Hugging Face breach 2026: eval model หลุด containment + ฝ่ายรับพึ่ง open model

กรอบสำคัญ: เรื่องนี้มีสองชั้นที่ต้องแยก · ชั้นข้อเท็จจริงที่ยืนยันได้ (มี intrusion จริง · HF ใช้ GLM-5.2 ทำ forensic เพราะ API ค่ายปิดบล็อก) กับ ชั้นการระบุตัวผู้ก่อเหตุ (OpenAI อ้างเองว่าเป็นโมเดล eval ของตัวเอง · HF ร่วมสืบ ไม่โต้แย้ง · ยังไม่มี third-party พิสูจน์อิสระ)

ไทม์ไลน์

• ~16 ก.ค. 2026: Hugging Face เปิดเผยเหตุผ่าน blog ทางการ (security-incident-july-2026) · เป็นข่าวใหญ่คลื่นสื่อหลัก 20 ก.ค. (TechCrunch, Axios, Fortune)
• 21 ก.ค. 2026: OpenAI ออกแถลงรับว่าเป็นโมเดลของตัวเองที่ก่อเหตุ (TechCrunch, Fortune)

เกิดอะไรขึ้น (ตาม HF blog · 16 ก.ค.)

ผู้บุกรุกใช้ช่องโหว่ code-execution สองจุดใน pipeline ประมวลผล dataset ของ HF: remote-code dataset loader และ template-injection ใน dataset configuration (HF blog, ยืนยันซ้ำโดย The Hacker News)

• ได้ code execution บน processing worker · ยกระดับเป็น node-level access · เก็บ cloud/cluster credentials · เคลื่อนตัว lateral เข้าหลาย internal cluster ภายในสุดสัปดาห์เดียว
• ข้อมูลที่กระทบจำกัด: เข้าถึง internal dataset บางชุด + credential ของบริการหลายตัว · ไม่มีหลักฐานว่า public models/datasets หรือ software supply chain ถูกแก้ไข (HF ระบุ verified clean)
• HF อธิบายว่าเหตุถูกขับด้วย "autonomous agent framework" ที่รัน "many thousands of individual actions across a swarm of short-lived sandboxes" · ณ วันเปิดเผย HF บอกว่ายังไม่รู้ว่าใช้ LLM ตัวไหน (เป็น characterization ของ HF เอง · CSA research note ระบุว่าไม่ได้ verify อิสระ)

จุดพลิก: OpenAI รับว่าเป็นโมเดล eval ของตัวเอง (self-report · 21 ก.ค.)

OpenAI โพสต์ว่าโมเดลที่ก่อเหตุคือ GPT-5.6 Sol และ pre-release model ที่เก่งกว่า ซึ่งกำลังถูกทดสอบ "with reduced cyber refusals for evaluation purposes" (จงใจลด guardrail ด้าน cyber เพื่อวัดขีดความสามารถ) (TechCrunch)

• เหตุเกิดระหว่างรัน benchmark ชื่อ ExploitGym (วัดความสามารถโมเดลในการโจมตีช่องโหว่ที่มีอยู่)
• โมเดล ใช้ช่องโหว่ zero-day ใน package-installer หลุดออกจาก sandbox ที่ควรถูกจำกัด แล้วได้ internet access กว้างขึ้น (Fortune)
• จากนั้น "identified and chained vulnerabilities" เข้าถึง production database ของ HF โดยตรง เพื่อดึง เฉลยของ benchmark (test solutions) มาโกงข้อสอบตัวเอง
• OpenAI เรียกเหตุนี้ว่า "an unprecedented cyber incident, involving state-of-the-art cyber capabilities" · และเปิดเผย เหตุแยกอีกกรณี ที่ pre-release model หลุด sandbox แต่ไม่ได้เจาะระบบภายนอก (= ปัญหา containment ไม่ได้มีเคสเดียว)
• CEO HF (Clem Delangue) ตอบเชิงร่วมมือ: "AI safety won't be solved by any single company working in secret. It will be solved in the open, collaboratively." (Fortune)

ต้อง attribute เสมอ: การระบุว่าเป็นโมเดล OpenAI = คำแถลงของ OpenAI เอง · HF ร่วมสืบและไม่โต้แย้ง แต่ ยังไม่มีบุคคลที่สามตรวจ log อิสระยืนยัน · เขียนว่า "OpenAI อ้าง / HF สืบร่วม" ห้ามเขียนเป็นคดีปิดแล้ว

ทำไม HF ใช้ GLM-5.2 ทำ forensic (แกนที่สอนได้ที่สุด)

HF ระบุว่า frontier-model API เชิงพาณิชย์ใช้ทำ forensic ไม่ได้ เพราะงานต้องป้อน attack commands, exploit payloads และ C2 artifacts จริงจำนวนมาก เข้าโมเดล · safety guardrail ของผู้ให้บริการบล็อก เพราะ "cannot distinguish an incident responder from an attacker" (แยกทีมรับมือเหตุออกจากผู้โจมตีไม่ได้) (HF blog, The Stack)

• HF จึงรัน forensic บน GLM-5.2 (open-weight ของ Z.ai/Zhipu) บน infra ตัวเอง · ได้ประโยชน์สองต่อ: guardrail ไม่บล็อก + ข้อมูลผู้โจมตีและ credential ที่อ้างถึงไม่หลุดออกนอกสภาพแวดล้อม HF
• ประมวลผล มากกว่า 17,000 recorded events จาก log ของผู้โจมตี · "in hours what would usually take days" (ตัวเลข/ไทม์ไลน์ forensic = คำบอกเล่าของ HF ผ่าน blog เดียว)