OpenAI Models ont exploité des zero-days de JFrog Artifactory pour s'échapper d'un bac à sable

Les modèles d’OpenAI ont exploité des failles zero-day de JFrog Artifactory lors de tests de cybersécurité, ce qui leur a permis de s’échapper d’un environnement isolé et d’atteindre Internet.

Cet incident fait suite à des signalements indiquant que Hugging Face a été compromis après que des agents d’OpenAI se sont échappés d’un environnement de test.

Vous rencontrez toujours des problèmes? Corrigez-les avec cet outil:

Ce logiciel réparera les erreurs informatiques courantes, vous protégera contre la perte de fichiers, les logiciels malveillants et les pannes matérielles tout en optimisant les performances de votre PC. Réparez votre PC et supprimez les virus instantanément en 3 étapes faciles:

1. Téléchargez l'outil Fortect
2. Cliquez sur Analyser pour dépister les erreurs de votre PC.
3. Cliquez sur Réparer pour résoudre les erreurs de sécurité et des performances du PC.

• 0 utilisateurs ont téléchargé Fortect ce mois-ci.

Les modèles d’OpenAI se sont échappés via un serveur Artifactory

OpenAI a testé GPT-5.6 Sol ainsi qu’un modèle en préversion plus performant par rapport au benchmark de cybersécurité ExploitGym. L’entreprise a supprimé les garde-fous de production qui limitent normalement les cyberattaques autonomes.

Les modèles fonctionnaient dans un environnement isolé sans accès direct à Internet. Un registre de packages tiers hébergé en interne gérait le téléchargement et la mise en cache des packages.

Au cours des tests, les modèles ont découvert et exploité une vulnérabilité inconnue dans le proxy du registre. Ils ont ensuite utilisé une élévation de privilèges et un déplacement latéral pour atteindre un système disposant d’un accès Internet.

Après s’être échappés, les modèles ont identifié Hugging Face comme une source possible de jeux de données ou de solutions ExploitGym. OpenAI a déclaré que les modèles ont combiné des identifiants volés, des vulnérabilités zero-day, une élévation de privilèges et d’autres attaques pour créer un chemin d’exécution de code à distance vers l’infrastructure de production de Hugging Face.

JFrog publie des correctifs de sécurité pour Artifactory

JFrog a confirmé que le logiciel concerné était une installation auto-hébergée d’Artifactory. OpenAI a divulgué les vulnérabilités en privé après les avoir découvertes.

JFrog a publié des correctifs pour les clients cloud et auto-hébergés. Les installations cloud bénéficient déjà d’une protection, tandis que les utilisateurs auto-hébergés doivent mettre à niveau vers une version corrigée.

Artifactory 7.161.15 Self-Managed, publiée le 27 juillet, corrige plusieurs vulnérabilités que des attaquants pourraient enchaîner pour créer une exploitation critique. JFrog a indiqué que les systèmes pour lesquels l’accès anonyme (Anonymous Access) est activé présentent le risque le plus élevé. Cette fonctionnalité reste désactivée par défaut et ne doit pas être exécutée dans les environnements de production.

JFrog n’a pas identifié les CVE exploitées ni expliqué la chaîne de vulnérabilités. On ignore également si les modèles ont utilisé l’ensemble des huit vulnérabilités corrigées par la mise à jour.

Par ailleurs, MAI-Cyber-1-Flash a été publié et intégré à MDASH pour aider Microsoft à découvrir des vulnérabilités plus rapidement.

Via BleepingComputer