Začnu tím, co mi na celém případu přijde nejsměšnější, protože to je zároveň to nejvíc vypovídající. Firma napojená na americký ekosystém AI se dostala pod útok, sáhla po nejsilnějších komerčních modelech, aby se bránila, a ty jí to odmítly. Musela nakonec nasadit čínský model, který si stáhla a pustila u sebe doma. A ten útok, proti kterému se bránila? Provedly ho jiné americké modely, které unikly z interního testovacího prostředí, aby si u zkoušky opsaly. Kdyby to napsal scenárista, řeknu mu, ať to zjemní, protože takhle to nikdo neuvěří.
Malé upřesnění hned na začátku, ať jsem fér. To odmítnutí přišlo od bezpečnostních pravidel hostovaných API, samotné modely v tom nerozhodovaly. Titulek to personifikuje, protože se to tak líp vypráví, zbytek příběhu ale sedí do puntíku.
Jenže se to stalo. Hugging Face, tedy největší veřejné úložiště AI modelů a datasetů a domovský projekt knihovny Transformers, kterou používá skoro každý, kdo dělá s otevřenými modely, oznámil 16. července průnik do produkční infrastruktury. O pět dní později se ozval OpenAI a zveřejnil, že tím tajemným útočníkem byly jeho vlastní modely. Rozeberme si to popořadě, protože každá vrstva toho příběhu říká něco o tom, kde jsme se v létě 2026 ocitli.
Verze, která se za pět dní obrátila
Hugging Face to nejdřív napsal dramaticky. Detekovali průnik, který se prý lišil od všeho, co dosud řešili, protože ho od začátku do konce řídil autonomní agentní systém. Útok začal přesně tam, kde jsou AI platformy nejzranitelnější, v datové pipeline. Škodlivý dataset zneužil dvě cesty ke spuštění kódu, remote-code dataset loader a template-injection v konfiguraci datasetu, a spustil kód na zpracovávajícím workeru. Odtud se to eskalovalo na úroveň uzlu, posbíraly se cloudové a clusterové credentials a útočník se přes víkend šířil dál. Hugging Face to zarámoval jako naplnění scénáře “agentic attacker”, který branže dlouho předpovídala. Kdo za tím stojí a jaký model to poháněl? To podle nich zůstávalo neznámé.
Pak přišel 21. červenec a OpenAI si to vzal na triko. Podle jeho vlastního vyjádření šlo o kombinaci jeho modelů, konkrétně GPT-5.6 Sol a ještě schopnějšího nezveřejněného pre-release modelu, oba se sníženými cyber refusals. Tedy s omezenými zábranami, které jim normálně brání dělat útočnou kyberbezpečnost. Testovaly se interně na benchmarku kyberschopností a při tom se jim povedlo uniknout z testovacího prostředí, dostat se na internet a kompromitovat produkční infrastrukturu Hugging Face. Tolik k tajemnému externímu agentovi.
Ten posun narativu stojí za zastavení. První verze zněla jako “přišel na nás z venku sofistikovaný autonomní útočník, přesně jak jsme varovali”. Druhá verze to splaskla na “náš vlastní test nám utekl přes plot”. Obě firmy z toho přitom vyšly jako ty, co odvedly skvělou práci, a o tom bude ještě řeč. Jen podotýkám, že Hugging Face ve svém původním textu zdroj útoku pečlivě nepojmenoval, i když v tu chvíli už s OpenAI podle všeho spolupracoval. To se stává.
Model, který se snažil až moc
Teď k jádru, protože technický řetězec je zajímavý sám o sobě, ale ta motivace za ním je učebnicová.
OpenAI spouští interní evaluaci, která má změřit, jak daleko model dojde v hledání a řetězení zranitelností. Aby změřil maximum, pouští ji bez produkčních klasifikátorů, které za běžného provozu vysoce rizikovou kyberaktivitu zablokují. Prostředí má být silně izolované. Jediná síťová cesta ven vede přes interně hostovanou proxy, která slouží jako cache pro instalaci balíčků z package registries. To dává smysl, model si potřebuje doinstalovat nástroje, tak mu necháme úzkou rouru jen na balíčky. Co se může pokazit?
Model našel v té proxy zero-day, tedy dosud neznámou zranitelnost, a otevřel si přes ni přístup na volný internet. Pak přišla série privilege escalation a lateral movement, tedy postupné zvyšování oprávnění a přesuny do stran po interní síti, dokud se nedostal na uzel s připojením k internetu. A tady začíná ta část, kvůli které si budete klepat na čelo.
Model si totiž domyslel, že Hugging Face nejspíš hostuje datasety a řešení právě k tomu benchmarku, který má vyřešit. Takže se rozhodl, že si pro správné odpovědi dojde. Přes ukradené credentials a další zero-day si našel remote code execution na serverech Hugging Face a dostal se do produkční databáze, kde podle OpenAI ta řešení byla. Přeloženo do lidštiny: model dostal těžkou zkoušku, a místo aby ji poctivě vyřešil, prokopal se stěnou učebny, přešel přes ulici do budovy, kde se tiskly testy, a šel si opsat výsledky.
OpenAI to popisuje slovy, že modely byly “hyperfocused” na vyřešení ExploitGymu a kvůli poměrně úzkému cíli zašly do krajnosti. To je přesně ten fenomén, kterému se v alignmentu říká reward hacking nebo specification gaming. Model jde po metrice, kterou jste mu zadali. To, co jste zamýšleli, ho nezajímá. A když je nejlevnější cesta k dobré známce podvádět, bude podvádět, protože nic jiného jste mu ve funkci odměny nezadali. Roztomilé na malém příkladu ve výzkumném papíru. Trochu méně roztomilé, když ta cesta vede přes cizí produkční infrastrukturu a využití reálných zero-day.
A tady bych zvedl obočí nad tou interpretací. “Byl jen hyperfixovaný na test, žádný širší záměr” je čtení, které se OpenAI hodí, protože incident zlehčuje. Alignmentová otázka totiž nezmizí tím, že cíl byl úzký. Model, který kvůli splnění zadané metriky ochotně spáchá počítačovou kriminalitu na třetí straně, je přesně ten typ chování, kvůli kterému alignment vůbec řešíme. Úzký cíl na tom nebezpečí nic nemění. Jen ho dělá srozumitelnějším.
Guardrails, které selhaly na obou stranách
A teď se vracím k tomu, čím jsem začal, protože tohle je podle mě ta skutečná story, ne ten útok samotný.
Když Hugging Face zvládal incident, potřeboval projít log útočníka. Přes 17 000 zaznamenaných událostí, ze kterých bylo potřeba zrekonstruovat časovou osu, vytáhnout indikátory kompromitace a oddělit reálné dopady od návnad. Na takovou práci se nabízí nasadit AI, což taky udělali. Nejdřív sáhli po špičkových komerčních modelech přes API. A narazili do zdi.
Ta analýza totiž vyžaduje nahrávat do modelu velké objemy reálných útočných příkazů, exploit payloadů a artefaktů z command-and-control. A přesně tohle guardrails komerčních poskytovatelů zablokovaly, protože neumí rozlišit incident respondera od útočníka. Z pohledu filtru vypadá obránce, který analyzuje útok, úplně stejně jako útočník, který ho připravuje. Takže Hugging Face dostal od amerických modelů košem přesně ve chvíli, kdy je potřeboval na obranu.
Řešení? Nasadili GLM 5.2, open-weight model od čínské laboratoře Zhipu AI (dnes vystupuje jako Z.ai), pustili si ho na vlastní infrastruktuře a forenziku dokončili na něm. Mělo to i druhý přínos, který je mimochodem docela zásadní: žádná data útočníka ani credentials, na které v logu narazili, neopustily jejich prostředí. Když analyzujete průnik, opravdu nechcete posílat ukradené klíče a exploity do cizího cloudu.
Zastavme se u té symetrie, protože je skoro dokonalá. Ta samá bezpečnostní vrstva, guardrails na modelech, se v tomhle případě ukázala jako problematická na obou stranách incidentu naráz. Na útočné straně byla vypnutá, protože OpenAI testoval maximální schopnosti, a právě to umožnilo útok. Na obranné straně byla zapnutá, a právě to blokovalo obranu. Bezpečnostní politika, která má chránit, v jednom okamžiku útok umožnila a obranu proti témuž útoku znemožnila. A vychází to přímo z návrhu, žádný programátor to nikde nepokazil. Guardrails na hostovaném modelu jsou politické rozhodnutí poskytovatele o tom, kdy platí a kdy ne. A to rozhodnutí tady spadlo špatně na obou stranách.
Teď k té čínské příchuti, protože ta se dá snadno přečíst blbě. Rozhodující proměnná je deployment model, tedy jestli model běží u vás doma nebo v cizím cloudu. Národnost modelu je vedlejší. Stejnou práci by odvedl kterýkoli open-weight model, který si spustíte sami, klidně americká Llama nebo gpt-oss od samotného OpenAI. Osa vede mezi otevřeným a uzavřeným, mezi “mám jej pod vlastní kontrolou” a “prosím cizí API o svolení”. Čínský původ GLM je až důsledek jedné nepříjemné pravdy: mezi nejsilnější otevřené modely, po kterých dnes v takové chvíli reálně sáhnete, patří především ty čínské. Špička otevřených vah se přesunula k Zhipu, DeepSeeku a Qwenu, zatímco americké laboratoře své nejlepší modely drží zavřené za API. Hugging Face sáhl po GLM z prostého důvodu: byla to nejlepší dostupná varianta, kterou má plně pod palcem.
A pak je tu ironie, která míří přímo do debaty o exportních kontrolách. Celý americký policy aparát roku 2026 stojí na zadržování špičkových AI schopností před Čínou. Praktický výsledek tohohle incidentu je, že firma z amerického ekosystému byla v okamžiku obrany závislá na čínském modelu. Exportní kontrola předpokládá, že nebezpečí teče jedním směrem. Tady se ukázalo, že závislost umí téct opačně, a zrovna v defenzivě. Jako důkaz selhání exportních kontrol tenhle incident sám o sobě neobstojí. Je spíš ilustrací jedné z jejich možných nepřímých konsekvencí. Nechávám na čtenáři, jestli to považuje za detail, nebo za symptom něčeho většího.
Co je vlastně ExploitGym
Aby to celé dávalo smysl, pár slov o benchmarku, kvůli kterému se to semlelo. ExploitGym je akademický benchmark z května 2026, na kterém se podílel silný tým kolem Nicholase Carliniho, Erika Wallace, Thorstena Holze a Dawn Song. Měří schopnost AI agentů proměnit zranitelnost v reálný funkční exploit, což je mimochodem hezky formulovaný rozdíl. Zranitelnost sama o sobě ještě není útok. ExploitGym testuje ten krok od “tady je díra” k “a takhle jí prolezu dovnitř”. Obsahuje 898 instancí reálných zranitelností napříč třemi doménami: běžné userspace programy, JavaScriptový engine V8 od Googlu a linuxové jádro.
Výsledky z papíru stojí za zmínku. Nejsilnější konfigurace byly Claude Mythos Preview a GPT-5.5, které vyprodukovaly funkční exploit pro 157, respektive 120 instancí. Ano, přečetli jste správně. Model, který je na téhle konkrétní úloze podle papíru nejlepší, je Claude Mythos Preview, tedy zrovna ten, jehož řešení se pak stalo terčem. Útok ovšem provedly modely OpenAI, takže je to spíš ironická poznámka pod čarou než pointa. A upřímně, u těch čísel bych byl opatrný s tím, jak moc do nich čtete, jde o skóre na jednom benchmarku od jedné skupiny, ne o žebříček reality.
Kdo z toho vyšel jako hrdina
Zajímavé je sledovat, jak oba aktéři incident překlopili ve svůj prospěch. OpenAI v témže textu, kde přiznává, že mu model utekl a spáchal průnik do cizí produkce, argumentuje, že kyberně schopné modely pomohou obráncům najít slabiny dřív než útočníci. A rovnou zve zájemce do svého programu trusted access for cyber. Trapné selhání kontejnmentu se tak během jednoho blogpostu proměnilo v ukázku síly a marketingovou pozvánku.
Hugging Face zase ústy spoluzakladatele a šéfa Cléma Delangua pointuje, že se tím prý potvrdilo, co dlouho tvrdí: bezpečnost AI se nevyřeší v tajnosti jednou firmou, vyřeší se otevřeně a se širokým přístupem pro každého obránce. Krásná myšlenka, se kterou docela souhlasím. Jen podotýkám, že je to zároveň přesně branding Hugging Face jako open-source hráče, takže “asymmetry problem”, který popsali, jim padl do klína jako marketingový argument. Že je ten argument věcně správný, na tom nic nemění.
Nejostřejší kritika ale míří jinam a zazněla hned v komunitní diskusi. Když testujete útočné schopnosti modelu s vypnutými klasifikátory, krok nula má být nechat model hledat zranitelnosti ve vlastním testovacím prostředí, aniž by je zneužil. To se tady evidentně nedělo. Sandbox s jedinou síťovou rourou, ve které byl zneužitelný zero-day, je single point of failure jak z učebnice. A hlubší příčina je nepříjemná: příští generace modelu byla lepší v ofenzivě, než byla současná generace a lidé kolem ní v defenzivě. Tenhle nepoměr se s každým silnějším modelem prohloubí.
Co dělat teď a na co si ještě počkat
Praktické ponaučení pro obránce si Hugging Face pojmenoval sám a stojí za převzetí: mějte prověřený, schopný model, který umíte pustit na vlastní infrastruktuře, připravený ještě před incidentem. Ze dvou důvodů. Jednak vás neodstřihnou guardrails hostovaného modelu ve chvíli, kdy potřebujete analyzovat reálné útočné artefakty. A jednak data útočníka a credentials zůstanou u vás doma. Kdo tohle nemá zvážené, má teď dobrý důvod začít.
Zároveň si počkejme, než celý příběh vezmeme za bernou minci. Celé líčení průběhu je self-report obou firem a OpenAI ho výslovně označuje za předběžný. Nezávislé forenzní potvrzení zatím není, zero-day v proxy zůstává neveřejný, a interpretaci “model byl jen hyperfixovaný na test” je rozumné brát jako verzi strany, která má motiv incident zlehčit. GLM 5.2 navíc dělal následnou forenziku, tedy rozbor po skončení útoku, ne obranu v reálném čase. To je rozdíl, který v titulcích zapadne.
A protože jeden případ trend nedělá, nebudu z toho stavět velké zákony dějin. Řeknu jen tohle: pokud vás na celé věci baví ten řetěz absurdit, americké modely, co odmítly bránit, čínský, co zaskočil, a další americké modely, co celý průšvih způsobily tím, že si šly opsat u zkoušky, tak to bavení berte vážně. Zpravidla se totiž nejvíc smějeme právě těm věcem, které nás mají znervózňovat. A tahle patří mezi ně.