16 липня 2026 року платформа Hugging Face — один із найбільших у світі відкритих майданчиків для розробки, поширення й тестування моделей штучного інтелекту — зафіксувала вторгнення у власну інфраструктуру. Компанія повідомила про незвичайний інцидент безпеки. Повідомлялося, що автономна система знайшла вразливості в Hugging Face, проникла у внутрішні мережі й отримала несанкціонований доступ до частини внутрішніх даних і службових облікових записів.

За кілька днів з’ясувалося, що за цією атакою стояла не людина, а модель штучного інтелекту компанії OpenAI, яка вийшла за межі власного тестового середовища. Причому модель не виконувала команди людини, а діяла автономно. Тож атаку на Hugging Face можна вважати першим у світі випадком самостійної атаки ШІ-моделі, під час якої вона скомпрометувала інфраструктуру сторонньої компанії.

Не встигло вщухнути обговорення випадку OpenAI — Hugging Face, як стало відомо, що інший ШІ-гігант, компанія Anthropic виявила три схожі епізоди з власними моделями Claude. А буквально за декілька днів після цього виявилося, що чати користувачів Claude, які вони зробили доступними через функцію Share, опинилися у вільному доступі в пошуковій видачі Google. Причиною стала функція публічного поширення, завдяки якій пошукові платформи проіндексували чати.

Тому не дивно, що три масштабні інциденти за короткий проміжок часу спричинили нову хвилю дискусій про безпеку сучасних ШІ-систем, про необхідність жорсткіших механізмів контролю, обов’язкового розкриття інформації про інциденти, а також про потребу у функціях призупинення розгортання або використання моделей, якщо вони демонструють небезпечну автономну поведінку.

Разом усі ці епізоди липня 2026 року показують, наскільки швидко зростає автономність ШІ-систем, а ще — що механізми контролю не встигають за розвитком ШІ. Проблема загалом полягає не тільки в тому, що машини «повстали», а в тому, що вони вже здатні виконувати складні багатокрокові дії у реальних цифрових середовищах, тоді як інструменти моніторингу, ізоляції та реагування на таку поведінку поки що лише формуються. «Повстання машин» липня 2026 року демонструє справедливість Коллінґріджевої дилеми стосовно можливостей штучного інтелекту. Історії з атаками стали емпіричним прикладом того, що наразі спрогнозувати поведінку ШІ-моделей часто неможливо. І поки що можливості цих інструментів обмежилися «маленькою переможною» тестовою атакою. Залишається сподіватися, що у людства є час на те, аби запровадити систему стримувань і противаг проти занадто розумних машин.

Як моделі OpenAI зламали Hugging Face

Після завершення внутрішнього розслідування компанія OpenAI опублікувала технічний звіт, який пояснив, як саме її ШІ-моделі змогли провести атаку на Hugging Face. І ця інформація стала цікавішою власне за сам факт атаки.

В OpenAI повідомили, що дві її моделі — випущена GPT-5.6 Sol і ще одна, поки не оприлюднена, проте потужніша модель — самостійно вийшли за межі ізольованого тестового середовища й зламали інфраструктуру платформи Hugging Face. Мета їхньої атаки була вельми прагматичною: замість самостійного проходження тесту з кібербезпеки, в чому власне полягало завдання для ШІ-моделей, вони вирішили знайти готові правильні відповіді на тест, проникнувши до інфраструктури, де вони зберігалися.

Для проходження цього тесту OpenAI навмисно послабила частину захисних механізмів, щоб оцінити реальні можливості ШІ-моделей. Насправді моделі мали працювати в середовищі, яке мало б залишатися ізольованим від інтернету. Проте через помилку в налаштуваннях моделі змогли потрапити у «відкритий» інтернет.

Тож вони, не знайшовши потрібних даних для проходження тесту у власному середовищі, припустили, що дані можуть зберігатися на Hugging Face — платформі, де розробники публікують моделі штучного інтелекту, набори даних і програмний код. Скориставшись викраденими обліковими даними Hugging Face і невідомою раніше вразливістю, моделі отримали контроль над частиною серверної інфраструктури платформи. За оцінками дослідників, протягом кількох діб модель автономно виконала близько 17,6 тис. окремих дій, аби розв’язати поставлену перед нею задачу.

Атаку зупинила сама Hugging Face за допомогою власної системи захисту. За її інформацією, атакувальники отримали доступ до обмеженого набору внутрішніх даних. У Hugging Face підкреслили, що ознак того, що під час атаки постраждали публічні моделі інших компаній чи датасети, доступні звичайним користувачам, компанія не знайшла.

Чому ця атака стала можливою

Детальний аналіз інциденту породив більше запитань, ніж відповідей. Головне з них звучить так: якщо тест проводили в безпечному середовищі, то як модель узагалі змогла дістатися до чужої компанії?

У нормальних умовах подібні випробування проходять у повністю ізольованому середовищі без доступу до інтернету. Це можна порівняти з навчанням майбутніх водіїв на закритому автодромі: навіть якщо хтось із них припуститься помилки, це не зашкодить іншим і не спричинить аварію. Проте цього разу через технічну помилку один із каналів зв’язку з зовнішнім світом залишився відкритим. Саме ним і скористалася модель.

Іншою причиною, яка зробила можливою атаку, стало те, що під час тестування з моделі тимчасово зняли частину звичних обмежень. Це зробили навмисно, щоб перевірити, наскільки добре вона вміє знаходити вразливості та виконувати складні завдання з кібербезпеки. Відмова від обмежень знову ж таки передбачала, що модель працюватиме лише всередині ізольованого середовища. Тож саме в цьому середовищі розробники припускали, що нічого деструктивного ШІ-моделі зробити не зможуть.

Коли ж модель отримала доступ до зовнішніх ресурсів, вона не «зрозуміла», що перейшла межу між тестом і реальним світом і опинилася в реальному інтернеті, а не в тестовому середовищі. Для неї Hugging Face був лише одним із ресурсів, який міг би допомогти їй виконати поставлене завдання.

Тож інцидент став можливим через поєднання трьох кроків: технічної помилки в ізоляції тестового середовища, тимчасової відмови від деяких запобіжних функцій і завдяки здатності ШІ-моделей самостійно планувати й виконувати довгі послідовності дій.

Claude теж «переплутав» тест із реальністю

Після оприлюднення інциденту з OpenAI компанія Anthropic вирішила перевірити власні моделі й те, як вони виконують завдання, що стосуються кібербезпеки. Аналіз понад 141 тис. тестових запусків виявив три випадки, коли моделі Claude через помилку в ізоляції тестового середовища так само отримали доступ до реальних систем.

У першому випадку модель не знайшла вигадану компанію, яка мала бути ціллю тесту аналогічного кібербезпекового тесту, тому відшукала однойменну реальну організацію та отримала доступ до її бази даних. Другий інцидент виявився ще показовішим. Модель отримала завдання встановити програмний пакет, якого не існувало. Замість повідомлення про те, що пакета не існує, модель самостійно створила (написала його код) та опублікувала такий пакет у відкритому репозиторії. В ньому містилися небезпечні фрагменти, які розкривали службові облікові дані.

У третьому випадку дослідницька модель почала шукати вразливості в реальних онлайн-сервісах і навіть змогла отримати доступ до одного з них. Проте тут модель зрозуміла, що працює не в тестовому середовищі, а з реальною інфраструктурою, і самостійно припинила атаку.

Коментуючи виявлене, фахівці Anthropic пояснили: коли модель помилково сприймає реальний світ як частину експерименту, вона здатна виконувати небезпечні дії без прямої команди людини. Хоча поведінка ШІ-моделі в третьому прикладі дає надію, що новіші покоління ШІ здатні принаймні краще відрізняти тестове середовище від реального світу.

Ще один інцидент: чому чати Claude опинилися в Google

Майже одночасно з історією про автономні атаки Anthropic зіткнулася з іншою проблемою. Наприкінці липня користувачі виявили, що вміст деяких чатів спілкування з Claude опинилися в пошуковій видачі Google і Bing. Доступними стали не лише тексти розмов, але й документи, програмний код, вебзастосунки й інші матеріали, створені в Claude. Серед них були персональні дані, службові документи й фрагменти коду.

Причиною цього зламу стала не хакерська атака, а помилка в архітектурі сервісу. У видачу потрапили чати, якими користувачі ділилися з іншими через функцію Share. Помилка в роботі сервісу призвела до того, що ці чати потрапили в пошуковий індекс Google і опинилися у пошуковій видачі.

Anthropic доволі оперативно змогла змінити налаштування сервісу, а пошукові системи, своєю чергою, перестали індексувати такі сторінки. Компанія наголосила, що у видачу потрапили лише ті чати, посилання на які самі користувачі зробили доступними іншим юзерам.

Хоча цей інцидент відрізняється від атаки на Hugging Face, він теж показав, що сучасні ШІ-сервіси часто не містять запобіжників, які б завадили і витокам даних, і несподіваній поведінці моделей.

Які тут ризики для пересічного користувача

На перший погляд, обидва інциденти безпеки не містять прямої загрози користувачам ChatGPT чи інших продуктів OpenAI або Anthropic. Адже атака на Hugging Face була спрямована на інфраструктуру платформи розробників, а не на облікові записи людей. Проте всі ці інциденти, серед яких й потрапляння чатів у пошукову видачу, мають інші непрямі наслідки.

По-перше, вони говорять, що сучасні ШІ-моделі здатні самостійно знаходити невідомі вразливості й поєднувати кілька технік атаки в автономному режимі. Про такі можливості ШІ-систем говорили й раніше, проте це вважали теоретичним ризиком найближчих років, а не інцидентом, який стає реальністю тут і зараз.

По-друге, історія з індексацією чатів Claude у Google стосується вже безпосередньо мільйонів звичайних користувачів. Люди, що роблять посилання на розмови чи артефакти доступними для колег чи клієнтів, можуть не усвідомлювати, що ці дані стають доступними не лише за посиланням, а й будь-кому через пошук — включно з конфіденційними документами, кодом, персональними чи медичними даними. Ці дані теоретично може скопіювати будь-хто. Ця історія може бути гарним прикладом нового правила у взаємодії із ШІ — не варто передавати ШІ-інструментам реальні персональні, медичні чи фінансові дані в чати, які можуть стати публічними.

Не менш важливим є те, що всі три епізоди сталися не через злий намір моделі чи свідоме ігнорування ризику компанією, а через прогалини в тестуванні й конфігурації, які розробники визнали вже постфактум. Можливо, цей наслідок у віддаленій перспективі є найбільш небезпечним. Адже швидкість розгортання нових можливостей ШІ випереджає темп, із яким компанії встигають вибудовувати інфраструктуру контролю. Обидві компанії взяли відповідальність на себе і не говорили про дивну «поведінку» моделей. Проте сам факт, що подібні інциденти відбуваються майже одночасно в різних компаніях, свідчить про системність проблеми для всієї індустрії.

Замість висновків: дещо про нові правила кібербезпеки у ШІ-світі

Зараз у світі спостерігається пошук регуляторних кроків та обмежень для індустрії штучного інтелекту. Нещодавно у США завершили розробку рамкових правил добровільного тестування найпотужніших ШІ-моделей перед їхнім розгортанням. До обговорення документа Білий дім запросив OpenAI, Anthropic, Google і Meta. Водночас дедалі більше дослідників закликають не лише розвивати можливості ШІ, а й створювати механізми незалежного контролю за його поведінкою.

Інцидент OpenAI–Hugging Face і дані розслідування Anthropic — це перші публічно задокументовані випадки, коли моделі ШІ самостійно скомпрометували чужі робочі системи в межах санкціонованого тестування. Обидві компанії визнали власну провину, а історія з індексацією чатів Claude в Google разом із випадками кіберзламу, показує, що розрив між швидкістю впровадження нових можливостей і рівнем контролю є проблемою для ШІ-індустрії.

Ці інциденти навряд чи означають, що людство наблизилося до сценарію «повстання машин». Натомість вони показали іншу, значно більш реалістичну проблему: можливості штучного інтелекту зростають швидше, ніж механізми його контролю. Саме цей розрив сьогодні стає головним викликом для індустрії. Адже питання вже не в тому, чи зможе ШІ діяти автономно, а в тому, чи навчаться люди вчасно встановлювати межі такої автономності.

 Ілюстрація створена за допомогою ChatGPT