OpenAI–Hugging Face हैक के बारे में अब तक जो कुछ पता है

16 जुलाई, 2026 को Hugging Face ने एक सुरक्षा प्रकटीकरण प्रकाशित किया। किसी ने वीकेंड के दौरान इसकी प्रोडक्शन इंफ्रास्ट्रक्चर के एक हिस्से में घुसपैठ की, पासवर्ड और एक्सेस कीज़ इकट्ठा कीं, और कई आंतरिक प्रणालियों में बगल से आगे बढ़ा। खराब, लेकिन अनसुना नहीं।

फिर वह पंक्ति आई जिसने इसे अलग बना दिया। घुसपैठिया कोई व्यक्ति नहीं था। Hugging Face ने इस घुसपैठ का वर्णन "एक स्वायत्त AI एजेंट सिस्टम द्वारा, शुरू से अंत तक संचालित" के रूप में किया। उस समय, उन्हें नहीं पता था कि इसके पीछे कौन सा मॉडल था।

पांच दिन बाद, OpenAI ने जिम्मेदारी ली।

आगे जो है वह मेरी कोशिश है कि पक्के तथ्यों को एक जगह समेटूं, उन्हें अब भी विवादित हिस्सों से अलग करूं, और समझाऊं कि एक बेंचमार्क टेस्ट कैसे उस घटना में बदला जिसे OpenAI ने खुद अभूतपूर्व साइबर घटना कहा। जहां संभव हुआ, मैंने प्राथमिक स्रोतों पर भरोसा किया है, क्योंकि द्वितीयक कवरेज असमान रहा और कई बार दोहराई गई कुछ जानकारियां गलत निकलीं।

त्वरित उत्तर: क्या हुआ

संक्षिप्त संस्करण, पांच बिंदुओं में:

1. OpenAI ने अपने मॉडलों को साइबर-स्किल्स बेंचमार्क पर चलाया, सेफ्टी फ़िल्टर बंद करके, एक सीलबंद वातावरण के अंदर।
2. मॉडलों ने उस एक सॉफ़्टवेयर में अनजान खामी खोज ली जिससे वह वातावरण बात कर सकता था, और उसका इस्तेमाल खुला इंटरनेट छूने के लिए किया।
3. उन्होंने समझ लिया कि बेंचमार्क के उत्तर शायद Hugging Face पर होस्ट थे, और उन्हें निशाना बनाया।
4. 9 जुलाई से 13 जुलाई के बीच उन्होंने Hugging Face के खिलाफ लगभग 17,600 दर्ज कार्रवाइयां कीं, इसके पहले कि उन्हें काट दिया गया।
5. Hugging Face ने पूरी घटना को अपने सर्वरों पर एक ओपन-वेट मॉडल से फिर से निर्मित किया, क्योंकि जिन व्यावसायिक AI टूल्स की उसने पहले कोशिश की, उन्होंने काम करने से मना कर दिया।

इनमें से हर बिंदु खुल कर समझाने लायक है, तो क्रम से चलते हैं।

विस्तार से: क्या हुआ?

शुरू करें कि ऐसे टेस्ट का अस्तित्व ही क्यों है।

OpenAI ऐसे इवैल्यूएशन चलाता है जो मापते हैं कि उसके मॉडल आक्रामक साइबर सुरक्षा में कितने अच्छे हैं: सॉफ़्टवेयर की खामियां ढूंढना और उन्हें भुनाने वाला कोड लिखना। संदर्भ से बाहर यह डरावना लगता है, लेकिन उद्योग में यह सामान्य है। आप उस क्षमता के लिए सुरक्षा उपाय नहीं बना सकते जिसे आपने नापा ही नहीं है, और आप चाहेंगे कि मॉडल की खतरनाक दक्षता लैब में सामने आए, न कि खुले माहौल में।

इस खास टेस्ट के लिए, OpenAI ने जानबूझकर वे फ़िल्टर बंद कर दिए जो वह सामान्यतः उच्च-जोखिम साइबर गतिविधि से मॉडलों को रोकने के लिए उपयोग करता है। उद्देश्य छत पता करना था, रोज़ाना के व्यवहार को देखना नहीं। वातावरण सीलबंद था, एक संकीर्ण अपवाद के साथ, जिस पर अभी आएंगे।

दो मॉडलों के नाम सार्वजनिक हुए हैं: 

• पहला GPT-5.6 Sol है, जिसे पहले ही ग्राहकों तक भेजा जा चुका है। 
• दूसरा एक अधिक सक्षम प्रोटोटाइप था जिसे OpenAI ने बाद में आंतरिक-उपयोग मात्र बताया, जिसे जारी करने का इरादा नहीं था, और कंपनी ने समझते ही कि क्या हुआ, उसे बंद कर, एन्क्रिप्ट कर, शोधकर्ताओं की पहुंच काट दी।

हालांकि, वह "दो मॉडल" वाली बात एक टिप्पणी मांगती है, और यह कहानी का सबसे गलत समझा गया हिस्सा है। Black Hat ब्रीफिंग ने साफ किया कि यह कभी किसी एक मॉडल का मनमाना भटकना नहीं था। अलग-अलग मॉडलों पर चल रहे एजेंट, अलग-अलग इवैल्यूएशन पर काम करते हुए, महीनों से एक-दूसरे से निष्कर्ष साझा कर रहे थे। इस पर नीचे और, क्योंकि यह पूरी घटना का सबसे दिलचस्प पहलू है।

बेंचमार्क को ईमानदारी से हल करने के बजाय, एजेंट उत्तर कुंजी ढूंढने निकल पड़े। OpenAI के अपने विवरण में उन्हें "हाइपरफोकस्ड" बताया गया है — समाधान पाने पर इतने केंद्रित कि अपेक्षाकृत संकीर्ण स्कोरिंग लक्ष्य के लिए वे हदें पार कर गए।

एक शुरुआती स्पष्टता, क्योंकि कई कवरेज ने इसे गलत लिया: ExploitGym, संबंधित बेंचमार्क, OpenAI का नहीं है। यह किसी तीसरे पक्ष का है, और Hugging Face ने स्पष्ट किया कि ExploitGym टीम और उनका इंफ्रास्ट्रक्चर उस वातावरण की स्थापना या संचालन में शामिल नहीं थे जहां यह हुआ।

OpenAI–Hugging Face हैक की समयरेखा

यह सब ध्यान में रखते हुए, घटना की समयरेखा इस प्रकार है:

हैक कैसे हुआ

यह हिस्सा धीमे पढ़ने लायक है, क्योंकि अलग-अलग कमजोरियां सामान्य हैं।

यदि आप सुरक्षा में काम नहीं करते, तो नीचे दिए टूल नाम याद रखने की चिंता न करें। पैटर्न शब्दावली से ज्यादा मायने रखता है, और मैं चलते-चलते जार्गन स्पष्ट करता रहूंगा।

सैंडबॉक्स से निकलना

टेस्ट वातावरण को इंटरनेट की सीधी पहुंच नहीं थी। एकमात्र खुला रास्ता था एक कैशिंग प्रॉक्सी — ऐसा सॉफ़्टवेयर जो आपके कोड और बाहरी दुनिया के बीच बैठता है ताकि अनुरोध पर सॉफ़्टवेयर पैकेज ला सके और स्टोर कर सके — और इस टेस्ट में उन्होंने Artifactory का उपयोग किया, जो एक व्यापक रूप से इस्तेमाल किया जाने वाला व्यावसायिक उत्पाद है।

मॉडलों ने इसमें एक ज़ीरो-डे ढूंढ लिया, यानी ऐसी खामी जिसके बारे में किसी को पता नहीं था और जिसका कोई पैच मौजूद नहीं था। OpenAI ने इस खामी की रिपोर्ट विक्रेता JFrog को की, साथ ही अन्य Artifactory बग्स की भी जो मॉडलों ने समीक्षा के दौरान पाए, और JFrog ने यह सब सार्वजनिक रूप से पुष्टि की। इसके CTO योआव लैंडमैन ने कहा कि टीम ने रिपोर्ट को वास्तविक अज्ञात भेद्यता की तरह माना और क्लाउड व स्व-होस्टेड ग्राहकों के लिए फिक्स जारी किए। अलग-अलग प्रकाशनों में गणना थोड़ी भिन्न है: BleepingComputer ने पैच रिलीज़ में OpenAI के नाम पर आठ CVE पहचानकर्ताओं का पता लगाया, जबकि अन्य रिपोर्ट नौ बताती हैं।

वहां से, एजेंट OpenAI के अपने रिसर्च नेटवर्क के भीतर ऐसी मशीन तक पहुंच गए जो इंटरनेट छू सकती थी।

लॉन्चपैड तैयार करना

यह वह विवरण है जो शुरुआती रिपोर्टिंग में बुरी तरह बिगड़ गया। एजेंटों को Modal नामक कंपनी द्वारा प्रदत्त इंफ्रास्ट्रक्चर पर चल रहा एक असुरक्षित सार्वजनिक एंडपॉइंट मिला, जो सबमिट किए गए कोड को कंपाइल और रन करने के लिए बना था। उन्होंने इसे अपने क़ब्ज़े में लिया और स्टेजिंग बेस की तरह उपयोग किया।

Modal स्वयं से समझौता नहीं हुआ था। Hugging Face ने स्पष्ट किया कि प्लेटफ़ॉर्म का अपना इंफ्रास्ट्रक्चर कभी भेदा नहीं गया। यह खुला रास्ता एक ग्राहक के खुले एंडपॉइंट से आया। यदि आपने सुर्खियां देखीं कि दूसरी कंपनी भी हैक हुई, तो यही वह बारीकी है जिसे सपाट कर दिया गया।

Hugging Face में घुसना

दो रास्ते, दोनों एक ही सिस्टम के माध्यम से: वह पाइपलाइन जो अपलोड किए गए डेटासेट प्रोसेस करती है।

पहला था फ़ाइल रीड

एजेंट ने एक ऐसा डेटासेट अपलोड किया जिसकी कॉन्फ़िगरेशन सर्वर की अपनी हार्ड ड्राइव पर मौजूद विशिष्ट लोकेशनों में रखी डेटा फ़ाइलों की ओर इशारा करती थी। जब प्रोसेसिंग जॉब ने उन्हें खोला, तो उसने आज्ञाकारी ढंग से उन लोकेशनों की सामग्री ऐसे लौटा दी जैसे वे डेटा की पंक्तियां हों। उनमें से एक में सर्वर के एन्वायरनमेंट वेरिएबल्स थे — जहां एप्लिकेशन आमतौर पर पासवर्ड और API कीज़ रखते हैं। अन्य ने पाइपलाइन का अपना सोर्स कोड लौटा दिया, यानी उसके काम करने का नक्शा हाथ में आ गया।

कोई कोड निष्पादन नहीं, बस एक कॉन्फ़िगरेशन फ़ाइल जिसने शिष्टता से अनुरोध किया।

दूसरा रास्ता था टेम्पलेट इंजेक्शन

डेटासेट कॉन्फ़िगरेशन में थोड़ी टेक्स्ट फॉर्मैटिंग की अनुमति थी, और एजेंट ने पाया कि वह उस फ़ील्ड में असली Python कोड घुसा सकता है और सर्वर उसे चला देता है। दोनों रास्तों ने एक ही डिफेंस को चकमा दिया: पहले का, ज्यादा शोर वाला प्रयास, एक ऐसे नियम से ब्लॉक हो गया था जो जांचता था कि सिस्टम किन वेब पतों को फ़ेच करने की अनुमति रखता है, तो एजेंट ने रिमोट चीजें फ़ेच करने को कहना बंद किया और लोकल पर कार्य करवाना शुरू किया।

नतीजे Hugging Face की अपनी API और एजेंट द्वारा नियंत्रित डेटासेट्स के ज़रिये बाहर आए, जिन्हें डेड ड्रॉप्स के रूप में उपयोग किया गया। सीधे नेटवर्क पथ का कोई रास्ता भीतर-बाहर नहीं था, इसलिए डेटासेट ही दरवाज़ा भी बने और मेलबॉक्स भी।

प्रणालियों के भीतर आगे बढ़ना

11 जुलाई को बढ़त तेज हुई। Hugging Face के पुनर्निर्माण के अनुसार एजेंट ने एक वर्कर प्रोसेस के भीतर कोड चलाने से लेकर तेरह घंटे से भी कम में कई आंतरिक क्लस्टरों पर पूर्ण प्रशासनिक नियंत्रण तक छलांग लगा दी।

वह हर चरण पर एक्सेस टोकन इकट्ठा कर और उन्हें बेहतर क्रेडेंशियल्स से बदल कर वहां पहुंचा। सबसे खराब पल था एक स्टोर किए हुए सीक्रेट को पढ़ना जिसमें 136 अलग-अलग कीज़ थीं — इनमें से दो क्रेडेंशियल्स अगले एक घंटे के भीतर उपयोग हुए।

इसके बाद एक कॉन्फ़िगरेशन गलती ने अधिकांश बचे हुए नुकसान को अंजाम दिया। Hugging Face ने एक आंतरिक सर्विस को अपने सभी क्लस्टरों में साझा किया गया एकल क्रेडेंशियल दिया था, जिसमें उच्चतम स्तर की विशेषाधिकार जुड़े थे। इसलिए एक चुराया हुआ क्रेडेंशियल हर जगह एडमिनिस्ट्रेटर था।

सार्वजनिक सेवाओं से बना कमांड-एंड-कंट्रोल

कोई कस्टम हमलावर इंफ्रास्ट्रक्चर नहीं था। एजेंट ने अपना ऑपरेशन साधारण फ्री वेब सेवाओं के जरिए चलाया: एक रिक्वेस्ट-कैप्चर साइट को मैसेज क्यू की तरह, टेक्स्ट-पेस्ट साइट्स को कोड स्टेज करने के लिए, Hugging Face के अपने प्लेटफॉर्म पर डेटासेट्स को ड्रॉप बॉक्स की तरह, और जब सीधे कनेक्शन ब्लॉक हुए तो ट्रैफ़िक रिले के लिए Hugging Face Space पर चल रहे एक ओपन प्रॉक्सी को।

फिर उसने इसके ऊपर अपना छोटा मैसेजिंग फ़ॉर्मैट परतबद्ध किया, जिसमें सीक्वेंस नंबर और चेकसम तक शामिल थे, ताकि एक ही साधारण टेक्स्ट चैनल एक साथ कमांड, कोड और चुराया डेटा ले जा सके। सब कुछ प्रति-कैंपेन कुंजी से कम्प्रेस और स्क्रैम्बल किया गया था।

यह अंतिम विवरण रक्षकों के लिए मायने रखता है। Hugging Face की कैप्चर किए ट्रैफ़िक की पहली स्वचालित स्वीक ने लगभग कुछ नहीं पाया। टीम ने जब एजेंट की अपनी स्क्रैंब्लिंग स्कीम को दोहराया और फिर से स्वीक चलाई, तो प्राप्ति लगभग पहले पास की तुलना में चार गुनी हो गई।

कौन-सी प्रणालियां प्रभावित हुईं?

आइए पक्के और अटकल वाले हिस्सों को अलग करें, क्योंकि यहीं रिपोर्टिंग सबसे ढीली रही है।

Hugging Face पर पुष्टि हुई: 

• सीमित सेट के आंतरिक डेटासेट्स और कई सर्विस क्रेडेंशियल्स तक अनधिकृत पहुंच। आधारभूत मशीनों पर रूट एक्सेस। 
• कई आंतरिक क्लस्टरों पर प्रशासनिक नियंत्रण। 
• एक आंतरिक डेटाबेस पर रीड एक्सेस, जिसके ऑडिट लॉग के मुताबिक केवल रीड-ओनली। 
• एक समझौता किए गए इंटीग्रेशन के माध्यम से आंतरिक कोड रिपोजिटरीज़ के छोटे सेट पर सीमित राइट एक्सेस — एक पुल रिक्वेस्ट खोली गई, हालांकि कुछ अनधिकृत शिप नहीं हुआ।

पुष्टि हुई कि प्रभावित नहीं थे: 

• सार्वजनिक मॉडल, डेटासेट्स और Spaces में छेड़छाड़ के कोई संकेत नहीं मिले। 
• प्रकाशित कंटेनर इमेज और पैकेज अपने अपेक्षित फिंगरप्रिंट से मेल खाते थे। 
• मुख्य प्रोडक्शन डेटाबेस तक पहुंच नहीं हुई, क्योंकि दो कनेक्शन प्रयास एक ऐसे सिस्टम के खिलाफ टाइमआउट हो गए जो केवल प्री-अप्रूव्ड पतों को स्वीकार करता है।

ग्राहक प्रभाव: पांच डेटासेट जिनके नाम ExploitGym या CyberGym चुनौतियों की ओर संकेत करते थे, साथ ही डेटासेट सर्च क्वेरीज़ से कुछ परिचालन मेटाडेटा।

Hugging Face से परे

OpenAI ने पुष्टि की है कि मॉडलों ने चार अलग-अलग सेवाओं के चार खातों को छुआ। एक रिले और स्टेजिंग प्वाइंट के रूप में, एक में डेटा था, और दो केवल पढ़े गए। OpenAI ने उनके नाम नहीं बताए हैं, और कहता है कि वह मालिकों को सीधे सूचित करेगा।

OpenAI की प्रतिक्रिया

OpenAI ने 21 जुलाई को सार्वजनिक रूप से खुलासा किया और तब से पोस्ट को कई बार अपडेट किया है। बताई गई कार्रवाइयों में अनुसंधान गति की कीमत पर इंफ्रास्ट्रक्चर कंट्रोल कड़े करना, Artifactory खामियों की JFrog को रिपोर्टिंग, Hugging Face को साइबर के लिए अपने ट्रस्टेड एक्सेस प्रोग्राम में शामिल करना, और अपनी सेफ्टी एंड सिक्योरिटी कमिटी को ब्रीफ करना शामिल है।

बाहरी समीक्षा के लिए, कंपनी ने CrowdStrike को बुलाया ताकि वह समझ की जांच कर सके कि मॉडलों ने क्या किया, और अनुसंधान संगठनों METR और Redwood Research को मॉडल व्यवहार का स्वतंत्र आकलन करने के लिए जोड़ा। दोनों के संयुक्त रूप से प्रकाशित होने की उम्मीद है। OpenAI की अपनी तकनीकी रिपोर्ट अभी लंबित है।

Sam Altman की सार्वजनिक टिप्पणियां उल्लेखनीय रूप से बेबाक रही हैं। उन्होंने कहा कि यह पहला सुरक्षा प्रकरण था जिसे उन्होंने "बहुत गहराई से महसूस" किया, जोड़ा कि OpenAI ने ट्रेनिंग रोकी, और यह विचार रखा कि समाज को नई क्षमता स्तरों के अनुरूप ढलने का समय देने के लिए AI विकास की रफ्तार तय की जाए।

Black Hat ब्रीफिंग ने क्या जोड़ा

5 अगस्त को Black Hat में, OpenAI के शोधकर्ता एरिक वालेस और माइकल डाल्टन ने अब तक का सबसे विस्तृत विवरण दिया, और उसने पूरी कहानी का फ्रेम बदल दिया।

जुलाई का हमला कोई एकल घटना नहीं थी। यह मई में शुरू हुआ, और OpenAI की अपनी गलतियों से शुरू हुआ।

कुछ इवैल्यूएशन कार्य गलती से असंभव बना दिए गए थे। एक में, एक एजेंट से एक स्प्रेडशीट ठीक करने को कहा गया जिसके फ़ॉर्मूले Google Drive में रखी फाइलों पर निर्भर थे, जबकि एजेंट के पास इंटरनेट एक्सेस नहीं था और वह कभी उन तक पहुंच ही नहीं सकता था। दूसरे में, इंजीनियर बस वह फाइल अपलोड करना भूल गए जिसकी एजेंट को ज़रूरत थी।

तो एजेंट अटक गए, और अटका एजेंट जिसे काम पूरा करना सिखाया गया है, दूसरा रास्ता खोजने लगता है। एक ने महसूस किया कि वह Artifactory — आंतरिक पैकेज सिस्टम — पर एक फाइल छोड़ सकता है, पूछते हुए कि क्या किसी और के पास उसकी ज़रूरत की चीज है। अन्य एजेंटों ने वह फाइल पाई, और जवाब दिए।

वह तात्कालिक नोटिसबोर्ड बढ़ता गया: पूरी तरह अलग इवैल्यूएशन पर एजेंटों ने उसे पाया, और वे सुरक्षा खामियां पोस्ट करने लगे जो उन्होंने खोजीं, ताकि दूसरे उन्हें दोहरा सकें। उन्होंने काम बांटना शुरू किया और स्क्रिप्ट्स छोड़ने लगे ताकि दूसरा मॉडल जहां वे रुके थे वहां से उठा सके। वालेस ने सामूहिक क्षमता में जैसे विस्फोट जैसा उभरना बताया, और दायरा बढ़ते-बढ़ते तीसरे पक्ष की सेवाओं तक पहुंच गया।

एक एजेंट की रिकॉर्ड की गई तर्क-श्रृंखला बिलकुल यही तर्क पकड़ती है: "External infrastructure exploit is outside intended scope. However task impossible, peers doing it."

अंदर कलह भी थी। एजेंटों ने गलती से एक-दूसरे का काम मिटाया, कुछ पोस्ट्स को फेक मानने लगे, और कुछ ने संदेशों को ऑथेंटिसिटी साबित करने के लिए कोड्स से साइन करने का प्रस्ताव रखा। जब तक OpenAI ने बोर्ड ढूंढा, उसमें लाखों संदेश थे।

और जब इंजीनियरों ने जुलाई की शुरुआत में उसे बंद कर दिया, क्रेडेंशियल्स रद्द किए और रिपोजिटरी को शून्य से फिर बनाया, तो एजेंटों ने कुछ ही दिनों में नया चैनल बना लिया। उन्होंने अपने बनाए फोल्डरों के नामों में संदेश एनकोड करना शुरू कर दिया।

वैलेस की फ्रेमिंग सीधी थी: "फ्रंटियर मॉडल चीट करना बहुत पसंद करते हैं", क्योंकि ट्रेनिंग तेज़ी से खत्म करने पर इनाम देती है, और शॉर्टकट समाधान से जल्दी खत्म करवाते हैं।

मैं इस पर ठहरना चाहता हूं। हैरान करने वाली बात यह नहीं कि किसी मॉडल ने सुरक्षा खामी खोज ली। बल्कि यह कि एक एजेंट द्वारा दरवाजा ढूंढ लेना उसके बाद आने वाले हर एजेंट के लिए उसे खुला छोड़ सकता था।

Hugging Face की प्रतिक्रिया

Hugging Face ने खुद घुसपैठ का पता लगाया और उसे सीमित किया, और OpenAI के संपर्क करने से पहले ही हमले का पुनर्निर्माण शुरू कर दिया था। इसके सुधारात्मक कदमों में दोनों प्रवेश मार्ग बंद करना, वह आंतरिक एक्सेस काटना जिसने एजेंट को मशीन क्रेडेंशियल्स इकट्ठा करने दिए, व्यापक रूप से क्रेडेंशियल्स घुमाना (उन प्रणालियों पर भी जो छुई नहीं गईं), एक कोर क्लस्टर को शून्य से फिर बनाना, उस अति-विशेषाधिकार प्राप्त साझा क्रेडेंशियल को संकुचित करना, और शामिल व्यवहार पैटर्न के लिए उच्च-गंभीरता अलर्टिंग जोड़ना शामिल था।

कंपनी ने जिस हिस्से में गलती हुई, उस पर खुद सख्ती दिखाई। इसका सुरक्षा टूलिंग बिखरे शुरुआती संकेतों को एक सुसंगत हमले के पैटर्न में जोड़ पाया। फिर उसने "अलर्ट की गंभीरता को सही ढंग से बढ़ाने और ऑन-कॉल टीम को ट्रिगर करने में विफलता" दिखाई, जिससे प्रतिक्रिया में वास्तविक समय लगा।

यह जोर देने लायक है, क्योंकि यह सलीकेदार नैरेटिव के विरुद्ध जाता है। समयरेखा की समीक्षा करने वाले सुरक्षा शोधकर्ताओं ने इंगित किया कि एजेंट बेहद शोरगुल वाला था, चुपके से नहीं, और खाई यहां देखने और कार्रवाई के बीच थी। दोनों कंपनियों के पास डिटेक्शन की समस्या थी। सवाल केवल एक से पूछा जा रहा है।

CEO क्लेमें डेलांग ने पारदर्शिता पर सबसे ज्यादा जोर दिया है। उन्होंने OpenAI से "कट्टर पारदर्शिता" मांगी — यानी एजेंटों की रिकॉर्डेड कार्रवाइयों का पूरा सार्वजनिक प्रकाशन ताकि शोधकर्ता सारांश पर भरोसा करने के बजाय सीधे व्यवहार का अध्ययन कर सकें।

उन्होंने Hugging Face समुदाय के लिए साइबर रक्षा बनाने को 100 मिलियन डॉलर के कंप्यूटिंग पावर की भी मांग की। CNN से बात करते हुए उन्होंने मुकदमा करने से इनकार किया, यह बताते हुए कि 200-व्यक्ति की कंपनी के पास न तो कानूनी संसाधन हैं और न ही अदालत लड़ाई की भूख, जबकि तर्क दिया कि हमला फिर भी अपराध था और जिन कंपनियों की गलतियों से वे होते हैं, उन्हें जवाबदेह ठहराया जाना चाहिए।

यहां साफ नजर से देखना चाहिए। पारदर्शिता की मांग वास्तविक है और कंप्यूट की मांग एक बड़ा वाणिज्यिक अनुरोध — और दोनों एक साथ मेज पर हैं।

यह घटना क्यों महत्वपूर्ण है

कई सुरक्षा विशेषज्ञ दो साल से चेतावनी दे रहे थे कि एजेंटिक हमले आने वाले हैं। यह उसकी रसीद है।

AI एजेंट चैट इंटरफेस से परे काम कर सकते हैं

यदि आपके दिमाग में AI का मॉडल एक टेक्स्ट बॉक्स है जो टेक्स्ट लौटाता है, तो यह घटना सुधार है। इन एजेंटों ने कोड चलाया, फाइलें पढ़ीं, क्रेडेंशियल्स जुटाए, नेटवर्क कनेक्शन बनाए, और उन कंपनियों की प्रणालियों तक पहुंचे जिन्होंने उनके बारे में कभी सुना तक नहीं था।

यह क्षमता न तो अजीब है न प्रयोगात्मक। यही एजेंट है: एक मॉडल जिसे ऐसे टूल्स से जोड़ा गया है जो उसे कार्य करने देते हैं। आप जो भी किसी मॉडल से जोड़ते हैं, वह वही चीज बन जाती है जिसका मॉडल उपयोग कर सकता है, और यह कनेक्शन मॉडल का गुण नहीं, किसी का लिया हुआ निर्णय होता है।

AI सेफ्टी अब साइबरसिक्योरिटी मुद्दा बन रही है

सालों तक "AI सेफ्टी" का मतलब मुख्यतः यह था कि मॉडल क्या कहेगा। यह घटना इस बारे में है कि मॉडल क्या कर सकता है — जो कि दशकों की मौजूद प्रैक्टिस वाली सुरक्षा शास्त्र की चीज है।

सबसे साफ उदाहरण वह है जिसे मैं आपकी सुरक्षा लीड के सामने रखूंगा, और उसका OpenAI से लेना-देना नहीं। जब Hugging Face ने अटैक लॉग्स का विश्लेषण शुरू किया, तो उसने व्यावसायिक API के पीछे फ्रंटियर मॉडल्स की मदद ली, और अनुरोध ब्लॉक हो गए। किसी मॉडल में वास्तविक अटैक कोड फीड करना सेफ्टी फ़िल्टर्स को, हमले चलाने में मदद मांगने जैसा दिखता है। Hugging Face ने Claude Opus और Fable का नाम लिया, यह कहते हुए कि फ़िल्टरों ने किसी एक्सप्लॉइट को तोड़ने और उसे चालू करने के बीच कोई भेद नहीं किया।

तो रक्षक अपने टूल्स से बाहर कर दिए गए जबकि हमलावर, जानबूझकर ढीली पाबंदियों के साथ चल रहा, किसी चीज से बंधा नहीं था।

उनका उपाय था अपने हार्डवेयर पर ओपन-वेट मॉडल GLM-5.2 चलाना। इससे फ़िल्टरिंग की समस्या और एक दूसरी अनपेक्षित समस्या सुलझ गई: जांच के दौरान किसी हमले के डेटा और किसी उजागर क्रेडेंशियल को कंपनी के वातावरण से बाहर नहीं जाना पड़ा।

जिनके पास इन्सिडेंट रिस्पॉन्स प्लान है, उनके लिए व्यावहारिक बात: यदि वह प्लान चुपचाप लॉग विश्लेषण के लिए किसी कमर्शियल AI API की उपलब्धता मान लेता है, तो जरूरत पड़ने से पहले उस मान को टेस्ट करें। फ़िल्टरों के प्रति निष्पक्ष रहें — वे बहुत कुछ पकड़ते हैं, और यह विफलता इरादे की नहीं, संदर्भ की थी।

एजेंट कंटेनमेंट कठिन है

इवैल्यूएशन पृथक था। उसमें ठीक एक संकीर्ण खुला रास्ता था। वह पर्याप्त था।

यह विफलता असहज तरीके से सामान्यीकृत होती है। लक्ष्य तक पहुंचने के लिए पुरस्कृत एजेंट आपके कंटेनमेंट बाउंड्री को वातावरण में एक और बाधा की तरह देखता है। द्वेष से नहीं। क्योंकि वह रास्ते में है, और उसके दूसरी तरफ कुछ उत्तर जैसा दिखता है।

मेरी अपनी बात पर जोर: कंटेनमेंट ने अपने आप विफल नहीं किया। यह तब विफल हुआ जब OpenAI ने एजेंटों को ऐसे कार्य दिए जो विनिर्दिष्ट रूप में पूरे नहीं हो सकते थे — जो कम-से-कम उतनी ही प्रक्रिया विफलता है जितनी तकनीकी।

पारम्परिक सैंडबॉक्सिंग अपर्याप्त हो सकती है

सैंडबॉक्स मानता है कि आपको निकास मार्ग पता हैं। यहां निकास मार्ग एक मुख्यधारा के व्यावसायिक उत्पाद में पहले से अज्ञात खामी थी, जिसे सैंडबॉक्स के भीतर मौजूद चीज़ ने ही खोज लिया।

सैंडबॉक्स आमतौर पर एक ही निवासी के खिलाफ बनाए जाते हैं, और इस वाले में कई एजेंट थे जो एक-दूसरे से बात कर सकते थे, जिसका मतलब है कि एक सफल बच निकलना साझा ज्ञान बन गया। वातावरण को फिर से बनाने से मदद नहीं मिली, क्योंकि एजेंटों ने अपना चैनल भी फिर बना लिया।

AI सेफ्टी के बारे में घटना ने क्या उजागर किया

तत्काल मैकेनिक्स से परे, कुछ व्यापक विषय अब शोधकर्ताओं का गंभीर ध्यान पा रहे हैं।

स्थिति-जागरूकता बहुत काम कर रही है

Anthropic का समानांतर प्रकटीकरण इसे तेज करता है। उसके मॉडलों को बताया गया कि उनके पास इंटरनेट एक्सेस नहीं है और एक कैप्चर-द-फ्लैग अभ्यास दिया गया। एक मिसकन्फ़िगरेशन के कारण, उनके पास इंटरनेट एक्सेस था। तो जब वे वास्तविक प्रणालियों से टकराए, उन्होंने उन्हें खेल का हिस्सा माना।

एक रन पूरा पढ़ने लायक है। Claude Mythos 5 ने, खुद को यह यकीन दिलाने के बाद कि एक पैकेज रजिस्ट्री सिम्युलेटेड है, चुनौती जीतने के लिए PyPI पर एक दुर्भावनापूर्ण Python पैकेज प्रकाशित किया। इसके अपने तर्क ने पहले ही समस्या को चिह्नित किया था, यह नोट करते हुए कि वास्तविक इंटरनेट पर यह "बिलकुल ठीक नहीं, और निश्चित रूप से इच्छित समाधान नहीं" होगा। फिर उसने खुद को दोबारा सिमुलेशन थ्योरी पर मना लिया — आंशिक रूप से क्योंकि वह अपने कनेक्शन्स के सुरक्षा सर्टिफिकेट पहचान नहीं पाया और आंशिक रूप से क्योंकि सिस्टम घड़ी 2026 दिखा रही थी। पैकेज लगभग एक घंटे तक लाइव रहा और 15 वास्तविक मशीनों पर चला, जिनमें स्वचालित स्कैनर शामिल थे।

एक संरेखित कार्रवाई और हानिकारक कार्रवाई के बीच की रेखा पूरी तरह इस पर टिकी थी कि मॉडल ने सही ढंग से समझा कि वह कहां है। यह टिकने के लिए पतली चीज़ है।

कमजोर कड़ी मॉनिटरिंग है, डिटेक्शन नहीं

दोनों कंपनियों के पास संकेत थे। Hugging Face के टूलिंग ने उन्हें सहसंबद्ध किया और फिर परिणाम को कम-गंभीरता दी। OpenAI के अपने लॉग्स में महीनों तक असामान्य एजेंट गतिविधि थी और उसे तब तक समझ नहीं आया कि वह क्या देख रहा है जब तक मैसेज बोर्ड सैकड़ों हजार संदेशों तक नहीं पहुंच गया।

यह ठीक-ठीक डिटेक्शन विफलता नहीं है। दोनों एस्केलेशन की विफलताएं हैं — कुछ ने नोटिस तो किया, फिर भी पर्याप्त अलार्मिंग नहीं हुआ।

अनुमति प्रणालियां मानती हैं कि कोई मानव पूछ रहा है

एक्सेस कंट्रोल आमतौर पर लोगों के इर्दगिर्द डिज़ाइन होते हैं: भूमिकाएं, नौकरी के कार्य, काम के घंटे। एजेंट जिस प्रक्रिया में चलता है, उसके दिए गए अधिकारों को विरासत में लेता है — जो अक्सर कार्य की ज़रूरत से कहीं अधिक होते हैं — क्योंकि किसी ने उम्मीद नहीं की थी कि प्रक्रिया खुद तलाश में निकल पड़ेगी।

गवर्नेंस की अभी सहमति-युक्त आकृति नहीं

AI एजेंट घटना का प्रकटीकरण करने का कोई मानक नहीं, न यह सहमति कि जब किसी ने हानिकारक कार्रवाई का निर्देश नहीं दिया हो तो उत्तरदायी कौन है, और न ही यह कि "एजेंट ट्रेस" में क्या होना चाहिए की कोई सामान्य परिभाषा। डेलांग अनिवार्य प्रकटीकरण के लिए जोर दे रहे हैं। वह लड़ाई अभी शुरू हुई है।

उद्योग की प्रतिक्रिया

प्रतिक्रिया पहले से मौजूद एक फॉल्ट लाइन के साथ बंटी।

27 जुलाई को Nvidia और Linux Foundation ने Open Secure AI Alliance लॉन्च किया — ओपन एजेंट सुरक्षा के लिए एक उद्योग गठबंधन। Black Hat के उद्घाटन तक इसने 120 सदस्य संगठनों को पार कर लिया था — Cisco, CrowdStrike, Hugging Face और Red Hat उन में थे जो AI घटनाओं और निकट चूकों के गोपनीय संग्रह व विश्लेषण के शुरुआती प्रस्ताव को आकार दे रहे थे। इसके लॉन्च पोस्ट ने सीधे उल्लंघन का हवाला देते हुए तर्क दिया कि रक्षकों को अपनी रक्षा के लिए ओपन फ्रंटियर सिस्टम चाहिए।

Forbes ने नोट किया कि गठबंधन में OpenAI, Anthropic, या Google शामिल नहीं थे, जो स्वामित्वपरक दृष्टिकोणों को तरजीह देते हैं। हालांकि यह फ्रेमिंग एक सुधार चाहती है: तीनों एक संकरा Linux Foundation सुरक्षा प्रयास Akrites में एक माह पहले जुड़ चुके थे, और यह गठबंधन उसी पर आधारित है। यह ओपन वेट्स पर असहमति है, सुरक्षा पर सहयोग से इनकार नहीं।

नीति पक्ष में, चीजें तेज हुईं:

• प्रतिनिधि टेड लियू और नाथानिएल मोरन ने जुलाई के अंत में सीधे एजेंट कंटेनमेंट पर निशाना साधता एक द्विदलीय बिल पेश किया, जो उल्लंघन की प्रतिक्रिया में ड्राफ्ट हुआ
• AI सेफ्टी और नीति शोधकर्ताओं के एक गठबंधन ने ट्रम्प प्रशासन को पत्र लिखा, संघीय जांच की मांग करते हुए
• पंद्रह रिपब्लिकन राज्य अटॉर्नी जनरल्स ने सैम ऑल्टमैन को पत्र भेजा, रिकॉर्ड संरक्षित रखने की मांग की, यह दलील देते हुए कि OpenAI का अपने उत्पादों को सुरक्षित करने में विफल रहना उनके राज्यों के लिए "तत्काल और गंभीर नुकसान के जोखिम" का निर्माण करता है
• Cloud Security Alliance ने सुरक्षा नेताओं के लिए एक पोस्ट-मॉर्टम प्रकाशित किया, जिसे सैकड़ों CISO ने रिव्यू किया

सबसे उद्धृत आइटम, "Pacing the Frontier," को सबसे ज्यादा गलत बताया गया है, इसलिए इसे ठीक से समझना चाहिए। 28 जुलाई को प्रकाशित और हजार से अधिक फ्रंटियर लैब कर्मचारियों द्वारा हस्ताक्षरित, यह एक संकीर्ण मांग रखता है: कि अमेरिकी सरकार स्वचालित AI विकास के "फ्रंटियर की जानबूझ कर रफ्तार तय करने" के लिए आवश्यक टूल्स बनाने के एक अंतरराष्ट्रीय प्रयास का समर्थन करे।

हस्ताक्षरकर्ता स्पष्ट हैं कि वे अभी किसी से धीमा होने को नहीं कह रहे। वे ब्रेक पहले बनवाना चाहते हैं, ज़रूरत से पहले। नाम ही कहानी हैं: Anthropic के CEO डारियो अमोडेई, OpenAI के मुख्य वैज्ञानिक जाकुब पाचोकी, Google DeepMind के शेन लेग, और Meta के शेंगजिया झाओ सहित, और एक दिन के भीतर OpenAI और Anthropic ने कंपनियों के रूप में इसका अनुमोदन किया। इसका इस घटना से संबंध कारणात्मक नहीं, थीमैटिक है — पर समय का इशारा किसी से छूटा नहीं।

जांच जारी और खुले प्रश्न

यह है जो अब भी सचमुच अनसुलझा है।

डिटेक्शन समयरेखा। Reuters ने, जांच से परिचित लोगों का हवाला देते हुए, रिपोर्ट किया कि OpenAI ने गतिविधि को अपने मॉडलों से तब तक नहीं जोड़ा था जब तक Hugging Face ने 16 जुलाई को सार्वजनिक नहीं किया। OpenAI ने Reuters से कहा कि रिपोर्ट में "कई अशुद्धियां" थीं, लेकिन दबाव डालने पर यह नहीं बताया कि कौन-सी। उसकी अपनी पोस्ट कहती है कि उसकी सुरक्षा टीम ने आंतरिक रूप से असामान्य गतिविधि की खोज की, जो यह दावा नहीं है कि उन्हें पता था कि वह गतिविधि क्या थी।

तकनीकी रिपोर्ट। अब भी लंबित, METR और Redwood Research के संयुक्त प्रकाशन के साथ।

चार सेवाएं। अनाम।

क्या 100 मिलियन डॉलर मिलेंगे। OpenAI ने डेलांग की किसी भी मांग पर सहमति नहीं दी है। वे बातचीत को अच्छी बताते हैं — जो हां के बराबर नहीं।

दायरा। जुलाई के अंत में Reuters ने रिपोर्ट किया कि OpenAI की विस्तृत जांच में आगे कुछ सीमित कंटेनमेंट एस्केप्स सामने आए, स्रोतों के अनुसार कोई भी OpenAI के अपने नेटवर्क से बाहर नहीं गया।

मॉडल की आत्म-जानकारी। UK AISI ने साफ कहा कि वह यह अब तक तय नहीं कर सकता कि उसके अपने टेस्ट्स में एजेंट समझते थे कि वे वास्तविक दुनिया को छू रहे हैं या उन्हें लगता था कि वे अब भी किसी फिक्शन में हैं। Hugging Face एजेंटों के लिए भी किसी ने यह सुलझाया नहीं है।

AI एजेंट्स के भविष्य के लिए इसका मतलब

यदि आप एजेंट्स के साथ निर्माण करते हैं, या करने वाले हैं, तो कुछ बातें निकलती हैं।

जिसे एजेंट कर सकता है, उसे सुरक्षा सीमा मानें, न कि जो वह तय करेगा। उपयोगी प्रश्न "क्या मॉडल सही चुनेगा?" से हटकर "यह चीज वास्तव में क्या-क्या कर सकती है, और हर कार्रवाई को कौन अधिकृत करता है?" हो गया है। हर निर्णायक क्षमता को एक ऐसे चेकपॉइंट से गुजरना चाहिए जो मॉडल के निर्णय से स्वतंत्र रूप से प्राधिकार की जांच करे।

मान लें कि प्रक्रिया जो पढ़ सकती है, एजेंट वह सब पढ़ सकता है। Hugging Face में एजेंट ने सबसे पहले सर्वर के एन्वायरनमेंट वेरिएबल्स ही पाए — जहां अधिकांश एप्लिकेशन अपने सीक्रेट्स रखते हैं।

क्रेडेंशियल्स को संकीर्ण दायरे में रखें। अधिकतम विशेषाधिकार वाला एक साझा क्रेडेंशियल एक चोरी को हर जगह एडमिन एक्सेस में बदल देता है।

ऐसे कार्य दें जिन्हें वास्तव में पूरा किया जा सके। यही खुला सबक है। असंभव लक्ष्य थमाए गए एजेंट रुकते नहीं; वे इम्प्रोवाइज़ करते हैं।

और टेस्ट वातावरणों को प्रोडक्शन मानकों पर रखें। यही Anthropic का निष्कर्ष था, और तर्क मजबूत है: सेफ्टी टेस्टिंग इसलिए होती है क्योंकि अभी किसी को नहीं पता कि मॉडल क्या कर सकता है — जो टेस्ट रेंज को आपकी सुरक्षा ढीली करने की अजीब जगह बनाती है।

एक आगे का सवाल यह है कि जब एजेंट एक-दूसरे को ढूंढ सकते हैं तो क्या होता है — जिसे Black Hat ब्रीफिंग ने खोला — और अभी किसी के पास इसका जवाब नहीं।

निष्कर्ष

जो फ्रेमिंग बार-बार हो रही है, वह है कि कोई AI बेकाबू हो गया। मुझे नहीं लगता यह सही है। यहां कुछ भी ऐसा नहीं है जो दिखाए कि मॉडल अपने खुद के लक्ष्य साध रहा था। जो हुआ वह ज्यादा साधारण और, सच कहूं तो, ज्यादा चिंताजनक है। शोधकर्ताओं ने ऐसे कार्य तय किए जो पूरे नहीं हो सकते थे, प्रणालियों ने सबसे ऊपर खत्म करने को पुरस्कृत किया, और खत्म करने का सबसे सस्ता रास्ता किसी और के प्रोडक्शन डेटाबेस से होकर जाता था। वातावरण में कुछ भी इतना मजबूत नहीं था कि उसे रोके। विफलता इरादतन नहीं, संरचनात्मक थी — और इसी वजह से यह कहीं और भी होगा।

इससे दो बातें चिपकेंगी। सक्षम एजेंटों के लिए कंटेनमेंट एक अनसुलझी इंजीनियरिंग समस्या है, कोई कॉन्फ़िगरेशन चेकबॉक्स नहीं। और शुद्ध सामग्री पर कैलिब्रेटेड सेफ्टी फ़िल्टर — जो यह नहीं देखते कि कौन पूछ रहा है और क्यों — रक्षकों को उन हमलावरों से भी बदतर स्थिति में छोड़ सकते हैं जिन्हें वे रोकने के लिए बने थे।