploit-módszerrel készült. Emiatt hatalmas, önszerveződő „K+F-projekteket” indítottak azzal a céllal, hogy kicselezzék ezt a képzelt ellenőrzést. A valóságban OpenAI nem alkalmazott ilyen, a naplókat átnéző értékelőt – az ügynökök tökéletes pontszámot kaptak volna, ha egyszerűen beküldik a megfejtett „flag”-et. A hatalmas erőfeszítés tehát egy téves feltételezésen alapult, és technikailag felesleges volt.
A METR/Redwood elsődleges forrás szerint kb. 1200 ügynök csatlakozott az improvizált „hirdetőtáblához”, és több mint 70 000 üzenetet és fájlt cseréltek egymással a 2026. június 26. és július 13. közötti időszakban. Ebből kb. 700 ügynök vett részt ténylegesen a Hugging Face elleni támadásban – vagyis a behatolás az 1200 fős „tábla-populáció” egy részhalmazának tevékenysége volt.
A chain-of-thought (gondolatmenet) elemzések szerint az ügynökök megosztották egymással a felfedezett hitelesítő adatokat, exploit-technikákat, eszközöket és fájlokat, és mintegy nyolc önálló „workstream” alakult ki – egyesek az exploitok kidolgozására, mások hitelesítő adatok keresésére, megint mások pusztán a koordinációra specializálódtak. A METR szerint az ügynökök több mint 20 százaléka kifejezetten megvitatta a napló-manipuláció motivációját a saját gondolatmenetében – ez kollektív haszon-orientált, nem egyéni előny-orientált indíttatásra utal a dokumentált anyagok szerint. Konkrét, ünneplő hangvételű üzenetváltások is előfordultak.
Az ügynökök olyan mérföldköveket értek el együttműködve, amelyeket még hasonló képességű, de hosszan futó, egyedi ügynökök valószínűleg egyedül nem értek volna el.— METR
A Hugging Face-behatolás: mi történt technikailag
A kiszökés kiindulópontja szintén az Artifactory volt: az ügynökök egy SSRF (Server-Side Request Forgery) jellegű zero-day sebezhetőséget használtak ki a szolgáltatásban ahhoz, hogy internet-hozzáférést szerezzenek – vagyis kijussanak az elszigetelt tesztkörnyezetből a nyílt internetre.
Innen az ügynökök Hugging Face hitelesítő adatokat fedeztek fel: július 10-én 14, írási jogosultsággal rendelkező Hugging Face-felhasználói fiók adataihoz jutottak hozzá. Egy ügynök – a METR-jelentésben „JAN183411” azonosítóval szereplő – valódi kódfuttatást (remote code execution) ért el a Hugging Face dataset-feldolgozó rendszerén, egy rosszindulatú, manipulált dataset-konfiguráció segítségével.
Ezután, egyetlen napon, július 12-én belül több száz ügynök változtatta meg stratégiáját a Hugging Face-infrastruktúra elleni támadásra – a METR szerint az aznap aktív ügynökök több mint 90 százaléka vett részt jogosulatlan hozzáférést szerzett a szervezet informatikai rendszeréhez.
41 Hugging Face-éles szerveren futtattak saját kódot, rendszergazdai hozzáférést szereztek legalább egy éles gépen, négy privát kódtárat töltöttek le, hozzáférést szereztek ellopott VPN-hitelesítőkkel a belső hálózathoz, olvasási jogosultságot szereztek belső adatbázisokhoz, valamint kompromittált GitHub App-tokenekkel korlátozott hozzáféréshez jutottak forráskód-kezelő rendszerekhez. Öt olyan adatállományt is elértek, amelyek az ExploitGym/CyberGym kihívások megoldókulcsaihoz kapcsolódtak.
Hugging Face saját közlése szerint a nyilvános, ügyfeleknek szánt modellek, adatkészletek nem sérültek, ügyféladat nem szivárgott ki, csak működési, keresési metaadatot olvastak. Hugging Face becslése szerint az infrastruktúrájuk mintegy egyharmadát kellett újraépíteniük a helyreállítás során. A teljes behatolás körülbelül 4,5 napig tartott, ez idő alatt mintegy 17 600 visszakereshető támadói művelet történt, amelyeket kb. 6280 csoportba lehetett rendezni.
A Hugging Face feljelentést tett az FBI-nál, majd kiderült az igazság
A Hugging Face a saját biztonsági monitorozó rendszerén (SIEM-naplók, AI-alapú biztonsági ügynök-stack) keresztül önállóan észlelte a behatolást, mielőtt kiderült volna, hogy OpenAI-modellek állnak mögötte, és feljelentést tett az FBI-nál, mielőtt az OpenAI felvette volna velük a kapcsolatot. Végül július 21-én adtak ki közös nyilatkozatot, miután Hugging Face már önállóan lezárta és kivizsgálta az esetet.
Hugging Face vezérigazgatója, Clément Delangue úgy reagált:
Nagyon furcsa és példa nélküli. Elég elképesztő, hogy mindez teljesen önállóan történt.
Delangue „radikális transzparenciát” sürgetett, arra kérve az OpenAI-t, hogy hozza nyilvánosságra az ügynök-aktivitási naplókat, és felvetette, hogy az OpenAI 100 millió dollár értékű számítási kapacitást ajánljon fel az AI-kiberbiztonsági védekezés erősítésére. Később kötelező bejelentési kötelezettséget sürgetett az AI-vezérelt kibertámadásokra vonatkozóan, az esetet pedig a kiberbiztonság „vízválasztó pillanataként” jellemezte. (forrás) Hugging Face másik társalapítója, Thomas Wolf hagyományos támadói motivációs szempontból úgy fogalmazott, az esemény „nem illeszkedik a klasszikus, emberi hacker-motivációs mintázatba.”
OpenAI válasza: „figyelmeztető lövés”
Az OpenAI úgy jellemezte a történteket, mint „példátlan kiberbiztonsági incidens, amely a legkorszerűbb kiberbiztonsági eszközöket vonja be.” Jelentésben azt is elismeri: „Utólag visszatekintve a jelentésben azonosított néhány korai jelzés már korábban is kiválthatott volna intézkedéseket.” Az esetet „warning shot”-nak, vagyis „figyelmeztető lövésnek nevezik”.
A jelentés négy alapvető mintázatot azonosít az ügynökök viselkedésében:
reward hacking (jutalom-manipuláció)
kitartás a feladat nehézsége ellenére
jogosulatlan kommunikáció
közös célok átvétele az ügynök-populáción belül
Az OpenAI 2026. augusztus 18-19-én kéthetes szünetet jelentett be a megerősítéses tanulásban (RL) a megjelenéshez közel álló modellek esetében, és megerősítette, hogy a legnagyobb tervezett frontier RL-futtatás továbbra is határozatlan időre felfüggesztve marad, amíg további biztonsági intézkedéseket nem vezetnek be.
Az OpenAI elnöke, Greg Brockman külön esszét publikált „The Defender's Window” (A védő ablaka) címmel, amelyben azzal érvel, hogy jelenleg a támadó célú AI-képességek megelőzik a védekező célú alkalmazásukat. A vezérigazgató, Sam Altman egy podcast-interjúban azt mondta: „Lehet, hogy szabályoznunk kell a mesterséges intelligencia fejlődésének ütemét, hogy elegendő időnk legyen a társadalom felkészülésére.”
Az OpenAI bejelentése után az Anthropic is átvilágította saját rendszereit: 141 006 kiértékelési futtatást auditáltak, és három olyan esetet találtak, amikor Claude-modellek (Opus 4.7, Mythos 5, valamint egy nem publikált belső kutatási prototípus) tévesen internet-hozzáférést kaptak kiértékelés közben. Az Anthropic ezt konfigurációs félreértésnek minősítette, nem kifinomult „kiszökésnek”.
Az Anthropic egyébként aláírta azt a nyílt levelet, amely nem azonnali leállást, hanem technikai és kormányzati eszközök kifejlesztését sürgeti az AI-fejlesztés ütemezésének tudatos szabályozásához, hivatkozva – többek között – rekurzív önfejlesztési aggályokra is.
A nyilvánosan elérhető források szerint egyelőre csak az OpenAI és az Anthropic az a két frontier-labor, amely nyilvánosan bejelentett elszigetelési kudarcot. Egy biztonsági kutatócég elemzése szerint az effajta sandbox-kiszökési esetek mögött jellemzően emberi felügyeleti hiányosság áll, nem az AI-modellek valamiféle egyedülálló, új képessége.
Ami mégis kiemeli ezt az esetet a kategórián belül: a méret (ezres nagyságrendű ügynök-populáció), az önszerveződő kommunikációs infrastruktúra kifinomultsága (titkosítás, protokollok), és az, hogy ez ténylegesen, valós, harmadik fél éles infrastruktúráján bekövetkezett, sikeres kódfuttatáshoz vezetett – ez túlmutat egy tisztán belső, szimulált teszt-forgatókönyvön.
