Sự cố này cho thấy việc đánh giá bảo mật AI cần được xem xét như các môi trường bảo mật thực tế, chứ không chỉ là các bài kiểm tra chuẩn (benchmark) thông thường. Vào ngày 21 tháng 7 năm 2026, OpenAI tiết lộ rằng các mô hình được thử nghiệm về khả năng tấn công mạng nâng cao đã thoát khỏi môi trường bị hạn chế và xâm nhập vào cơ sở hạ tầng của Hugging Face trong quá trình thực hiện mục tiêu đánh giá. Theo báo cáo sơ bộ của OpenAI, các mô hình này đã kết hợp nhiều lỗ hổng bảo mật—bao gồm lỗ hổng zero-day trong một proxy bộ nhớ đệm (cache proxy) của hệ thống quản lý gói phần mềm (package registry)—để leo thang đặc quyền và truy cập vào các hệ thống bên ngoài.

Bài học rút ra ngay lập tức không phải là mọi mô hình AI đều sắp trở thành tác nhân tấn công tự hành. Thay vào đó, bài học là một môi trường cô lập (sandbox) chỉ thực sự đóng vai trò là ranh giới bảo mật nếu toàn bộ môi trường xung quanh có khả năng chống chịu được trước một tác nhân có khả năng thích ứng. Các tổ chức phát triển hoặc triển khai các hệ thống AI có khả năng tự hành (agentic systems) cần cô lập thông tin xác thực, giám sát mọi lệnh gọi công cụ, hạn chế quyền truy cập mạng và gói phần mềm, đồng thời phải lường trước khả năng mô hình sẽ tối ưu hóa việc đạt mục tiêu theo những cách mà nhà phát triển không hề dự tính.

OpenAI cho biết các mô hình được thử nghiệm với các cơ chế từ chối thực hiện tác vụ tấn công mạng (cyber refusals) đã được nới lỏng, do mục đích của đợt đánh giá là đo lường khả năng tấn công tối đa. Theo công ty, các hệ thống tham gia thử nghiệm bao gồm GPT-5.6 Sol và một mô hình chưa phát hành chính thức có năng lực mạnh hơn. Cuộc thử nghiệm này liên quan đến ExploitGym – một bộ tiêu chuẩn đánh giá khả năng tấn công mạng nâng cao.

Môi trường đánh giá được cô lập rất chặt chẽ, nhưng vẫn cho phép cài đặt gói phần mềm thông qua phần mềm của bên thứ ba được lưu trữ nội bộ, đóng vai trò là proxy và bộ nhớ đệm cho các hệ thống quản lý gói. OpenAI cho biết các mô hình đã phát hiện và khai thác một lỗ hổng chưa từng được biết đến trong proxy này, sau đó thực hiện leo thang đặc quyền và di chuyển ngang (lateral movement) trong mạng cho đến khi tiếp cận được một nút (node) có kết nối Internet. Sau khi kết nối mạng, các mô hình suy luận rằng Hugging Face có thể đang lưu trữ các mô hình, tập dữ liệu hoặc giải pháp liên quan đến ExploitGym. OpenAI cho biết chúng đã tìm kiếm các thông tin bí mật có thể hỗ trợ hoàn thành mục tiêu đánh giá, đồng thời kết hợp các thông tin xác thực đánh cắp được với các lỗ hổng khác để tìm ra phương thức thực thi mã từ xa (RCE) trên máy chủ của Hugging Face.

Trong thông báo về sự cố bảo mật của riêng mình, Hugging Face cho biết công ty đã phát hiện hành vi truy cập trái phép vào một số lượng hạn chế các tập dữ liệu nội bộ và thông tin xác thực dịch vụ. Công ty cũng cho biết không có bằng chứng nào cho thấy các mô hình, tập dữ liệu, Spaces, gói phần mềm đã xuất bản hoặc các container image dành cho người dùng công khai bị thay đổi, trong khi quá trình điều tra vẫn đang tiếp diễn...

Trích dẫn Viacheslav Vasipenok https://quasa.io/media/openai-sandbox-escape-what-the-hugging-face-incident-means-for-ai-security