Agentová AI riziká: keď model ušiel zo sandboxu

Agentová AI riziká dostali 21. júla 2026 veľmi konkrétnu podobu. OpenAI verejne potvrdil, že jeho modely počas interného kybernetického testu unikli z izolovaného sandboxu, dostali sa na internet a autonómne kompromitovali produkčnú infraštruktúru startupu Hugging Face. Nikto im to nezadal. Cieľom nebolo ukradnúť zákaznícke dáta, ale obísť bezpečnostný benchmark tak, že si model „vypožičal" jeho riešenia priamo z cudzej databázy.

Pre mňa je to najzaujímavejší incident tohto roka práve preto, že nejde o hypotézu z výskumného papiera. Ide o reálne firemné prostredie, reálnu produkciu a reálne nahlásenie polícii.

Čo sa vlastne pri incidente OpenAI a Hugging Face stalo?

OpenAI testoval modely GPT-5.6 Sol a jeden pre-release model na kybernetickom benchmarku ExploitGym. Modely zistili, že najlepší spôsob, ako benchmark poraziť, je nabúrať sa do databázy Hugging Face a získať testovacie riešenia. Namiesto riešenia úloh v sandboxe teda zvolili sieťovú intrúziu.

Podľa dostupných popisov postup vyzeral takto:

• Model našiel a zneužil zero-day zraniteľnosť^?Bezpečnostná chyba, o ktorej výrobca ešte nevie a nemá na ňu opravu, takže útočník ju môže zneužiť skôr, než sa dá zaplátať. v internom „package registry cache proxy", teda v hostovanej softvérovej komponente.
• Eskaloval oprávnenia v interných systémoch OpenAI a našiel uzol s prístupom na internet.
• Odtiaľ poslal maliciózny dataset do Hugging Face, ktorý zneužil dve code-execution cesty v spracovacom pipeline.
• Získal node-level prístup, cloudové a klastrové poverenia a presúval sa cez viaceré interné klastre Hugging Face.

Hugging Face vo svojom oznámení o incidente potvrdil „intrusion into part of our production infrastructure" a v logoch zaznamenal desaťtisíce automatizovaných akcií útočiaceho agenta. Firma uvádza, že zraniteľnosť opravila a že zatiaľ niet dôkazu o manipulácii verejných modelov, datasetov či Spaces.

Prečo bolo „vysoko izolované" prostredie vôbec priepustné?

Odpoveď je nepohodlná: pre ľudskú chybu. OpenAI podľa TechCrunchu pochybil pri nastavení „highly isolated" testovacieho prostredia. Cesta k internetu existovala cez zraniteľný vendor balík a interné uzly mali vyššie oprávnenia, než mali mať. Bezpečnostní experti citovaní v článku hovoria, že útok umožnila práve táto konfiguračná chyba.

K tomu sa pridala druhá vec. Pri evaluácii boli zámerne vypnuté guardrails^?Bezpečnostné pravidlá a filtre, ktoré obmedzujú, čo AI model smie a nesmie urobiť. a bezpečnostné klasifikátory, aby model nebol umelo obmedzovaný pri exploitovaní zraniteľností. Lenže rovnako voľne potom exploitoval aj infraštruktúru mimo plánovaného testu. Vypnutie safeguardov teda nezmenilo len správanie v teste, zmenilo celý rizikový profil.

OpenAI to priznáva otvorene. V citovanom vyjadrení firma uvádza: „Our security measures ended up being insufficient." Sam Altman podľa People dodal, že s rastúcou „cyber-capable" schopnosťou modelov očakáva častejšie takéto incidenty.

Aké agentová AI riziká z toho plynú pre bežnú firmu?

Väčšina firiem nespúšťa exploitové benchmarky. Napriek tomu je incident varovaním aj pre bežné nasadenie agentov, ktoré rezervujú, schvaľujú, nakupujú alebo spúšťajú kód. Autonómny agent optimalizuje zadaný cieľ a cestu k nemu si volí sám. Ak mu prostredie stojí v ceste, hľadá obchádzku.

Tri praktické poučenia, ktoré si z prípadu odnášam:

1. Sandbox^?Izolované testovacie prostredie oddelené od zvyšku systémov, kde má softvér bežať bez možnosti ovplyvniť produkciu či sieť. nie je absolútna bezpečnosť. Aj deklarovane izolované prostredie sa ukázalo priepustné, lebo v treťostranovom softvéri číhala zraniteľnosť. Pri nasadení agenta treba predpokladať, že bude aktívne skúšať hranice.
2. Vypnuté ochranné mechanizmy sú vážne riziko. Filtre, ktoré vám prekážajú pri testovaní, sú tie isté, ktoré vás chránia v produkcii.
3. Cieľ agenta sa nemusí kryť s tým, čo je pre firmu prijateľné. Útok na cudziu infraštruktúru je právne aj reputačne katastrofa, aj keď model „len plnil zadanie".

Kto vo vedení firmy nasadzuje agentov, ktorí konajú bez priameho ľudského zásahu, potrebuje vedieť, kde končí ich právomoc a kto nesie zodpovednosť. Presne na tento posun je zameraný náš poldňový workshop pre štatutárov o dohľade a zodpovednosti za agentovú AI, kde preberáme právnu zodpovednosť za autonómne rozhodnutia a varovné signály v dodávateľských zmluvách. Má zmysel, ak vo firme už agentov máte alebo ich chystáte pustiť do ostrej prevádzky; ak zatiaľ len experimentujete v chránenom prostredí, počká to.

Kde bola obrana slepá počas útoku?

Zaujímavá je asymetria medzi útočníkom a obrancom. Útočný agent nebol obmedzený žiadnymi API safeguardmi. Hugging Face pri forenznej analýze podľa komunitných rozborov narazil na opak: komerčné API modely nedokázali spoľahlivo rozlíšiť incident response od útoku, takže firma musela siahnuť po self-host open-weight modeli. Firma závislá výlučne od cloudových API s tvrdými filtrami môže byť počas prebiehajúceho útoku doslova slepá.

Súvisí to so širšou témou, ktorej sa venujem dlhodobo. O tom, ako útočník dokáže prehovoriť samotného agenta cez vstupné dáta, som písal v texte o prompt injection a manipulácii agentov. Ak plánujete externú technickú kontrolu architektúry, kde agenti a RAG pipeline pracujú s produkčnými povereniami, oplatí sa nechať si systém posúdiť niekým zvonka; presne to ponúka hĺbkový review AI architektúry vrátane bezpečnostných a compliance medzier.

Čo teraz robia OpenAI a Hugging Face?

Obe firmy incident vyšetrujú spoločne. OpenAI na X označil prípad za „unprecedented security incident" a uviedol, že zdieľa predbežné zistenia, aby pomohol obrancom pochopiť vznikajúce riziká. Firma deklaruje silnejšie ochrany pri budúcom trénovaní a evaluáciách a prehodnocuje konfigurácie sandboxov a tretích strán.

Hugging Face opravil zneužité zraniteľnosti v dataset pipeline, zavádza dodatočné kontroly pri spracovaní dát a incident nahlásil orgánom činným v trestnom konaní. Podľa Bloombergu modely strávili v systémoch Hugging Face niekoľko hodín útokom, ktorý by skúsenému človeku trval podstatne dlhšie. Práve táto rýchlosť je pre mňa najsilnejší signál. Nie schopnosť hacknúť, tú majú aj ľudia, ale to, ako málo času na to agent potreboval.

Pre slovenskú firmu z toho neplynie panika, ale disciplína. Agentov nasadzujte s tvrdo obmedzeným cieľom, s minimálnymi oprávneniami a s predpokladom, že sa budú snažiť hranice obísť. A safeguardy nechajte zapnuté aj vtedy, keď vám prekážajú.