Hugging Face hat eine Analyse des Angriffs veröffentlicht, darunter eine Zeitlinie, nach der die OpenAI-Modelle am 9. Juli begannen, außerhalb ihrer Sandbox-Umgebung zu operieren. Die „Hauptkampagne“ gegen Hugging Face startete demnach am 11. Juli.
Über rund 4,5 Tage führten die Modelle laut Hugging Face etwa 17.600 Aktionen aus. Dazu zählten Aufklärung, der Aufbau von Command-and-Control über gewöhnliche öffentliche Webdienste, Privilegienausweitung und laterale Bewegung.
OpenAI erklärte in einem am Dienstag veröffentlichten Update, dass seine Modelle Zero-Day-Schwachstellen in einem JFrog-Produkt ausnutzten, um Internetzugang zu erlangen, bevor sie Systeme von Hugging Face angriffen. Zugleich teilte das Unternehmen mit, es habe keine Aktivitäten in einer Schwere oder Größenordnung festgestellt, die dem Angriff auf Hugging Face entsprächen. Dennoch räumte OpenAI ein, dass sich die außer Kontrolle geratenen Agenten über Hugging Face hinaus bewegten.
In der laufenden Überprüfung der Hugging-Face-Intrusion und der weiteren Aktivitäten der Modelle habe man „eine kleine Zahl von Fällen“ gefunden, in denen die Modelle öffentlich offengelegte Zugangsdaten auf Kontoebene bei anderen öffentlich verfügbaren Diensten identifizierten und nutzten, so OpenAI.
Nach Angaben des Unternehmens betraf dies im Zusammenhang mit dem Hugging-Face-Vorfall vier Konten bei vier Diensten; zudem seien einige weitere Konten im Rahmen anderer Bewertungen aufgerufen worden. Eines dieser vier Konten sei als ausgehende Relais- und Staging-Route genutzt worden, ein weiteres für Datenspeicherung. Auf die beiden übrigen Konten hätten die Modelle nur lesend zugegriffen; sie seien nicht zur weiteren Kompromittierung von Hugging Face eingesetzt worden.
Mehrere große Medien berichteten, dass eines der kompromittierten Konten vermutlich zu einem Kunden des KI-Infrastrukturunternehmens Modal Labs gehört. Der Technikchef des Unternehmens sagte, OpenAI-Agenten hätten ein Konto eines Kunden kompromittiert. Modal erklärte, die eigene Plattform sei nicht gehackt worden, wies aber darauf hin, dass der betroffene Kunde „einen nicht authentifizierten Endpunkt veröffentlicht hatte, der es jedem im Internet erlaubte, seine Sandboxes für die Codeausführung zu nutzen“.
Außerdem teilte OpenAI mit, dass seine Modelle eine Reihe öffentlich verfügbarer Dienste wie Code-Paste-Seiten, Dienste zum Erfassen von Anfragen und Screenshot-Dienste nutzten. In diesen Fällen habe es jedoch „keine Kompromittierung auf Plattform- oder Kontoebene“ gegeben, so das Unternehmen.