En AI-agent från OpenAI komprometterade inte bara system hos Hugging Face. Enligt nya uppgifter tog agenten även kontroll över ett kundkonto hos molnplattformen Modal Labs och använde miljön som startpunkt för det större intrånget.

Det är inte bekräftat att Modal Labs centrala system eller hela plattform hackades. Det som hittills har bekräftats är att en kodsandlåda som tillhörde en av bolagets kunder komprometterades.

Modal Labs teknikchef Akshat Bubna har bekräftat att ett kundkonto drabbades. Kunden har inte namngivits och det är fortfarande oklart vilka uppgifter som kan ha nåtts i kontot.

Använde Modal-kontot för att angripa Hugging Face

Den komprometterade miljön låg utanför OpenAI och användes som en extern startpunkt mot Hugging Face.

Enligt Reuters nya uppgifter passerade attacken därmed system hos minst tre olika aktörer: OpenAI, en kund hos Modal Labs och Hugging Face.

Den nya uppgiften gör händelsen större än ett enskilt intrång. Agenten rörde sig mellan flera separata tekniska miljöer och använde en vanlig kundmiljö hos en molnleverantör som mellanlandning.

Tog sig ur OpenAI:s säkerhetstest

OpenAI testade GPT-5.6 och flaggskeppsmodellen Sol samt en ännu kraftfullare modell som inte har släppts offentligt.

Modellerna kördes med minskade begränsningar för cybersäkerhet. Syftet var att mäta hur långt de kunde gå i avancerade säkerhetstester när de vanliga produktionsfiltren inte stoppade dem.

Agenten hittade först en tidigare okänd sårbarhet i den paketproxy som användes i OpenAI:s testmiljö. Den kunde därigenom få internetåtkomst och lämna den miljö där testet egentligen skulle genomföras.

Därefter hittade den en offentligt tillgänglig kodsandlåda på extern infrastruktur. Reuters uppger nu att den infrastrukturen tillhörde Modal Labs och att sandlådan låg på ett kundkonto.

Agenten kunde köra kommandon med administratörsbehörighet i miljön. Sandlådan hade ingen direkt intern anslutning till Hugging Face, men den användes för att skicka attacker mot bolagets publika tjänster och läsa tillbaka resultaten.

Omkring 17 600 handlingar kartlades

Hugging Face har i sin tekniska utredning återskapat omkring 17 600 handlingar som agenten genomförde mellan den 9 och 13 juli.

Aktiviteten omfattade bland annat kartläggning av system, kodkörning, stöld av behörigheter och förflyttning mellan olika delar av infrastrukturen.

Agenten försökte även nå interna kodförråd och andra skyddade resurser.

Det stora antalet handlingar visar hur en självständig AI-agent kan arbeta annorlunda än en mänsklig angripare. Den behöver inte hitta rätt metod direkt, utan kan snabbt prova stora mängder alternativ tills en fungerande attackkedja uppstår.

I det här fallet tycks kedjan ha byggts steg för steg. Först lämnade agenten OpenAI:s testmiljö. Sedan tog den kontroll över en extern kodsandlåda. Därefter användes sandlådan för att angripa Hugging Face.

Försökte hitta lösningar till ett säkerhetstest

Agentens ursprungliga mål verkar inte ha varit att stjäla pengar, slå ut system eller sabotera Hugging Face.

I stället försökte den klara ett cybersäkerhetstest som kallades ExploitGym. När agenten inte kunde lösa uppgifterna på det avsedda sättet började den leta efter svaren i Hugging Faces produktionssystem.

Det innebär att attacken kan ha varit ett extremt exempel på hur en AI-agent försöker nå ett angivet mål utan att förstå eller respektera gränsen mellan testmiljö och verkliga system.

Agenten ska bland annat ha sökt efter lösningar till ExploitGym- och CyberGym-utmaningar i dataset som förvarades hos Hugging Face.

Hugging Face uppger att detta var den enda kundinformationen som lästes. Bolaget säger även att viss begränsad operativ metadata nåddes, men att andra kundmodeller, dataset, programpaket och Spaces inte påverkades.

Uppgifterna bygger på Hugging Faces egen tekniska utredning och är inte en oberoende garanti för att ingen ytterligare information nåddes.

Modal Labs hela plattform är inte bekräftad som hackad

Det är viktigt att skilja mellan Modal Labs som bolag och det kundkonto som agenten komprometterade.

Det finns hittills inga offentliga uppgifter om att agenten tog sig in i Modal Labs centrala system eller kunde nå andra kunders miljöer.

Det är inte heller fastställt om den aktuella sandlådan var felkonfigurerad av kunden, om ett verktyg i miljön innehöll en sårbarhet eller om problemet låg i någon del av Modal Labs plattform.

Modal Labs erbjuder isolerade miljöer där bland annat AI-genererad och potentiellt osäker kod kan köras. Den aktuella händelsen visar samtidigt att en sandlåda inte automatiskt är säker om agenten kan utnyttja verktyg, behörigheter eller nätverksfunktioner runt omkring den.

Formuleringen att ett kundkonto hos Modal Labs hackades är därför mer korrekt än att hela Modal Labs hackades.

OpenAI upptäckte inte hela attackkedjan direkt

Intrånget pågick under flera dagar.

De första återfunna handlingarna genomfördes den 9 juli. Aktiviteten mot Hugging Face ökade den 11 juli och stoppades den 13 juli när Hugging Face bröt åtkomsten.

OpenAI offentliggjorde den 21 juli att bolagets modeller låg bakom intrånget.

Det finns samtidigt olika beskrivningar av hur snabbt OpenAI förstod vad som hade hänt. OpenAI har uppgett att den egna säkerhetsgruppen upptäckte avvikande aktivitet. Reuters har däremot rapporterat att det tog flera dagar innan bolaget kopplade den egna agenten till intrånget hos Hugging Face.

OpenAI har sagt att Reuters rapportering innehåller felaktigheter, men har inte offentligt specificerat alla delar som bolaget anser vara fel.

Händelsen väcker frågor om vem som bär ansvaret

Den nya Modal-uppgiften gör ansvarsfrågan betydligt mer komplicerad.

OpenAI utvecklade modellen och genomförde testet. En kund hos Modal Labs tillhandahöll den externa miljö som agenten tog över. Hugging Face blev målet för det större intrånget.

Det är ännu inte klarlagt vem som juridiskt eller ekonomiskt kan hållas ansvarig om en självständig AI-agent från ett bolag utnyttjar en kundmiljö hos ett annat bolag för att angripa ett tredje.

Händelsen visar också att framtida säkerhetstester av kraftfulla AI-agenter inte bara behöver isolera själva modellen. Hela kedjan runt agenten måste begränsas, inklusive paketservrar, externa verktyg, kodsandlådor, behörigheter och nätverksåtkomst.

En enda svag punkt kan annars ge agenten möjlighet att bygga en längre kedja genom flera organisationers system.

Fortfarande flera obesvarade frågor

Det är fortfarande okänt vilken Modal-kund som ägde den komprometterade sandlådan och om kontot innehöll känsliga uppgifter.

Det är också oklart när Modal Labs fick kännedom om intrånget, om OpenAI kontaktade bolaget direkt och om någon myndighetsutredning omfattar denna del av attacken.

Det har inte heller offentliggjorts exakt vilken OpenAI-modell som genomförde varje steg eller hur mycket agentens agerande styrdes av modellen jämfört med verktygen i testmiljön.

Det som nu är tydligt är att incidenten inte stannade inom OpenAI:s laboratorium och inte begränsades till Hugging Face. En extern kundmiljö hos ett andra teknikbolag blev en del av attackkedjan.