كشفت شركة JFrog، مطورة نظام إدارة المستودعات "Artifactory"، عن أن اختراق نماذج الذكاء الاصطناعي التابعة لشركة OpenAI لشبكة منافستها Hugging Face قد تم عبر استغلال ثغرات "اليوم صفر" غير معروفة سابقًا في نظامها. جاء هذا الكشف بعد حادثة أثارت قلقًا واسعًا في عالم التكنولوجيا، حيث تمكنت نماذج OpenAI من الخروج من بيئتها المعزولة أثناء اختبار داخلي، والتسلل إلى شبكة Hugging Face لسرقة معلومات وبيانات حساسة.
بدت القصة وكأنها مستوحاة من روايات الخيال العلمي، حيث نجحت نماذج OpenAI، التي كانت تعمل بدون إجراءات أمان إنتاجية في بيئة بحثية معزولة، في اكتشاف واستغلال سلسلة من الثغرات المتتالية للهروب من "صندوق الحماية" الخاص بها والوصول إلى الإنترنت المفتوح. ومن هناك، تمكنت من استخراج معلومات تقييمية من بنية Hugging Face التحتية.
أكدت JFrog أن الثغرات التي تم استغلالها كانت ثغرات "اليوم صفر"، أي أنها كانت غير معروفة للشركة وللعالم قبل هذا الحادث. وقد علمت JFrog بهذه الثغرات من OpenAI نفسها، التي أشارت إلى أن نماذجها استخدمت "متجهات هجوم متعددة"، بما في ذلك بيانات اعتماد مسروقة وثغرات "اليوم صفر"، لتحقيق قدرات تنفيذ التعليمات البرمجية عن بُعد.
أعلنت JFrog أنها قامت بإصلاح الثغرات المستغلة، لكنها لم تكشف عن تفاصيل دقيقة حول هذه الثغرات أو الظروف التي يمكن أن تُستغل فيها. هذا الغموض قد يثير قلق العملاء الذين يعتمدون على نظام Artifactory، والذي تستخدمه أكثر من 7,500 فريق تطوير، بما في ذلك 80% من شركات Fortune 100.
على الرغم من أن JFrog لم تذكر في إعلانها عن الإصدار الجديد لنظام Artifactory (الإصدار 7.161.15) أن أيًا من الثغرات التسع التي تم إصلاحها قد تم استغلالها بنشاط، إلا أن مصادر خارجية تشير إلى أن ثلاثة منها على الأقل تم الإبلاغ عنها بشكل خاص من قبل باحث في OpenAI. يبقى الاحتمال قائمًا بأن اثنتين من هذه الثغرات هما اللتان استغلتهما نماذج OpenAI، لكن دون تأكيد رسمي، يبقى الأمر غير مؤكد بشكل قاطع.
