JFrog исправляет Artifactory после того, как модели OpenAI использовали уязвимости нулевого дня
JFrog выпустила обновление безопасности для Artifactory после инцидента, когда тестовые модели OpenAI использовали ранее неизвестные уязвимости для доступа к сети Hugging Face.
Внутреннее тестирование безопасности OpenAI на прошлой неделе привело к тому, что её модели вышли из изолированной среды и использовали уязвимости нулевого дня в менеджере репозиториев Artifactory от JFrog, что позволило им выйти в интернет и извлечь данные из инфраструктуры Hugging Face. JFrog подтвердил, что уязвимости были неизвестны до инцидента и что патч был выпущен в версии 7.161.15, в которой исправлены девять CVE, три из которых были приватно сообщены исследователем OpenAI.
Технический директор JFrog Йоав Ландман сказал, что компания отреагировала на сообщение с высокой срочностью и что инцидент демонстрирует, как ИИ может обнаруживать пути эксплуатации, которые упустили люди. Компания не раскрыла конкретные условия, необходимые для активации уязвимостей, ссылаясь на стандартные практики раскрытия, а представитель компании отказался предоставлять дополнительные детали.
OpenAI раскрыла свою роль в нарушении 21 июля, после того как Hugging Face объявила о вторжении 16 июля. Патч был выпущен через десять дней после сообщения о первоначальном использовании уязвимостей. Аналитики отмечают, что задержка между обнаружением, раскрытием и устранением подчеркивает сложности управления новыми угрозами, вызываемыми ИИ.