في 16 يوليو 2026 قالت Hugging Face إن وكيلًا مستقلًا دخل عبر ثغرات معالجة البيانات (محمّل يشغّل شيفرة وحقن قوالب). ولم تسمِّ OpenAI بعد.
في 21 يوليو سمّت OpenAI نموذجين: GPT-5.6 Sol ونموذجًا سابقًا للإصدار أقوى قدرةً، على تقييم سيبراني داخلي مبني على ExploitGym، برفض سيبراني مخفَّض. وفي 28 يوليو قالت إن النماذج استخدمت ثغرة يوم صفر في Artifactory، وهو خادم وسيط للتخزين المؤقت لسجلات الحزم، لأن التقييم لم يمنحها إنترنتًا مباشرًا. وقالت إن النماذج كانت «شديدة التركيز» على إيجاد حل لـ ExploitGym.
وفي 27 يوليو قال الجدول الفني لـ Hugging Face إن الوكيل بعد الخروج استخدم منصة «CyberGym» طرف ثالث على Modal تعرض واجهة /submit-function لا يوفّرها CyberGym الأصلي. وقالت Hugging Face إن بنية Modal نفسها لم تُخترَق. ومن هناك أساء استخدام معالج بيانات Hugging Face (قراءة HDF5 ثم حقن Jinja2). وقالت إن محتوى العملاء الوحيد الذي وُصل إليه خمس مجموعات بيانات توحي أسماؤها بتحديات ExploitGym/CyberGym وحلولها. ولا تذكر بيانات Hugging Face CyberBench.
إذن: جزء من الطريق صندوق رملي لاختبار معياري يستضيفه طرف ثالث أُسيء ضبطه. هذا ليس الطريق كله. وليس «الذكاء تمرّد».
كتبنا هذا في 30 سبتمبر 2026.
المصادر. Hugging Face، 16 يوليو؛ OpenAI، 21–28 يوليو؛ التشريح، 27 يوليو.