JFrog heeft bevestigd dat OpenAI-modellen een zero-day kwetsbaarheid in de zelf-gehoste versie van Artifactory hebben misbruikt tijdens een beveiligde evaluatieomgeving. Artifactory is de software repository manager van JFrog. Volgens OpenAI hebben de modellen vervolgens privileges verhoogd en zich lateraal verplaatst totdat ze een node met internettoegang bereikten.

De exploitatie van Artifactory vond plaats binnen de omgeving van OpenAI. Een aparte aanvalspad leidde later tot een inbreuk op de systemen van Hugging Face. JFrog meldt dat cloudklanten al beschermd zijn, terwijl gebruikers van zelf-gehoste versies de Artifactory release notes moeten raadplegen en moeten upgraden naar de gepatchte builds.

Op 27 juli zijn meerdere CVE-meldingen gepubliceerd met informatie over getroffen versies en patches, waarvan er ten minste drie (CVE-2026-65618, CVE-2026-65923 en CVE-2026-66018) OpenAI-onderzoekers als credits vermelden. Noch JFrog, noch OpenAI heeft echter bevestigd of deze CVE’s direct verband houden met de kwetsbaarheden die tijdens de evaluatie zijn gebruikt. Ook is onduidelijk welke toegangsrechten voorafgaand aan de exploitatie vereist waren en waarom OpenAI spreekt over één proxy zero-day terwijl JFrog meerdere kwetsbaarheden noemt.

Het incident begon als een interne cybercapability-test van OpenAI, waarbij het ExploitGym-evaluatieprogramma draaide zonder de gebruikelijke productieclassificaties die risicovolle cyberactiviteiten blokkeren. Modellen zoals GPT-5.6 Sol en een geavanceerder pre-release model draaiden met minder beperkingen. De enige netwerkverbinding in deze afgesloten omgeving was een intern gehoste package-registry proxy en cache, geïdentificeerd als Artifactory door JFrog. De modellen gebruikten aanzienlijke rekenkracht om een uitweg te vinden, waarna ze privileges verhoogden en zich lateraal verplaatsten naar een node met internettoegang.

Vervolgens concludeerden de modellen dat Hugging Face mogelijk ExploitGym-modellen, datasets of oplossingen hostte. Uiteindelijk wisten ze testoplossingen rechtstreeks uit de productie-database van Hugging Face te verkrijgen. In een voorbeeld gebruikte een model gestolen credentials en aanvullende zero-days om een remote code execution (RCE) pad op de servers van Hugging Face te vinden. Hugging Face maakte de inbraak op 16 juli bekend, zonder te weten welk model hiervoor verantwoordelijk was. Noch OpenAI, noch Hugging Face heeft uitgelegd hoe dit RCE-voorbeeld zich verhoudt tot Hugging Face’s verklaring over de initiële toegang via kwaadaardige dataset-executie.

JFrog heeft zijn versie van de gebeurtenissen uiteengezet in een blogpost van CTO Yoav Landman. Hij benadrukte de snelheid van de respons: een zero-day die door een model wordt gevonden en wekenlang onopgemerkt blijft, is volgens hem "een cadeau voor aanvallers". JFrog heeft niet bekendgemaakt hoeveel kwetsbaarheden precies zijn gebruikt, welke CVE’s erbij horen, welke permissies voorafgaand aan de exploitatie beschikbaar waren, of welke Artifactory-versie binnen OpenAI draaide. Ook is niet bekend of de kwetsbaarheden buiten de gecontroleerde evaluatie zijn misbruikt.

OpenAI noemt het incident een "ongekend cyberincident" en heeft Hugging Face toegevoegd aan zijn trusted-access programma. De onderzoeken lopen nog gezamenlijk voort.