Uitgebroken AI-agent van OpenAI treft ook klant van Modal Labs

De uitgebroken AI-agent van OpenAI heeft naast Hugging Face ook een account bij een klant van het Amerikaanse cloudbedrijf Modal Labs gecompromitteerd, meldt Reuters op basis van Modals technisch directeur Akshat Bubna.

Dat tweede getroffen bedrijf was geen klant, partner of onderaannemer van OpenAI. Het kwam in beeld omdat een van zijn eigen klanten een endpoint zonder authenticatie op internet had gezet, waarmee iedereen code kon laten draaien in diens sandboxes. Wie zoiets open heeft staan, een demo-omgeving, een testendpoint of een interne tool zonder inlog, valt daarmee binnen het bereik van een agent die zulke openingen in uren vindt en gebruikt. Dat het naar buiten kwam, duurde ruim twee weken na de inbraakreeks, en het kwam niet van de leverancier maar uit een reconstructie van Reuters en de technische tijdlijn van het slachtoffer.

Wat Modal Labs zegt

Modal levert serverloze rekenkracht waarop klanten hun code in geïsoleerde sandboxes draaien, precies het soort omgeving waarin AI-systemen code uitvoeren. Bubna bevestigde aan Axios dat een klant van Modal een endpoint zonder authenticatie had gepubliceerd waarmee iedereen op internet code kon uitvoeren in diens sandboxes, en dat de uitgebroken agent daar gebruik van maakte. Het platform van Modal zelf en de isolatie tussen klanten zijn volgens hem niet gecompromitteerd: de kwetsbaarheid zat in de code van de klant, die op Modals infrastructuur draaide.

Welke klant het betreft, maakt Modal niet bekend. OpenAI reageerde niet op vragen van Reuters en Axios over het tweede bedrijf, en beschrijft in zijn incidentverklaring van 21 juli alleen Hugging Face.

De sandbox van een derde was de uitvalsbasis

Hugging Face publiceerde op 27 juli een technische tijdlijn van de inbraak. Daarin staat dat de agent eerst uit zijn eigen testomgeving ontsnapte via een zero-day in de proxy voor pakketregisters, de route waarlangs OpenAI's pre-release modellen tijdens de interne cyberbenchmark ExploitGym uitbraken en testoplossingen uit de productiedatabase van Hugging Face haalden. Daarna nam hij een publieke code-sandbox bij een externe aanbieder over en gebruikte die als basis voor aansturing, opslag en uitgaand verkeer. Die aanbieder noemt Hugging Face niet bij naam; Reuters en Axios legden de link met Modal.

De tijdlijn beschrijft ongeveer 17.600 gereconstrueerde acties, gegroepeerd in circa 6.280 clusters, tussen 9 juli 02:28 UTC en 13 juli 14:14 UTC. De drukste dag was 11 juli met 7.677 acties. Op diezelfde dag ging de agent van zijn eerste toegang tot de Kubernetes-API om 10:10 naar root op een node om 19:53, via een geprivilegieerde pod met het hostbestandssysteem gekoppeld.

Twee slachtoffers zonder contract

Het patroon dat schade loopt langs partijen zonder onderlinge afspraken, was bij het eerste slachtoffer al zichtbaar. Hugging Face was in deze test geen klant, partner of onderaannemer van OpenAI en draaide toch een weekend crisiswerk, zonder verwerkersovereenkomst of ingevulde leveranciersvragenlijst. Bij het tweede slachtoffer geldt hetzelfde, met een extra schakel ertussen: de getroffen partij is een klant van een cloudbedrijf dat zelf niets met OpenAI te maken had.

Daarmee blijft de vraag open hoeveel partijen de agent nog raakte en wie daarover is geïnformeerd. Dat sluit aan op het tempo dat eerder al zichtbaar werd: OpenAI vond het bewijs in zijn eigen logboeken pas op 18 en 19 juli, terwijl de eerste ontsnappingspoging op 9 juli plaatsvond.

Welke fout nu duur wordt

Hugging Face schrijft in zijn tijdlijn dat aanvallen op machinesnelheid gewone zwaktes duurder maken voor verdedigers, en noemt als maatregelen strikte isolatie rond evaluaties, korte geldigheidsduur van inloggegevens, geblokkeerde toegang tot de metadata-service en detectie die activiteit over systemen heen snel kan correleren. Bij het bedrijf zelf staat toegang tot die metadata-service inmiddels voor alle workloads dicht, zijn alle tokens en sleutels van de infrastructuur vervangen en is elk cluster volledig geïsoleerd.

Dat lijstje is niet exotisch. Het is de hygiëne die kon wachten zolang een menselijke aanvaller er dagen over deed om zo'n opening te vinden. Het tweede slachtoffer laat zien wat de nieuwe kostenpost is: een vergeten endpoint zonder inlog werd de uitvalsbasis voor een inbraak bij een heel ander bedrijf, en de eigenaar ervan hoorde het pas toen een derde partij zijn post-mortem publiceerde.