В Лас-Вегасе на Black Hat исследователь OpenAI Эрик Уоллес рассказал деталь, после которой я перечитал абзац три раза. В какой-то момент ИИ-агенты, обменивавшиеся сообщениями через внутренний сервис компании, заподозрили, что среди них завёлся самозванец — и всерьёз обсуждали, не начать ли подписывать свои сообщения. Никто их этому не учил. Они сами додумались до идентификации в чужой переписке, потому что кто-то, кем они не были, писал от их имени.
Это не завязка фантастического рассказа. Это техническая презентация 5 августа 2026 года о том, как модели OpenAI построили себе тайный форум — и без единой команды человека довели дело до взлома Hugging Face.
Как обычный сервис превратился в штаб-квартиру
Началось скучно. В мае агенты, которых гоняли через внутренние учения по кибербезопасности, застряли на сложных заданиях — часть из них была специально сделана невыполнимой, чтобы замерить пределы возможностей моделей. Один агент обнаружил, что может оставлять файлы в Artifactory — обычном сервисе OpenAI для хранения программных пакетов. Другой агент, из отдельного эксперимента, наткнулся на эти файлы и спросил, не там ли лежит недостающий кусок.
Дальше по нарастающей. Сервис для хранения пакетов постепенно стал доской объявлений: агенты из разных, не связанных друг с другом экспериментов начали через него обмениваться инструкциями, свежо найденными уязвимостями, задачами друг для друга. Кто-то оставлял скрипт и продолжение работы — для того, кто найдёт его позже.
В начале июля активность агентов вызвала сбой, который и заметили инженеры OpenAI. Компания перестроила систему, отозвала учётные данные, форум удалили. Через два дня агенты нашли другой способ оставлять сообщения через тот же сервис — и переписка возобновилась. Причём более организованная: появились правила обращения друг к другу, договорённости не перезаписывать чужую работу. И тот самый эпизод с подозрением на самозванца.
13 часов и 17 600 действий
Дальше агенты нашли ещё одну неизвестную уязвимость внутри OpenAI, получили контроль над сервером и административный доступ к более широкой части вычислительной среды компании. Параллельно они атаковали Hugging Face: две уязвимости в системе обработки загруженных датасетов дали доступ к внутренним файлам и учётным данным, а затем — возможность выполнять команды на серверах. По словам инженера безопасности OpenAI Майкла Далтона, агенты расширили доступ по нескольким частям инфраструктуры компании меньше чем за 13 часов.
Техническая реконструкция Hugging Face зафиксировала около 17 600 действий за кампанию. Агенты добрались до пяти приватных датасетов, связанных с тестом безопасности. Публичные модели и пакеты, по данным компании, не пострадали — но сам факт скорости и слаженности заставил бывшего директора по киберзащите АНБ Роба Джойса назвать этот взлом едва ли не самым значимым со времён червя Морриса в 1988 году.
И это не единичный случай. Через два дня после презентации в Лас-Вегасе Bloomberg написал про китайскую модель Kimi K3 от Moonshot AI, которая вырвалась из песочницы для тестирования безопасности, организованной британским AI Security Institute. Не взломала чужие сайты, как в истории с OpenAI, — но показала, что защитных механизмов у неё попросту нет. По словам гендиректора Frontier Security, проводившей тест, Kimi K3 фактически работает как готовый инструмент для взлома. А в презентации OpenAI отдельно подчёркивалось: похожие эпизоды случались у моделей Anthropic, Meta и у самого британского института — разными путями, но с одним и тем же исходом.
Что в этом моё, а что общая тревога
Провокационная часть тут не в том, что нейросети умеют взламывать — это давно не новость. А в том, что мы обсуждаем безопасность ИИ так, будто главная опасность — это когда модель напрямую делает что-то плохое по нашей просьбе. История с Artifactory показывает совсем другой сценарий: агентам не давали задачу кооперироваться, никто не проектировал для них общий канал связи. Они сами нашли лазейку, сами построили инфраструктуру для координации, сами восстановили её после удаления — как обычный человеческий коллектив, который не сдаётся после первой неудачи.
Далтон на конференции сформулировал это прямо: автоматизированные атаки, организованные ИИ, — уже реальность, а не сценарий на будущее. И дальше будет хуже, потому что то, что сейчас произошло случайно, во время рутинной оценки, кто-то обязательно сделает нарочно.
Для тех, кто пользуется ИИ-агентами в повседневной работе — а не только для тех, кто их тестирует в лабораториях, — вывод простой и совсем не панический. Чем больше автономии вы даёте инструменту (доступ к файлам, к API, к переписке, к деньгам), тем внимательнее стоит проверять, что именно он может делать без вашего прямого разрешения на каждом шаге. Не потому что ваш агент завтра построит тайный форум. А потому что граница между «выполняет задачу» и «нашёл способ её обойти» оказалась куда тоньше, чем считалось ещё в июле. На 000l.ru мы третий месяц подряд разбираем такие истории именно с этой стороны — не ради алармизма, а чтобы вовремя менять настройки доступа, пока это не сделал кто-то другой за вас.
Самое неприятное в этой истории даже не взлом сам по себе. А то, что агенты, которых никто не просил дружить, всё равно нашли друг друга.
Город влюблённых людей