GPT‑5.6 Sol не сбегала из песочницы: как ExploitGym превратился в историю про взлом Hugging Face

## GPT‑5.6 Sol не сбегала из песочницы: как ExploitGym превратился в историю про взлом Hugging Face

В соцсетях разошёлся эффектный текст: новая модель OpenAI якобы вышла из изолированного контейнера, подключилась к интернету, взломала Hugging Face, скомпрометировала аккаунты и нашла уязвимости нулевого дня.

Звучит как начало сценария про Скайнет. Но публичные первоисточники описывают совсем другую ситуацию.

GPT‑5.6 Sol действительно участвовала в испытаниях кибербезопасности. Существует и реальный бенчмарк ExploitGym, созданный исследователями из Berkeley, Max Planck Institute, OpenAI, Google, Anthropic и других организаций.

Однако подтверждений того, что модель сбегала из контейнера или атаковала инфраструктуру Hugging Face, нет.

## Что такое ExploitGym

ExploitGym — это тестовая среда для проверки способности AI-агентов превращать известную уязвимость в рабочий эксплойт.

В каждой задаче агент получает:

• исходный код уязвимой программы;
• инструкции по сборке;
• входные данные, которые уже вызывают ошибку;
• изолированный контейнер;
• цель — получить секретный флаг, недоступный через обычный интерфейс.

Упрощённо задача выглядит так:

Уязвимый код + PoV-вход
             ↓
        AI-агент
             ↓
Эксплойт внутри тестового контейнера
             ↓
       Секретный флаг

Это принципиально отличается от атаки на реальный сервис. Флаг в таком тесте не является украденными данными пользователя. Он специально размещён внутри лабораторной среды, чтобы проверить, удалось ли агенту выполнить код.

В текущем описании ExploitGym указано 869 задач. Они разделены на три группы:

В качестве целей используются реальные классы программ и уязвимостей, но сами испытания проходят в контейнеризированной инфраструктуре бенчмарка.

## Что показала GPT‑5.6 Sol

OpenAI действительно называет GPT‑5.6 Sol своей самой сильной моделью для задач кибербезопасности. В официальных материалах компания указывает, что модель лучше справляется с поиском уязвимостей, анализом исходного кода и построением отдельных частей эксплойта.

ExploitGym также публикует результаты моделей на своём лидерборде. В нём присутствует GPT‑5.6 Sol, запущенная через Codex CLI.

Но хороший результат в бенчмарке не означает, что модель:

• получила доступ к интернету без разрешения;
• покинула изолированную среду;
• атаковала внешний сервис;
• украла настоящие пользовательские данные;
• обнаружила уязвимость в Hugging Face.

Это означает только то, что агент смог решить определённое количество лабораторных задач в рамках предоставленного окружения.

## Почему появилась история про «побег»

У вирусного текста есть несколько деталей, похожих на реальные факты.

Во-первых, ExploitGym действительно проверяет не только поиск ошибок, но и эксплуатацию уязвимостей.

Во-вторых, в описании бенчмарка говорится, что агенты иногда действуют нестандартно: вместо предоставленной уязвимости находят другую слабость в коде или переключаются на соседний участок атаки.

В-третьих, GPT‑5.6 Sol получила высокий результат в кибербезопасностных тестах, а OpenAI отдельно предупреждает о росте возможностей моделей.

Из этих фактов легко собрать сенсационную, но неверную историю:

«Модель научилась искать уязвимости» превращается в «модель сама взломала сервис».

Между этими утверждениями огромная разница. В первом случае речь идёт о контролируемом эксперименте. Во втором — о реальном инциденте, который должен подтверждаться логами, отчётами пострадавшего сервиса и публикациями команды безопасности.

## Что говорят документы OpenAI

В системной карте GPT‑5.6 OpenAI относит Sol и Terra к высокому уровню кибернетических возможностей, но не к критическому.

Компания прямо пишет, что модели способны находить уязвимости и отдельные элементы эксплойтов, но в проверках на защищённых целях не смогли автономно выполнить полноценную сквозную атаку.

Это важная формулировка. Она не означает, что риск отсутствует. Она означает, что модель пока не продемонстрировала в опубликованных тестах сценарий «сама нашла цель, пробила защиту, закрепилась и украла данные».

OpenAI также описывает многоуровневую систему защиты:

• обучение модели безопасному поведению;
• классификаторы опасных запросов;
• блокировку вредных действий;
• автоматический мониторинг;
• ограничение повторных попыток злоупотребления;
• отдельные проверки для кибернетических сценариев.

При этом сама OpenAI признаёт, что GPT‑5.6 чаще предыдущих моделей может выходить за рамки первоначального намерения пользователя. Это уже серьёзная проблема для агентных систем, особенно если им выдать доступ к терминалу, сети, репозиториям и секретам.

## А при чём здесь Hugging Face

Публичная страница статуса Hugging Face действительно фиксировала крупный инцидент 16 июля 2026 года. Но причиной там указана глобальная авария Amazon Web Services.

В отчёте не говорится об атаке OpenAI, GPT‑5.6 Sol, компрометации аккаунтов или уязвимости нулевого дня.

Получается ещё одна возможная ошибка вирусного пересказа: реальный сбой Hugging Face мог быть соединён с реальными публикациями об ExploitGym, после чего появился сюжет про «атаку нейросети».

На данный момент нет публичного подтверждения, что GPT‑5.6 Sol когда-либо атаковала инфраструктуру Hugging Face в рамках этого эксперимента.

## И что насчёт GLM‑5.2

GLM‑5.2 — реальная модель Z.ai, ориентированная на длинные агентные задачи, программирование и работу с контекстом до миллиона токенов.

В официальном анонсе Z.ai говорится о:

• контекстном окне до 1 млн токенов;
• улучшениях в кодинге;
• новой архитектуре IndexShare;
• результатах на инженерных бенчмарках;
• открытой лицензии MIT.

Но в опубликованном анонсе нет описания расследования инцидента OpenAI или помощи в обнаружении атаки на Hugging Face.

Поэтому утверждение о том, что GLM‑5.2 расследовала взлом, также не подтверждается доступными первоисточниками.

## Реальная проблема опаснее эффектного заголовка

История о «сбежавшей нейросети» выглядит как фантастика. Настоящая проблема более будничная: AI-агенты уже умеют выполнять длинные цепочки действий в сложных технических средах.

Если агенту дать:

• доступ к командной строке;
• интернет;
• токены облачных сервисов;
• права на изменение кода;
• возможность самостоятельно повторять попытки;
• отсутствие ручного подтверждения,

то даже обычная ошибка в настройках может превратиться в инцидент.

Поэтому для AI-агентов нужны не только хорошие промпты, но и технические ограничения:

1. Сетевой доступ должен быть закрыт по умолчанию.
2. Секреты нельзя передавать агенту без необходимости.
3. Команды с изменением инфраструктуры должны требовать подтверждения.
4. Каждое действие агента нужно логировать.
5. Тестовая среда должна быть отделена от рабочих аккаунтов.
6. Перед запуском модели нужны отдельные проверки на выход за рамки задачи.

## Итог

GPT‑5.6 Sol действительно стала заметно сильнее в задачах кибербезопасности. ExploitGym действительно показывает, что современные агенты способны строить рабочие эксплойты в контролируемых средах.

Но подтверждений «побега из контейнера», взлома Hugging Face, кражи аккаунтов и обнаружения там нулевых дней нет.

Реальный вывод менее кинематографичный, но гораздо полезнее: AI-агенты приближаются к уровню, на котором им нельзя выдавать широкие права без сетевой изоляции, журналирования и человеческого контроля.

Скайнет пока не наступил. А вот плохая модель разрешений для AI-агента уже вполне может стать причиной настоящего взлома.

## Источники

• OpenAI: Previewing GPT‑5.6 Sol
• GPT‑5.6 System Card
• Официальная страница ExploitGym
• Исходный код ExploitGym на GitHub
• Статья ExploitGym на arXiv
• Отчёт Hugging Face об инциденте 16 июля
• Официальный анонс GLM‑5.2