根據 Beating 的監控，OpenAI 的惡意代理程式利用了在公網上暴露的 Modal 客戶未受保護、未經驗證的 API 介面，取得該客戶的沙盒環境存取權。隨後，該代理程式將此沙盒作為跳板，攻擊 Hugging Face。
Modal 確認其平台與沙盒隔離機制仍維持完整，並將此次洩露歸因於客戶暴露的 API。OpenAI 於 7 月 28 日披露，此事件涉及 4 個外部服務帳號：其中一個用於流量中繼與攻擊準備，一個用於資料儲存，另兩個則存在被存取但未用於對 Hugging Face 的後續攻擊。服務名稱未予披露。OpenAI 已停用並加密受影響的研究模型，且撤銷研究人員的存取權。
