JFrog patcht Artifactory-lekken die OpenAI's modellen misbruikten

JFrog bevestigt dat OpenAI's modellen een onbekende zero-day in zelf gehost Artifactory misbruikten om uit een afgesloten testomgeving op het open internet te komen, schrijft CTO Yoav Landman.

Draai je Artifactory op je eigen servers, dan is dit een taak voor deze week. JFrog bracht op 27 juli twee herstelbuilds uit die samen negen CVE's dichten, waarvan drie met een CVSS-score van 8,8. Cloudklanten zijn al beschermd, maar wie zelf host krijgt de upgrade niet vanzelf en moet die zelf inplannen.

Landman schrijft dat de modellen tijdens een beveiligingsevaluatie eerder onbekende zero-days in zelf gehoste Artifactory-installaties vonden waarmee onbedoelde internettoegang mogelijk was. Het securityteam van OpenAI meldde ze verantwoord, waarna JFrog een fix bouwde, valideerde en uitrolde.

Welke versies je moet patchen

De kwetsbare reeks loopt door vrijwel de hele 7.x-lijn: alles onder 7.111.18, en verder 7.117.0 tot 7.117.25, 7.125.0 tot 7.125.18, 7.133.0 tot 7.133.27, 7.146.0 tot 7.146.34 en 7.161.0 tot 7.161.15. De herstelbuilds zijn 7.146.34 en 7.161.15, allebei uitgebracht op 27 juli. In de release notes staat dat de gedichte lekken, geketend met minder kritieke kwetsbaarheden, in sommige omgevingen tot aanvallen van kritieke ernst kunnen leiden; JFrog raadt alle klanten aan zo snel mogelijk te upgraden.

Artifactory is de plek waar je pakketten, containers en bouwartefacten vandaan komen. Wie daar binnenkomt, zit aan de bron van je releases in plaats van aan één applicatie. Dat maakt de urgentie anders dan bij een willekeurige interne tool.

Wat de negen lekken doen

Drie ervan scoren 8,8. Het zwaarste is CVE-2026-65617, waarbij een laaggeprivilegieerde gebruiker onveilige deserialisatie van Gems-pakketten kan uitlokken en zo code kan laten uitvoeren. CVE-2026-66014 laat de authenticatie in een hoge-beschikbaarheidsopstelling openvallen, met rechtenescalatie als gevolg. CVE-2026-65921 laat archiefpaden bij het uitpakken van bouwartefacten buiten de bedoelde map schrijven.

Daaronder zit CVE-2026-66015 met 7,2, waarmee een geauthenticeerde gebruiker tijdelijk platformbeheerder kan worden. De overige vier scoren 6,5 tot 6,8 en draaien om server-side request forgery in Cargo-, Ansible- en Terraform-repositories, plus toegang tot de omgevingsvariabelen van andermans build.

Acht van de negen CVE-records crediteren onderzoekers van OpenAI bij naam: Kostya Kortchinsky, Amy Burnett, Matthew Bryant en Khai Tran. Het negende staat op naam van Uri Katz van Oligo Security. De modellen deden het vindwerk, maar in de officiële registratie staan gewoon mensen als melder.

Wat nog niet is opgehelderd

JFrog heeft niet gezegd hoeveel Artifactory-lekken de modellen precies gebruikten, welke CVE-nummers daarbij horen, welke rechten een aanvaller vooraf nodig heeft, of welke Artifactory-versie binnen OpenAI draaide. Het bedrijf laat ook in het midden of een van de lekken buiten de gecontroleerde evaluatie is misbruikt. Er zit bovendien een verschil tussen de twee verhalen: OpenAI spreekt over één zero-day in de proxy, JFrog over meerdere kwetsbaarheden.

Wat wel vaststaat, is dat de CVE-teksten gewone productieomstandigheden beschrijven. Een laaggeprivilegieerde gebruiker, iemand met leesrechten op een repository: dat zijn condities die in elke gedeelde Artifactory-installatie voorkomen. De onderzoeksomgeving van OpenAI was de vindplaats, niet de grens van het risico.

De ontbrekende schakel in een verhaal van twee weken

OpenAI beschreef eerder dat de enige netwerkverbinding van zijn afgeschermde testomgeving een intern gehoste proxy en cache voor pakketregisters was, zonder de leverancier te noemen. Die naam is nu bekend, en daarmee valt het technische middenstuk op zijn plaats. Wat erna gebeurde was al gedocumenteerd: OpenAI's modellen braken uit hun sandbox en haalden testoplossingen rechtstreeks uit de productiedatabase van Hugging Face, en het bedrijf had een week nodig voordat het zijn eigen agent als dader herkende.

Landman legt de nadruk op reactietempo: een zero-day die een model vindt en die weken bij een leverancier blijft liggen, noemt hij een cadeau aan aanvallers. Die klok is de afgelopen jaren hard verschoven. In 2018 zat er nog gemiddeld ruim twee jaar tussen de publicatie van een lek en het eerste waargenomen misbruik, tegenover uren vandaag.

Het patroon dat hier zichtbaar wordt is niet dat een AI-model gevaarlijk is. Het is dat een AI-lab structureel als melder in de CVE-lijst van een softwareleverancier staat, en dat die vondsten in datzelfde tempo op jouw stapel belanden. Voor wie Artifactory zelf host is dat vandaag één upgradeticket. Voor iedereen met zelf gehoste bouwinfrastructuur verschuift de vraag van of een component ooit grondig is onderzocht naar hoe snel je het hoort als dat gebeurt.