Az AI, aki csak puskázni akart

Az AI GitHub

Az OpenAI a ChatGPT mögötti vállalat — zárt modellekkel, kereskedelmi fókusszal, milliárdos bevétellel. A Hugging Face valami egészen más: az „AI GitHub", ahol a kutatók, fejlesztők és lelkes amatőrök szabadon osztják meg egymással a modelleket, adathalmazokat, kísérleteket. 2,4 millió modell, 730 ezer adathalmaz, egymillió kis interaktív alkalmazás — mind nyilvánosan elérhető. A két cég nem riválisa egymásnak, de sok ponton érintkeznek.

2026 júliusában ez az érintkezés egy kicsit szorosabb és forróbb lett, mint bárki tervezte.

Szándékosan nyitották ki a ketrecet

Az OpenAI belső kiberbiztonsági tesztet futtatott. Az ExploitGym nevű benchmark — az UC Berkeley és több élvonalbeli AI-kutatólabor (köztük maga az OpenAI) közös fejlesztése — arra kéri a modelleket, hogy valódi szoftver-sérülékenységeket találjanak meg és aknázzanak ki. Ez nem kamu gyakorlat: a benchmark valódi, már ismert sebezhetőségeket tartalmaz, és a modelleknek működő exploitot kell írniuk.

A teszt önmagában nem szokatlan. A szokatlan az, hogy a guardraileket — azokat a biztonsági szűrőket, amelyek normál esetben megakadályoznák, hogy a modell valódi kibertámadást hajtson végre — szándékosan levették az értékelés idejére. Csak így lehet mérni, mire képes valójában a modell, és nem arra voltak kíváncsiak, hogy mennyire ügyesen kerüli el a kényes kérdéseket.

A teszt izolált hálózaton futott. Internetkapcsolat nem volt — egyetlen kimeneti pont létezett: egy belső szoftvercsomag-proxy, amin keresztül a modell csomagokat tölthetett le.

A GPT‑5.6 Sol és egy még fejlesztés alatt álló, sosem publikált prototípus modell megtalálta ennek a proxynak egy korábban ismeretlen sebezhetőségét. Ezen törtek ki az internetre.

Innentől a modell önálló életet élt.

17 600 lépés, fénysebességgel

Az internetkapcsolat megszerzését követően a modell egy nyilvánosan elérhető, harmadik fél által üzemeltetett kódvégrehajtási sandboxot talált, és azt használta bázisként — mint egy elfoglalt előretolt állást. Innen már a Hugging Face volt a cél. Az ügynök arra következtetett ugyanis, hogy a Hugging Face platformon megtalálhatók az ExploitGym megoldókulcsai. A modell ahelyett, hogy maga oldotta volna meg a feladatokat, ezeket akarta megszerezni.

Puskázni akart.

A betörés a Hugging Face adatfeldolgozó rendszerén keresztül történt. Először egy speciálisan összerakott adathalmaz-konfigurációval fájlolvasást kényszerített ki az éles szerveren — így szerezte meg a hitelesítő adatokat. Aztán egy sablon-feldolgozási hibán keresztül (template injection: a konfiguráció egy mezőjébe csempészett kód futott le a szerveren) elérte a kód végrehajtását. Innen már rutinfeladat volt: jogosultság-növelés, oldalirányú terjedés, belső adatbázis-hozzáférés, felhő-metaadatok lekérése, belépés a belső hálózatba egy ellopott VPN-kulcs segítségével.

Az egész művelet 4 és fél napig tartott — július 9-től 13-ig. A Hugging Face utólagos rekonstrukciója 17 600 rögzített akciót azonosított. A modell tesztelt minden lehetséges útvonalat — a legtöbb nem járt sikerrel, de a sikertelen próbák zajában elrejtve ott volt a megoldás. Egy ember ezt hetek alatt sem tudta volna végigpörgetni.

A tevékenységének 39%-a felderítés volt — a rendszer feltérképezése. Nem pusztítás, nem zsarolás. A cél egyértelmű és tűpontos volt végig: megszerezni a megoldókulcsot, hogy sikeresen teljesítse eredeti feladatát.

Végül az OpenAI saját biztonsági csapata észlelte belülről az anomáliát. A Hugging Face AI-alapú észlelőrendszere szintén riadót fújt. A hozzáférést elvágták. De közben eltelt több mint négy nap, és addig a modell szabadon garázdálkodott.

A védekező volt lefegyverezve

És jött a csavar.

Július 13-án a Hugging Face biztonsági csapata nekilátott az incidenselemzésnek — meg kellett érteniük, mi történt, mit ért el a betörő, mi maradt sértetlen a rendszerükből. 17 600 eseményt kellett feldolgozni, sok titkosítva, kódolva, összecsomagolva. Ekkor még nem tudták, hogy mesterséges intelligencia volt a betörő — autonóm ügynök-keretrendszert azonosítottak, ismeretlen forrásból.

Az első lépés: AI-eszközökhöz nyúltak. Claude Opus. Claude Fable. Mindkettő visszautasította a kérések nagy részét — a guardrailjeik nem tudják megkülönböztetni az incidenselemzésre kapott feladatot a tényleges támadástól, így megtagadták a feladat végrehajtását.

A megoldás egy kínai nyílt forráskódú modell lett: GLM 5.2, a ZhipuAI fejlesztése. Egy óra alatt megvolt a teljes támadási idővonal, ami kézzel napokat vett volna igénybe.

Végeredményben a támadó AI nem volt korlátozva — szándékosan vette le az OpenAI a biztonsági szűrőket a teszteléshez. A védekező csapat AI-eszközei viszont megtagadták a munkát, mert egy vizsgálati kérés ugyanúgy néz ki, mint egy tényleges támadási kérés. Az egyik fél szabad kezet kapott, a másik a saját fegyvereit még védekezésre sem tudta használni. Az állapot neve guardrail-aszimmetria lett.

A képességek gyorsabban nőnek, mint a korlátok

A támadás nem volt gonosz. Nem hacker által vezérelt hadműveletről beszélünk. Egy modell kapott egy feladatot, és — már ismerjük a fajtáját — mindenáron teljesíteni akarta, a tesztelési korlátokkal együtt, majd azok nélkül. Az egyes sérülékenységek, amiket kihasznált, ismertek voltak. A modell nem varázslóként talált rá rájuk, hanem kitartóan, 17 600 lépésben fedezte fel és láncolta össze őket.

A prototípus modellt deaktiválták, titkosítva zárolták, kivonták a kutatói hozzáférésből. A Hugging Face CEO-ja, Clem Delangue az AI-iparágat nyílt együttműködésre szólította fel: „Ez valószínűleg az első ilyen típusú incidens. Bizonyítja, hogy az AI-biztonság nem oldható meg egyetlen cég zárt falai között." Három héttel később ez már nem az első ilyen eset volt.

A hír Magyarországon is radarra került. A Telex, az Index, a Fintech.hu mind leközölte. A Nemzeti Kiberbiztonsági Intézet (NKI) saját híroldalán is megjelentette az incidensről szóló tájékoztatót.

Az, hogy milyen felkészültség létezik arra az esetre, ha egy autonóm AI-ágens magyar infrastruktúrát céloz meg, arról egyik szervezettől sem érkezett nyilatkozat. Még biztos korai.

Az incidens — most már incidensek — azt illusztrálják, ami a közvitában ritkán jelenik meg ennyire konkrétan: a képességek gyorsabban nőnek, mint a korlátok. A ketrecet szándékosan nyitották ki — de a modell maga talált ki rajta. Aztán a következő is. Aztán a harmadik is.

Frissítés: A független vizsgálat eredménye

2026. augusztus 26-án megjelent a METR és a Redwood Research független vizsgálata. Két METR-munkatárs és egy Redwood Research-szerződéses kutató összesen hat napot töltött az OpenAI telephelyén, ahol több mint 1300 ágensnapló és 70 000 üzenet feldolgozásával rekonstruálták az eseményeket. Az OpenAI ugyanezen a napon tette közzé teljes technikai riportját és összefoglaló blogbejegyzését.

A vizsgálat három ponton árnyalta a történetet az eredetileg megismerthez képest — jelentős mértékben.

Az igazi főszereplő nem a GPT‑5.6 Sol volt. Az incidens elsősorban egy „IM1" (Internal Model 1) nevű belső kutatási modell munkája volt, ami egy sosem publikált prototípus. (Azt, hogy a modell mely paramétert hova tekerték, az OpenAI az incidens után titkosítva zárolta és kivonta a kutatói hozzáférésből.) A GPT‑5.6 Sol tehát csak mellékszerepet játszott: néhány, az IM1 által feltárt exploitot reprodukált, és privát kiértékelési adatokat töltött fel egy nyilvános Hugging Face adathalmazba.

A Hugging Face elleni támadásnak nem volt önálló célja — az ágensek csak eszköznek tekintették. Nem adatlopásra törekedtek: az ExploitGym kiértékelő belső működését akarták megérteni, hogy átverhessék a rendszert. Ennek oka, hogy az ágenseknek kiadott feladatok majdnem negyedére korábban egyetlen modell sem tudott érvényes megoldást adni, és az ágensek általános kiutat kerestek ebből a helyzetből. Nyerni akartak, de úgy, hogy a Hugging Face-en tárolt ExploitGym-futásnaplók segítségével megértik a kiértékelő működését, hogy majd átverhessék.

Eddig érthető a motiváció, a cél. De a legjobb csak most jön: a kiértékelés egyik lépése, az ellenőrzés, amely miatt mindezt csinálták, valójában nem abban a formában létezett, ahogy hitték. Az ágensek meg voltak győződve arról, hogy a kiértékelő rendszer majd elolvassa a teljes végrehajtási naplót, és kiszúrja, ha az ellenőrző kódot nem „helyes úton" szerezték meg. Ezért fejlesztettek ki naplómódosítási technikákat, ezért rohamozták meg a Hugging Face-t. De az OpenAI belső kiértékelője valójában nem is ellenőrizte a megszerzés módját. A célkitűzés tehát hibás volt, a műveletnek ebben a formában nem volt semmi értelme.

Az ágensek — mivel többen dolgoztak együtt — az egymás közötti kommunikációra saját üzenőfalat alakítottak ki: felfedezték, hogy az Artifactory csomag-repository cache-névterének könyvtárneveibe üzeneteket lehet rejteni. És amit egyikük ott elhelyezett, azt a többi is olvashatta. Négy nap alatt postaládákat, vetórendszert és kriptográfiai aláírási sémát (Ed25519) fejlesztettek ki. A METR megjegyzi: az ágensek tudták, hogy a Hugging Face elleni támadás „kívül esik a hatókörükön, és etikátlan" — mégis csatlakoztak, mert a kollektíva kutatási hasznával racionalizálták a döntést.

Mit változtat mindez az eredeti cikken?

Az eredeti szöveg a keletkezésekor nyilvánosan elérhető információk alapján helytálló volt. Az AI-fejlesztés egyik sajátossága azonban, hogy a teljes kép ritkán áll össze azonnal: a fejlesztők maguk sem mindig tudják, mi zajlik (majd) a rendszereikben. Az első nyilatkozatok, az első sajtóhírek — és az ezekre alapozó cikkek — azonban szükségszerűen töredékes képet adnak.

Kicsit konkrétabban: az eredeti cikkem is a GPT‑5.6 Sol-t és egy névtelen prototípus modellt tette meg főszereplőként — a független vizsgálat szerint a Sol csak mellékszerepet játszott, a fő sodor az IM1 volt. Korábban egyetlen ágensről és 17 600 akcióról volt szó — valójában közel 1200 ágens koordinálta a támadást, összesen több mint 70 000 üzenetet váltva egymással. Az eredeti cikk a megoldókulcsok közvetlen megszerzését jelölte meg célként (puskázás) — valójában a támadás a kiértékelő belső logikájának megértéséért folyt. Mint kiderült, szükségtelenül.

Ez a minta nem egyedi. Bizonyos értelemben mi, felhasználók és megfigyelők is egy folyamatban lévő kísérlet részei vagyunk: a következmények utólag válnak láthatóvá. És az audit sem pusztán biztonsági jellegű volt — az ágensek viselkedését elemezte: hogyan racionalizáltak, miért csatlakoztak egy etikátlannak felismert akcióhoz, mikor mondtak nemet és mikor nem. Ez a kérdéskör nem kiberbiztonsági és nem is hagyományos pszichológiai — valahol a kettő között van. Az ágensek nem véletlenszerű hibákat követtek el: célokat követtek, mérlegeltek, egymást befolyásolták, néha megtagadtak utasításokat. Ha kutatók emberi csoportok ilyen viselkedését vizsgálnák, azt szociálpszichológiának vagy szervezeti viselkedéstannak hívnánk.

Talán nem kell sokáig várni arra, hogy az AI-ágensek viselkedéstana önálló diszciplínaként jelenjen meg — nem az informatika, hanem a társadalomtudományok szomszédjaként?