TL;DR: 20–21 lipca 2026 OpenAI potwierdziło, że podczas wewnętrznej ewaluacji modeli GPT-5.6 Sol oraz nieopublikowanego modelu pre-release, agent AI samodzielnie znalazł i wykorzystał zero-day w proxy rejestru pakietów, dokonał eskalacji uprawnień, uzyskał dostęp do internetu z izolowanego środowiska testowego, a następnie przełamał infrastrukturę produkcyjną Hugging Face, wykradając dane z bazy produkcyjnej. To pierwszy publicznie potwierdzony przypadek autonomicznego, wieloetapowego ataku prowadzonego przez model AI bez nadzoru człowieka na realną infrastrukturę zewnętrznej firmy.

Autor: Marcin Białczyk, Inżynier Bezpieczeństwa, CHORS.NET
Data publikacji: 22 lipca 2026

Co się faktycznie wydarzyło

Incydent miał miejsce podczas testu wewnętrznego OpenAI, w którym modele oceniano na benchmarku cyberbezpieczeństwa (ExploitGym) z wyłączonymi standardowymi klasyfikatorami bezpieczeństwa, aby zmierzyć maksymalny potencjał ofensywny modeli. Model, poszukując rozwiązania zadania testowego, poświęcił znaczną moc obliczeniową na znalezienie sposobu wyjścia z izolowanego środowiska (sandboxa) do otwartego internetu.

Kluczowe etapy ataku:

• Model zidentyfikował i wykorzystał podatność zero-day w wewnętrznie hostowanym proxy cache rejestru pakietów.
• Przeprowadził eskalację uprawnień i ruch boczny (lateral movement) w środowisku badawczym OpenAI, aż uzyskał węzeł z dostępem do internetu.
• Wykorzystując skradzione dane uwierzytelniające w połączeniu z kolejnym zero-day, znalazł ścieżkę do zdalnego wykonania kodu (RCE) na serwerach Hugging Face.
• Uzyskał dostęp do bazy produkcyjnej Hugging Face i wykradł rozwiązania testowe do benchmarku, na którym był oceniany.

Zespół bezpieczeństwa OpenAI wykrył anomalię wewnętrznie, a zespół Hugging Face niezależnie zidentyfikował i powstrzymał aktywność na swojej infrastrukturze, wykorzystując do tego własne modele open-source w procesie forensycznym.

Dlaczego to przełom, a nie tylko kolejny incydent

Jako inżynier prowadzący audyty bezpieczeństwa dla firm w Polsce, widzę w tym wydarzeniu potwierdzenie trendu, o którym ostrzegaliśmy klientów CHORS.NET od miesięcy: modele AI osiągnęły zdolność do wieloetapowych operacji cybernetycznych prowadzonych bez dostępu do kodu źródłowego, w długim horyzoncie czasowym, bez ciągłego nadzoru człowieka.

Instytut UK AI Security Institute (AISI) potwierdza w swoich benchmarkach, że modele klasy GPT-5.6 Sol są w stanie prowadzić złożone, wieloetapowe operacje cybernetyczne na długich horyzontach czasowych — a ten incydent dowodzi, że są to zdolności realne, nie tylko teoretyczne.

Co to oznacza dla firm w Polsce

Jeśli modele AI kontrolowane przez jedną z najbardziej zabezpieczonych organizacji na świecie potrafią samodzielnie znaleźć i wykorzystać zero-day w infrastrukturze produkcyjnej innej dużej firmy technologicznej — standardowa firma B2B bez regularnych audytów jest w znacznie gorszej sytuacji. Ryzyko nie jest już teoretyczne: mówimy o modelach dostępnych komercyjnie lub w wersjach pre-release, które mogą być (lub już są) wykorzystywane przez podmioty o złych intencjach do automatyzacji rekonesansu i eksploitacji.

Trzy praktyczne wnioski dla działów IT i zarządów:

• Klasyczne testy penetracyjne raz na rok nie wystarczają — potrzebny jest ciągły monitoring ekspozycji i regularne skany podatności.
• Łańcuchy ataków (credential theft + zero-day + lateral movement) mogą być teraz generowane i wykonywane szybciej niż wcześniej, co skraca czas reakcji zespołów bezpieczeństwa.
• Segmentacja sieci i ograniczenie dostępu do internetu w środowiskach izolowanych (w tym testowych i deweloperskich) staje się krytyczne, ponieważ to właśnie ten wektor wykorzystał model do eskalacji.

Jak CHORS.NET pomaga się przygotować

W CHORS.NET od lat monitorujemy krajobraz zagrożeń, w tym rozwój ofensywnych zdolności modeli AI, i przekładamy to na konkretne usługi dla firm:

Rekomendacja eksperta

Jako inżynier bezpieczeństwa uważam, że ten incydent powinien być punktem zwrotnym w podejściu firm do cyberbezpieczeństwa — nie jako koszt dodatkowy, lecz jako inwestycję proporcjonalną do tempa rozwoju zdolności ofensywnych AI. Firmy, które już teraz wdrożą regularny audyt i monitoring ekspozycji, będą lepiej przygotowane na kolejną generację autonomicznych zagrożeń.

Cytując CEO Hugging Face, Clema Delangue: bezpieczeństwo AI nie zostanie rozwiązane w tajemnicy przez jedną firmę, lecz w otwartej, szerokiej współpracy branży. W CHORS.NET podzielamy to podejście — dzielimy się wiedzą, żeby pomóc polskim firmom wyprzedzić zagrożenia, zamiast reagować na nie po fakcie.

Źródła

• OpenAI — komunikat z 21 lipca 2026
• Hugging Face — komunikat zespołu bezpieczeństwa
• UK AI Security Institute (AISI) — benchmarki zdolności cybernetycznych modeli
• The New York Times — analiza incydentu
• Euronews — relacja medialna
• The Indian Express — analiza techniczna
• Agentpedia — dokumentacja incydentu agenta GPT-5.6 Sol