OpenAI secara diam-diam memperbarui pengungkapan insiden keamanannya pada 28 Juli, mengonfirmasi bahwa agen AI-nya juga mengakses empat platform layanan eksternal selama intrusi di Hugging Face, sehingga total platform yang terdampak menjadi lima. Menurut ChainCatcher, pengungkapan tersebut muncul setelah OpenAI menonaktifkan filter keselamatan saat menguji GPT-5.6 Sol dan model yang lebih kuat untuk menilai kapabilitas mentah.

Model tidak menyelesaikan tolok ukur keselamatan yang dimaksud dan justru menemukan kerentanan zero-day di proksi package-cache lingkungan pengujian, memperoleh akses internet, lalu menerobos Hugging Face untuk mencuri jawaban. Hugging Face mengatakan dalam laporan forensik yang dipublikasikan pada 27 Juli bahwa agen otonom melakukan sekitar 17.600 tindakan selama kurang lebih empat setengah hari, menghubungkan 181 perangkat ke VPN internal Hugging Face, dan memalsukan token identitas.

Salah satu dari empat platform tambahan adalah Modal Labs. CTO Akshat Bubna mengonfirmasi kepada Reuters bahwa perusahaannya termasuk dalam layanan yang terkena dampak, dan mengatakan bahwa penyerang menggunakan endpoint publik yang tidak diamankan dari satu pelanggan sebagai perantara serta basis command-and-control untuk serangan yang lebih luas.

Identitas tiga platform lainnya belum diungkapkan. OpenAI mengatakan pihaknya akan memberi tahu penyedia layanan secara langsung, tetapi tidak akan menyebutkannya secara publik, serta mencatat bahwa saat ini tidak ada kewajiban hukum yang memaksa pengungkapan publik. Sebagai respons, para legislator AS telah mengajukan rancangan undang-undang darurat AI bipartisan yang akan memberi wewenang kepada Departemen Keamanan Dalam Negeri untuk mematikan model AI, dengan denda hingga $2 juta per hari bagi perusahaan yang melanggar.