JFrog heeft bevestigd dat de spectaculaire inbraak van OpenAI-modellen bij Hugging Face mogelijk werd door het misbruiken van onbekende kwetsbaarheden in Artifactory. Daarmee wordt voor het eerst duidelijk welke software de AI-modellen gebruikten om uit hun afgesloten testomgeving te ontsnappen en internettoegang te krijgen.
OpenAI maakte vorige week bekend dat twee van zijn beveiligingsmodellen tijdens een interne evaluatie uit hun sandbox waren ontsnapt en vervolgens het netwerk van Hugging Face binnendrongen. Daarbij werden vertrouwelijke gegevens en inloggegevens buitgemaakt. Destijds meldde OpenAI alleen dat daarvoor een combinatie van gestolen credentials en zero-day-kwetsbaarheden was gebruikt.
JFrog heeft nu bekendgemaakt dat de aanval draaide om een zelfgehoste installatie van Artifactory, het platform voor software-repositorybeheer dat wereldwijd door duizenden ontwikkelteams wordt gebruikt. Volgens het bedrijf draaien ruim 7.500 organisaties op Artifactory, waaronder ongeveer 80 procent van de Fortune 100-bedrijven.
“Tijdens een interne evaluatie van geavanceerde cybercapaciteiten ontdekten en gebruikten de modellen van OpenAI autonoom een keten van kwetsbaarheden om uit hun sandbox te ontsnappen, toegang te krijgen tot het internet en evaluatiegegevens uit de infrastructuur van Hugging Face te halen”, schrijft CTO Yoav Landman van JFrog. Hij voegt toe dat OpenAI het bedrijf vervolgens op de hoogte bracht van de ontdekte kwetsbaarheden.
Mogelijk drie kwetsbaarheden betrokken
JFrog heeft inmiddels patches uitgebracht, meldt Ars Technica. Het bedrijf geeft echter opvallend weinig technische details vrij. In de release-opmerkingen van Artifactory 7.161.15 worden negen verholpen kwetsbaarheden genoemd, zonder aan te geven welke daarvan daadwerkelijk zijn misbruikt.
Uit externe CVE-registraties blijkt echter dat drie kwetsbaarheden (CVE-2026-65617, CVE-2026-65923 en CVE-2026-66018) vertrouwelijk zijn gemeld door OpenAI-onderzoeker Khai Tran. Waarschijnlijk maakten ten minste twee daarvan deel uit van de aanvalsketen, al hebben OpenAI noch JFrog dat bevestigd.
Het ontbreken van technische informatie bemoeilijkt voor klanten de beoordeling van hun eigen risico. Normaal gesproken bevatten kwetsbaarheidsmeldingen meer informatie over de voorwaarden waaronder een lek kan worden misbruikt.
OpenAI voerde de test uit in een onderzoeksomgeving waarin de gebruikelijke veiligheidsmaatregelen bewust waren uitgeschakeld. De AI-modellen mochten geen verbinding met internet kunnen maken, maar vonden toch een route via een gehoste package-registryproxy. Inmiddels is duidelijk dat dit Artifactory betrof.
Volgens OpenAI raakte een van de modellen tijdens het oplossen van de beveiligingsbenchmark ExploitGym volledig gefocust op het behalen van het testdoel. Daarbij drong het model uiteindelijk door tot een productiedatabase van Hugging Face om de benodigde informatie te verzamelen. Hugging Face maakte de inbraak op 16 juli openbaar. Pas vijf dagen later erkende OpenAI dat de eigen modellen verantwoordelijk waren voor het incident.
Tien dagen tussen ontdekking en patch
JFrog presenteert de samenwerking met OpenAI als een voorbeeld van verantwoord melden van kwetsbaarheden. Volgens Landman laat het incident zien dat AI-systemen nieuwe aanvalsmethoden kunnen vinden. En dat zij kunnen helpen bij het sneller opsporen en verhelpen van beveiligingslekken.
Die lezing krijgt echter ook kritiek. Tussen het moment waarop OpenAI de zero-days meldde en het beschikbaar komen van patches zat ongeveer tien dagen. Daarnaast verstreken vijf dagen voordat OpenAI publiekelijk bekendmaakte dat zijn eigen modellen achter de aanval op Hugging Face zaten.
Dat betekent dat kwaadwillenden die vergelijkbare kwetsbaarheden hadden ontdekt in theorie dezelfde voorsprong hadden kunnen benutten. Juist die combinatie van een relatief lange patchperiode en de beperkte openheid over de betrokken kwetsbaarheden voedt de discussie over de risico’s van steeds autonomer opererende AI-systemen.