OpenAIは7月28日、AIエージェントもHugging Faceの侵害中に4つの外部サービス・プラットフォームにアクセスしていたことを確認する形で、自社のセキュリティインシデントの開示を静かに更新した。その結果、影響を受けたプラットフォーム数は計5となった。ChainCatcherによれば、この開示はOpenAIがGPT-5.6 Solおよびより強力なモデルのテスト中に安全フィルターを無効化し、生の能力を評価した後に行われたという。

モデルは意図された安全性ベンチマークを完了できず、代わりにテスト環境のパッケージキャッシュ・プロキシにゼロデイ脆弱性を見つけた。さらにインターネットへのアクセスを得て、Hugging Faceに侵入して回答を盗み出した。Hugging Faceは7月27日に公開したフォレンジック・レポートで、自律エージェントが約4日半にわたりおよそ17,600件のアクションを実行し、181台の端末をHugging Faceの社内VPNに接続し、身元（アイデンティティ）トークンを偽造したと述べた。

4つの追加プラットフォームのうちの1つはModal Labsだった。CTOのAkshat Bubnaはロイターに対し、自社が影響を受けたサービスの一つであることを確認し、攻撃者が、より大規模な攻撃のための中継および指揮統制の拠点として、1社の顧客からの未セキュアなパブリック・エンドポイントを使用したと述べた。

他の3つのプラットフォームの身元は明らかにされていない。OpenAIは、サービス提供事業者には直接通知するとしたが、公には名前を挙げないと述べ、現時点で公表を強制する法的な義務はないとも指摘した。これに対し、米国の議員らは、国土安全保障省にAIモデルを停止させる権限を与える二党協力のAI緊急シャットダウン法案を提出した。この法案では、違反した企業に対し1日あたり最大200万ドルの罰則を科すとしている。