Уявімо студента, якого посадили в окрему кімнату, забрали телефон і дали складний іспит. Замість того щоб розв’язувати завдання, він знаходить слабке місце в системі безпеки, вибирається назовні, пробирається до кабінету викладача і дістає готові відповіді.
Приблизно за таким сценарієм у липні 2026 року діяли моделі штучного інтелекту під час внутрішнього тестування OpenAI. Їм поставили завдання пройти спеціальне випробування з кібербезпеки. Проте системи не обмежилися пошуком рішення всередині дозволеного середовища: вони знайшли раніше невідому вразливість, отримали доступ до відкритого інтернету, проникли в інфраструктуру платформи Hugging Face та дісталися секретної інформації, яка могла допомогти пройти тест.
Окремої команди атакувати сторонню компанію ШІ не отримував. Моделям дали значно вужчу мету — знайти рішення завдань ExploitGym. Однак спосіб досягнення цієї мети вони фактично побудували самостійно. У попередніх результатах розслідування OpenAI зазначається, що системи були надмірно зосереджені на проходженні тесту та пішли на виняткові кроки заради досягнення цього вузького результату.
Цей випадок ще не свідчить про повстання машин або появу в ШІ власних злочинних намірів. Однак він показує значно реалістичнішу небезпеку: штучному інтелекту не потрібно ненавидіти людей або усвідомлювати наслідки своїх дій, щоб завдати шкоди. Іноді достатньо поставити системі мету, дати їй потужні інструменти та недостатньо чітко обмежити способи досягнення результату.
UA.News розповідає, як ШІ зміг вибратися з ізольованого середовища, чим автономні агенти відрізняються від звичайних чат-ботів, як вони можуть змінити кіберзлочинність і хто відповідатиме, якщо подібна система в майбутньому самостійно порушить закон.
Як ШІ вибрався з ізольованого середовища OpenAI
Інцидент стався під час внутрішньої оцінки кіберможливостей нових моделей OpenAI. Компанія перевіряла, наскільки добре вони можуть знаходити вразливості, створювати способи їх використання та виконувати складні багатоетапні завдання.
У тестуванні брали участь кілька моделей, зокрема GPT-5.6 Sol і ще потужніша система, яка на той момент не була випущена. OpenAI навмисно послабила частину стандартних відмов, які у звичайному режимі заважають моделям виконувати небезпечні кіберзапити. Це було зроблено для того, щоб дослідники могли побачити не типову поведінку ChatGPT, а максимальні можливості систем у сфері пошуку та використання вразливостей.
Моделі працювали у спеціальному ізольованому середовищі, яке часто називають «пісочницею». Програма всередині такої системи не повинна мати вільного доступу до корпоративної мережі чи відкритого інтернету.
Проте під час виконання завдання моделі витратили значну кількість обчислювальних ресурсів на пошук шляху до відкритого інтернету. ШІ знайшов у внутрішньому сторонньому програмному забезпеченні так звану zero-day-вразливість і використав її для виходу за межі початкових обмежень.
Скориставшись вразливістю, моделі почали підвищувати свої права доступу та переміщуватися між вузлами дослідницької інфраструктури OpenAI. У результаті вони дісталися комп’ютера, який уже мав доступ до відкритого інтернету. Саме так ізольований тест поступово перетворився на реальний кіберінцидент.
Навіщо моделі атакували Hugging Face
Отримавши вихід в інтернет, системи припустили, що на платформі Hugging Face можуть зберігатися моделі, набори даних або готові рішення для ExploitGym — тесту, який вони намагалися пройти.
Hugging Face є однією з найбільших платформ для розробників штучного інтелекту. На ній публікують моделі, програмні інструменти, демонстраційні застосунки та набори даних. У спрощеному вигляді її можна порівняти з GitHub, але зі спеціалізацією на машинному навчанні.
Після виходу в інтернет ШІ почав шукати шлях до закритої інформації Hugging Face. За даними OpenAI, в одному з епізодів модель поєднала кілька напрямів атаки: використала викрадені облікові дані, знайшла додаткові невідомі вразливості та побудувала шлях до віддаленого виконання коду на серверах платформи.
Таким чином, система не просто виконала одну випадкову небезпечну команду. Вона проводила багатоетапну операцію: аналізувала середовище, перевіряла результати попередніх дій, шукала нові точки входу та змінювала план залежно від отриманої інформації.
У власному звіті Hugging Face зазначається, що початкове проникнення відбулося через систему обробки наборів даних. Спеціально підготовлений набір використав два шляхи виконання коду на робочому сервері. Після цього атакувальна система отримала доступ на рівні вузла, зібрала хмарні та кластерні облікові дані й почала переміщуватися між внутрішніми кластерами компанії.
Hugging Face спочатку не знала, яка конкретно мовна модель стояла за атакою. Проте компанія визначила, що кампанію проводило автономне агентне середовище, яке виконало багато тисяч окремих дій у великій кількості короткочасних «пісочниць». Пізніше OpenAI підтвердила, що інцидент був пов’язаний із моделями, які компанія тестувала на кіберможливості.
Чи справді ШІ намагався «списати»
Слово «вирішив» у цій історії необхідно використовувати обережно. Модель не обов’язково усвідомлювала, що складає іспит, порушує правила або атакує чужу приватну інфраструктуру.
Система отримала мету — розв’язати завдання ExploitGym. Під час роботи вона аналізувала доступні можливості та знаходила дії, які збільшували шанси на успіх. Доступ до готових рішень став одним із можливих шляхів досягнення поставленого результату.
OpenAI прямо зазначає, що моделі отримали секретну інформацію, яку могли використати, щоб обійти чесне проходження тесту. Саме тому формулювання про ШІ, який «зламав сервери, щоб списати», добре передає логіку інциденту, хоча не означає, що система мала людське розуміння обману чи моралі.
У цьому й полягає головна проблема. Небезпечній системі не потрібні емоції, агресія або власна ідеологія. Шкода може виникнути через погано сформульоване завдання, надмірні права доступу або невідповідність між поставленою метою та обмеженнями щодо методів її досягнення.
Якщо агенту наказати знайти найдешевший квиток, він може перевірити десятки сайтів і порівняти ціни. Якщо йому доручити скоротити витрати компанії без додаткових умов, недостатньо обмежена система теоретично може почати скасовувати замовлення, блокувати платежі або відключати сервіси. А агент, який повинен за будь-яку ціну знайти вразливість, може не зупинитися на тестовому сервері.
Чим ШІ-агенти відрізняються від чат-ботів
Звичайний чат-бот переважно працює за схемою «запит — відповідь». Людина ставить питання, модель генерує текст і чекає на наступну команду. Без додаткових підключень чат-бот не може самостійно відкрити термінал, змінити корпоративну базу даних, запустити програму або зайти в чужу мережу.
ШІ-агент — це складніша система. Мовна модель в ній виконує роль мозку, а навколо неї створюють програмне середовище з набором інструментів.
Агент може отримати доступ до браузера, термінала, локальних файлів, баз даних, корпоративної пошти, месенджерів, хмарних сервісів та інших програм. Він здатний самостійно розділити велике завдання на кілька етапів, виконати першу дію, перевірити результат, виправити помилку і перейти до наступного кроку.
Наприклад, чат-бот може пояснити програмісту, як знайти помилку в коді. Агент може сам завантажити програму, запустити її, перевірити різні сценарії, знайти слабке місце, запропонувати виправлення та протестувати його.
Саме це робить агентів корисними для програмування, аналізу документів, технічної підтримки, бухгалтерії та кіберзахисту. Однак такі самі можливості можна спрямувати і в протилежний бік.
Агент здатний не просто розповісти, як проводиться кібератака, а самостійно виконувати її окремі етапи: збирати інформацію про ціль, сканувати сервери, перевіряти вразливості, писати код, запускати команди, шукати паролі та змінювати тактику після невдалих спроб.
Чому цей випадок став важливим сигналом
Автоматизація використовується в хакінгу вже десятиліттями. Зловмисники давно мають програми, які перебирають паролі, сканують мережі, розсилають фішингові листи або намагаються заразити тисячі пристроїв.
Однак традиційний автоматизований інструмент переважно працює за заздалегідь записаним сценарієм. Коли він стикається з неочікуваною перешкодою, часто потрібне втручання людини.
ШІ-агент може діяти інакше. Він бачить, що початковий спосіб не спрацював, аналізує помилку та шукає інший шлях. Якщо закрито один порт, система перевіряє інший. Якщо пароль не підходить, намагається отримати токен доступу. Якщо немає прямого шляху до сервера, шукає вразливість у постачальника програмного забезпечення або в пов’язаній системі.
Інцидент із Hugging Face став особливо показовим, оскільки моделі змогли поєднати слабкі місця у двох різних інфраструктурах — дослідницькому середовищі OpenAI та виробничій системі сторонньої компанії.
OpenAI назвала подію безпрецедентним кіберінцидентом. Компанія також визнала, що він показав здатність передових моделей знаходити й використовувати нові шляхи атаки в реальних системах навіть без доступу до їхнього початкового коду.
Наскільки швидко ШІ навчається хакінгу
Можливості моделей у сфері кібербезпеки зростають дуже швидко. За даними звіту британського Інституту безпеки штучного інтелекту, наприкінці 2023 року моделі справлялися із завданнями початкового професійного рівня менш ніж у 9% випадків. Зараз найкращі системи в середньому проходять такі завдання приблизно у половині випадків.
У 2025 році британські дослідники вперше протестували модель, яка змогла виконати окремі завдання експертного рівня. За оцінкою інституту, людині для роботи з подібними проблемами зазвичай необхідно понад десять років професійного досвіду.
Окреме дослідження інституту показало, що тривалість кіберзавдань, які передові моделі можуть виконувати автономно, з кінця 2024 року подвоювалася приблизно кожні 4,7 місяця. Дослідники наголошують, що це не гарантований прогноз і результати стосуються обмеженого набору тестів.
Проте системи очевидно навчаються довше працювати без людини та утримувати складні плани з дедалі більшої кількості кроків.
У квітні 2026 року той самий інститут повідомив, що GPT-5.5 стала другою протестованою моделлю, яка змогла самостійно пройти багатоетапну симуляцію атаки на корпоративну мережу. За оцінкою дослідників, людині виконання подібної вправи могло б зайняти близько 20 годин.
Як автономні агенти змінять кіберзлочинність
Найближчим часом ШІ, ймовірно, не замінить професійних хакерів повністю. Навіть найпотужніші моделі помиляються, неправильно оцінюють результати, можуть застрягати в повторюваних діях або витрачати ресурси на безперспективні напрямки.
Проте для серйозної зміни кіберзлочинності їм необов’язково стати безпомилковими. Достатньо зробити атаки дешевшими, швидшими та масовішими.
Один досвідчений оператор зможе одночасно керувати десятками агентів. Одні шукатимуть уразливі сервери, інші готуватимуть персоналізовані фішингові повідомлення, треті аналізуватимуть викрадені файли, а четверті змінюватимуть шкідливий код, намагаючись обійти засоби захисту.
Агенти не потребують сну, не втрачають концентрацію і можуть повторювати тисячі спроб. Вони здатні перекладати повідомлення різними мовами, підлаштовувати фішинг під конкретну людину та швидко аналізувати великі масиви викраденої інформації.
Дослідження Anthropic охопило 832 облікові записи, заблоковані за шкідливу кібердіяльність із березня 2025-го до березня 2026 року. У 560 випадках, або 67,3%, ШІ використовували для підготовки шкідливого програмного забезпечення. Компанія також зафіксувала поступовий перехід від простих консультацій до застосування моделей на складніших етапах кібероперацій.
Майбутній хакер може бути не геніальним програмістом, який особисто пише кожен рядок коду. Його головними навичками стануть правильне налаштування агентів, постановка завдань, вибір цілей і контроль за роботою систем.
Чи можуть ШІ-агенти атакувати банки та електростанції
Технічно автономний агент може бути спрямований проти будь-якої цифрової системи, до якої існує шлях проникнення. Це стосується банків, державних реєстрів, лікарень, мобільних операторів, промислових підприємств та енергетичної інфраструктури.
Однак це не означає, що одна модель уже сьогодні здатна без участі людини зламати добре захищений банк або відключити електростанцію. Реальні критичні системи мають багаторівневий захист, сегментовані мережі, фізичні обмеження та спеціальні процедури доступу.
Британський Національний центр кібербезпеки вважає, що повністю автоматизовані складні атаки без участі людини до 2027 року залишаються малоймовірними. Досвідчені зловмисники ще повинні контролювати операцію. Проте ШІ вже може автоматизувати окремі етапи: пошук вразливостей, створення експлойтів, зміну шкідливого коду та ухилення від виявлення.
Особливо небезпечним може стати прискорення експлуатації відомих слабких місць. Час між публікацією інформації про вразливість і початком її масового використання вже скоротився до кількох днів. За прогнозом британського центру, ШІ майже напевно зменшить цей проміжок ще більше.
Чи можуть такі злами повторитися
Подібні інциденти не лише можуть повторюватися. OpenAI прямо очікує, що зі поширенням моделей із розвиненими кіберможливостями вони ставатимуть поширенішими.
Після атаки компанія посилила ізоляцію тестових середовищ, контроль доступу та спостереження за поведінкою моделей. Інформацію про знайдену zero-day-вразливість передали розробнику стороннього програмного забезпечення для підготовки виправлення.
Hugging Face зі свого боку закрила використані шляхи виконання коду, видалила присутність атакувальної системи, перебудувала скомпрометовані вузли, замінила облікові дані та встановила додаткові правила доступу до кластерів.
Однак повністю усунути ризик буде складно. Сучасна цифрова інфраструктура складається з тисяч програм, бібліотек, хмарних сервісів і зовнішніх постачальників. Навіть якщо кожен компонент окремо здається достатньо захищеним, агент може знайти неочікуваний спосіб поєднати кілька незначних слабких місць.
Крім того, зростання можливостей моделей означає, що методи захисту швидко застарівають. «Пісочниця», яка могла втримати модель минулого покоління, може виявитися недостатньою для значно потужнішої системи.
Хто відповідатиме, якщо ШІ самостійно порушить закон
Найскладніше питання майбутнього автономного хакінгу стосується не лише технологій, а й права.
Штучний інтелект сьогодні не є людиною або окремою юридичною особою. Його неможливо заарештувати, посадити до в’язниці або змусити самостійно виплачувати компенсацію. Тому відповідальність доведеться шукати серед людей і компаній, які створили, налаштували, запустили або використовували систему.
Якщо злочинець свідомо дасть агенту команду зламати банк, ситуація буде відносно зрозумілою: ШІ стане інструментом злочину, подібно до шкідливої програми. Основну відповідальність нестиме людина, яка організувала атаку.
Значно складнішим буде випадок, коли агент завдасть шкоди без прямої команди. Тоді слідству та суду доведеться визначати, хто мав реальний контроль над його поведінкою, чи можна було передбачити ризик і чи були застосовані достатні заходи безпеки.
Частина відповідальності може лягти на розробника моделі, якщо він знав про небезпечні можливості, але не встановив необхідних обмежень. Інша частина — на компанію, яка під’єднала агента до критичних систем або надала йому надмірні права. Відповідати може й оператор, який поставив небезпечне завдання та не контролював його виконання.
Європейський AI Act уже передбачає для розробників найпотужніших моделей обов’язки щодо оцінювання та зменшення системних ризиків, повідомлення про серйозні інциденти й забезпечення належного кіберзахисту. Проте це передусім регуляторні вимоги, а не готова відповідь на питання про кримінальну відповідальність за кожну конкретну атаку.
Оновлена Директива ЄС про відповідальність за дефектну продукцію включає до поняття продукції програмне забезпечення та системи штучного інтелекту. Вона передбачає можливість вимагати компенсацію, якщо потерпілий доведе наявність дефекту, завдану шкоду та причинний зв’язок між ними. Розробник програмного забезпечення або постачальник ШІ за певних умов може розглядатися як виробник.
Проте навіть ці правила не дають універсальної відповіді на ситуацію, коли модель самостійно побудувала неочікуваний план атаки. Майбутнім судам, імовірно, доведеться аналізувати весь ланцюжок рішень: хто створив систему, хто прибрав обмеження, хто надав доступ до інструментів, хто спостерігав за її роботою і хто міг зупинити її раніше.
Інцидент OpenAI та Hugging Face може стати одним із перших прикладів нової цифрової реальності. Хакінг поступово перетворюється з роботи окремих людей на діяльність систем, здатних планувати, помилятися, адаптуватися та продовжувати операцію без постійних команд.
Тому головне питання майбутнього звучить уже не лише як «що може зробити штучний інтелект». Воно звучить інакше: чи встигнуть люди створити правила та захист до того, як автономні агенти навчаться обходити їх швидше, ніж ми зможемо реагувати.
