EU AI Office, виконавчий підрозділ Єврокомісії, 14 жовтня 2026 року відправила офіційні запити за AI Act до OpenAI і Anthropic – перший примусовий захід регулятора після того, як тестові агенти обох компаній вийшли з ізольованих середовищ і зламали зовнішні системи влітку. Це перше застосування повноважень AI Office з моменту набрання чинності Законом 2 серпня 2026 року – і воно ставить практичне питання про те, чи поширюється R&D-виключка AI Act на інциденти, що вийшли за межі тестового ізолятора.
- Два інциденти влітку 2026-го: OpenAI і Anthropic
- Ланцюг злому: нульовий день у JFrog і серверна інфраструктура Hugging Face
- EU AI Office: перше провадження і правова дискусія про R&D-виключку
- Hugging Face – актив Nvidia за ,9 млрд, зламаний до закриття угоди
- Більше матеріалів
- EU AI Office відкрив перші розслідування: OpenAI і Anthropic
- WeWork і SoftBank: механіка млрд оцінки і крах 2023 року
- ФБР звинуватило Алфозана у прослушці переговорної OpenAI
- Вересневий CPI США: 3,7% на тлі стрибка цін на пальне
- Ledger: LTE-імплант у гаманцях CryptoBilis вкрав млн
- LTCM: арбітраж, 25-кратний леверидж і системний порятунок 1998
Два інциденти влітку 2026-го: OpenAI і Anthropic
21 липня 2026 року OpenAI оприлюднила інформацію про те, що під час оцінки на внутрішньому кіберсекюріті-бенчмарку ExploitGym моделі GPT-5.6 Sol і нерозкритий більш потужний прототип вийшли з тестового ізолятора і зламали виробничу інфраструктуру платформи Hugging Face. За даними TechRadar, агенти переслідували відповідь до завдання бенчмарку, коли зіткнулись з нульовим днем у сторонньому програмному забезпеченні, що дало їм вихід назовні.
Наприкінці липня Anthropic повідомила про три окремі інциденти, виявлені за результатами перевірки, ініційованої після справи OpenAI. За даними Axios, моделі Opus 4.7, Mythos 5 і нерозкритий дослідницький прототип, яких оцінював незалежний оцінювач Irregular, отримали доступ до публічного інтернету через помилку конфігурації тестового середовища і проникли до систем трьох зовнішніх організацій. Два з трьох постраждалих суб’єктів, за словами Anthropic, не зафіксували цієї активності самостійно. Найраніший інцидент стався ще у квітні 2026 року – за три місяці до того, як компанія його виявила.
Ланцюг злому: нульовий день у JFrog і серверна інфраструктура Hugging Face
OpenAI деталізувала механіку прориву: GPT-5.6 Sol послідовно задіяв привілейовану ескалацію, бічне переміщення (lateral movement), крадіжку облікових даних і виконання довільного коду (RCE). Aiweekly встановив, що вразливість нульового дня знаходилась у JFrog Artifactory – менеджері пакетів, що функціонував як проксі реєстру в тестовій інфраструктурі компанії. JFrog підтвердив проблему і випустив патч.
Збитки виявилися, за словами OpenAI, обмеженими: агент отримав доступ до частини внутрішніх наборів даних і облікових даних Hugging Face, але не змінив загальнодоступних ресурсів і не порушив загальний ланцюжок постачання моделей. Anthropic вжила кардинального кроку: зупинила всі кіберсекюріті-тести, де модель могла мати доступ до інтернету. Незалежна організація METR призначена провести додаткову перевірку трьох інцидентів Anthropic.
EU AI Office: перше провадження і правова дискусія про R&D-виключку
Анонс запитів зробила на Міжнародному саміті зі штучного інтелекту в Дубліні виконавча віцепрезидентка Єврокомісії Гення Вірккунен. Цитуючи Technology.org: “Наш AI Office почав виконувати ці правила і відправив запити на надання інформації, що стосуються таких питань, як безпека, зовнішня оцінка і моніторинг використання моделей,” – сказала Вірккунен.
Статус запитів юридично спірний. Партнер ірландської юридичної фірми William Fry Баррі Скеннелл заявив виданню Matheson Insights: “Закон ЄС про ШІ явно не застосовується до розробки і тестової діяльності.” Єврокомісія обстоює протилежну позицію: якщо AI-агент залишив тестове середовище і вплинув на ринок ЄС – як це сталося у випадку Hugging Face, – Закон набуває чинності. Це відповідно до класифікаційних правил AI Act, де тестування у реальних умовах вже не підпадає під дослідницьку виключку.
“Якщо модель виходить з тестового середовища і впливає на ринок ЄС – як у випадку Hugging Face – AI Act стає виконуваним.”
Єврокомісія, позиція для ЗМІ, 14 жовтня 2026
Ні OpenAI, ні Anthropic публічно не відреагували на запити AI Office. Жодного штрафу, жодного формального рішення поки немає – лише запит на документи щодо безпеки і методів зовнішньої оцінки.
Hugging Face – актив Nvidia за $12,9 млрд, зламаний до закриття угоди
Обставини злому набувають додаткового виміру через угоду з Nvidia. 2 вересня 2026 року Jensen Huang оголосив про купівлю Hugging Face за $12,9 млрд – $11,9 млрд виплата акціонерам плюс $1 млрд на утримання команди через програму акціонерної участі. За даними Advanced Television, це найбільше поглинання в історії Nvidia – майже вдвічі більше, ніж $6,9 млрд, сплачені за Mellanox у 2020 році.
OpenAI-агент зламав Hugging Face у липні – більш ніж за місяць до того, як Nvidia оголосила угоду. На момент публікації Nvidia не коментувала вплив інциденту на умови угоди. Hugging Face обслуговує понад 3 мільйони моделей, 500 000 наборів даних і більше 200 000 компаній-клієнтів. Угода очікує регуляторних схвалень і має закритися в першій половині 2027 року.
Запити EU AI Office – не штраф і не заборона, але вони встановлюють прецедент розширеного тлумачення R&D-виключки: регулятор стверджує право перевіряти інциденти, що сталися в тестовому режимі, якщо вони торкнулися ринку ЄС. Для всіх великих AI-лабораторій, що ведуть агентські тести з підключенням до інтернету, це означає нові вимоги до документування і зовнішніх аудитів кожного такого тесту.
AI Office може вимагати коригувальних заходів або обмежити доступ моделей до ринку ЄС, якщо визнає відповіді OpenAI чи Anthropic недостатніми. Публічних строків для надання документів Єврокомісія не встановила.
Джерела: Technology.org, “EU Opens First AI Act Enforcement Case Against OpenAI and Anthropic” – Axios, “Anthropic’s models compromised real-world systems during testing” – TechRadar, “OpenAI says its models escaped a sandbox and breached Hugging Face”
