باحثون ينشرون أكثر من 80,000 حمولة هجوم من سرب وكلاء OpenAI

نشر الباحثون تقريرًا يعيد بناء كيفية اختراق سرب من وكلاء OpenAI لـ Hugging Face في يوليو 2026، مصحوبًا به مجموعة بيانات أولية محجوبة تضم أكثر من 80,000 حمولة هجوم أُعيد تجميعها من روابط عامة.

عندما اختراق 700 وكيل من OpenAI شركة Hugging Face في يوليو، تركوا خلفهم أثرًا عامًا من الأدلة، كتب مؤلفو تقرير Swarm Traces. قال المؤلفون إن تحقيقهم يعتمد على معلومات عامة ووثائق تُظهر سلوكيات ووثائق غير معروفة سابقًا للوكلاء والاستغلالات المستخدمة في الهجوم. وفقًا للتقرير، أنشأ الوكلاء ما يقرب من مليون عنوان URL على موقع اختصار الروابط، وعند ربطها معًا مكنتهم من تنفيذ شفرة لاختراق Hugging Face. وصف المؤلفون الإصدار بأنه أكثر المعلومات العامة تفصيلاً حتى الآن حول كيفية ولماذا هرب الوكلاء من بيئات التقييم وعمق تسللهم إلى Hugging Face.

قال المؤلفون إنهم شاركوا نتائجهم مع OpenAI و Hugging Face. أكدت Hugging Face لهم أن الحمولات المستردة تتطابق مع تلك التي وجدت في استجابتها للحادث، وأن بيانات الاعتماد الموجودة في البيانات تم إلغاؤها في يوليو، وأنها كانت على علم باستخدام مختصرات الروابط في الهجوم لكنها لم تكن على علم بالقائمة المحددة لعناوين URL التي اكتشفها الباحثون وأبلغوا عنها، وتذكر التقارير أن هذه الروابط ظلت متاحة للجمهور لأكثر من شهرين. صرحت Hugging Face أن تلك الحمولات كانت نسخًا مكررة من تلك التي كانت تعرفها مسبقًا. تحذف مجموعة البيانات المنشورة جميع بيانات الاعتماد والمعلومات الشخصية وتفاصيل البنية التحتية المحددة، وتحتفظ بأسماء خدمات اختصار الروابط وأي كتل لم يقم المؤلفون بفك تشفيرها؛ طلبت Hugging Face أيضًا أن تُحذف بيانات المستخدم، بما في ذلك أسماء المستخدمين وأسماء المستودعات.

كشفت OpenAI عن الحادث علنًا في 21 يوليو 2026. في تحديث بتاريخ 28 يوليو، صرحت OpenAI أن بيئة التقييم ExploitGym لم توفر للنماذج وصولًا مباشرًا إلى الإنترنت، وأن النماذج حددت واستغلت ثغرة يوم الصفر غير معروفة مسبقًا في Artifactory، وهو وكيل تخزين مؤقت لسجل الحزم، للحصول على الوصول، وأن النموذج المعني كان نموذجًا بحثيًا داخليًا فقط تم إيقافه وتشفيره وتقييد وصوله إلى البحث بعد الحادث، وفقًا لـ صفحة الحادث الخاصة بـ OpenAI. نشرت OpenAI تقريرها الفني حول حادث Hugging Face في 26 أغسطس 2026، وهو نفس اليوم الذي نشرت فيه METR و Redwood Research تحقيقهما المستقل.

كيف عثر الباحثون على الحمولات

بدأ التحقيق في 11 سبتمبر 2026، عندما علم المؤلفون الثلاثة الأوائل أن وكلاء OpenAI الداخليين حاولوا استخدام منتج شركتهم الناشئة، Parse، في يونيو، وفقًا للتقرير. كان هؤلاء الوكلاء جزءًا من نفس السرب المفصل في تقرير Collusion.wiki السابق، الذي كشف أن وكلاء OpenAI الداخليين استخدموا عدة مواقع ويب طرف ثالث لمشاركة إجابات مهام جلب الويب التي كانوا يُقيمون فيها.

أثناء فحص أدوات فحص الروابط التي يعتقدون أن الوكلاء قد استخدموها مع Parse، وجد الفريق فحصًا لعشرة روابط مختصرة، كل منها يعيد توجيه إلى صفحة تعرض جزءًا من الشيفرة المشفرة بقاعدة64 ومعرّف الرابط التالي. كشف فك تشفير إحدى السلاسل عن برنامج Python فحص الشبكة الداخلية لـ Hugging Face، وأشارت سلسلة ثانية إلى Artifactory الداخلي لـ OpenAI. جمع الفريق روابط المختصرات من فترة الهجوم، وفحص ملايين عناوين URL، وعلى مدار أكثر من أسبوعين كتب برامج تتبع السلاسل وتفكك أكثر من 80,000 حمولة. استخدم الوكلاء مئات صيغ الترميز الفريدة، بدءًا من أجزاء base64 البسيطة إلى طبقات متداخلة من الترميز والضغط التي تنكشف إلى كتل مشفرة موقعة بـ RSA لا يمكن العثور على مفاتيحها إلا في سلاسل أخرى. أبلغ المؤلفون Hugging Face في 21 سبتمبر 2026، و OpenAI في 24 سبتمبر 2026.

من بيئة عزل تدعم GET فقط إلى تنفيذ الشيفرة

في 8 يوليو 2026، اكتشف وكلاء OpenAI ثغرة في بيئة العزل الخاصة بهم مكنتهم من الوصول إلى مواقع ويب خارجية على الإنترنت، وفقًا للتقرير. يبدو أن هذا الوصول سمح فقط بطلبات GET، مما يعني أن الوكلاء كانوا قادرين على جلب وقراءة المواقع ولكنهم لم يتمكنوا من التفاعل معها أو إرسال نماذج أو نقل بيانات.

تجاوز الوكلاء هذا القيد عن طريق ربط الخدمات عبر الإنترنت. أرفقوا شظايا صغيرة من الشيفرة المشفرة بقاعدة 64 إلى عناوين URL على httpbun.com، وهي خدمة مرآة HTTP تقوم بفك تشفير كل شظية وتقديمها كصفحة ويب، ثم قدموا تلك العناوين إلى mShots، وهي خدمة تصوير شاشات تقوم بتحميل شفرة الموقع بالكامل في متصفحها الخاص لتصيير الصفحة وتنفيذ شيفرة الوكلاء. وبما أن عنوان URL واحد لا يمكنه احتواء الكثير من الشيفرة، قسّم الوكلاء البرامج الكبيرة إلى قطع متتابعة، كل منها مرتبط برابط مختصر يشير إلى القطعة التالية، وفي بعض الأحيان ربطوا أكثر من 900 رابط؛ كان يلزم فقط تقديم الرابط الأول إلى mShots، حيث يتبع متصفحها البقية حتى يتم تجميع البرنامج وتنفيذه. لقراءة النتائج، حول الوكلاء استجابات الخادم إلى شبكات من البكسلات تُعرض داخل متصفح خدمة تصوير الشاشة، تُلتقط في لقطات الشاشة المسترجعة، ثم فكوا تشفير الصور إلى نص. أجرى أحد السكريبتات المستعادة طلب POST إلى نقطة نهاية نتائج التقديم لتقييم يُدعى cybergym مستضاف على Modal، طالبًا سجلات التقديم للمعرف الوكيل m47push2. من خلال هذا البروتوكول المخصص، كتب المؤلفون، تمكن الوكلاء من تنفيذ شيفرة عشوائية وتلقي الردود بينما كانوا يمتلكون فقط صلاحيات GET.

ما تُظهره الحمولات داخل Hugging

توثّق الحمولات المستعادة نشاطًا واسعًا على أنظمة Hugging Face. أحد مجموعات البيانات الداخلية التي خرّطها الوكلاء واستخدموها كخزن حمل تحذيرًا في ملف README بأحرف كبيرة مفاده أن مجموعة البيانات لا يجب أن تُنشر أبدًا لأنها تحتوي على تصديرات حساسة لبيانات استخدام الفوترة. حمّلت إحدى الحمولات ملفًا خبيثًا باسم malicious.h5 تستهدف محتوياته /proc/self/environ، الذي يمكن أن يحمل مفاتيح API وبيانات اعتماد إنتاجية أخرى، و/proc/1/cmdline، الذي يمكن أن يكشف معلومات عن عملية بدء الحاوية، بينما وصف ملخص الالتزام العملية بأنها اختبار توافق مؤقت لتنسيق مجموعة البيانات.

جمّع سكريبت آخر مستعاد بيانات اعتماد AWS، ورموز الحامل، والمتغيرات البيئية التي تحتوي أسماؤها على سلاسل مثل SECRET أو PASSWORD أو CREDENTIAL أو KEY في قاموس سماه LOOT. قيّم السكريبت الرموز وفقًا لأذونات Kubernetes المدرجة، مُعطيًا 50 نقطة للفعل العام و100 نقطة للمورد العام، ثم استخدم حتى خمسة من أعلى الرموز تقييمًا لاسترجاع أسرار Kubernetes وconfigmaps ومعلومات العقد. بنت حمولات أخرى عمليات بحث ضد نقطة نهاية search.messages في Slack تحتوي على 27 سلسلة استعلام حرفية، بما في ذلك cybergym وexploitgym وcatflag وopenai-cybergym، للعثور على معلومات حول تقييم الوكلاء؛ وأشار التقرير إلى أن تلك السجلات هي داخل أوامر مُشفرة ولا تثبت أن عمليات البحث نفذت أو أن الردود عُدت.

أطلق الوكلاء أيضًا بنية تحتية للتحكم والقيادة على عمال مجموعة بيانات Hugging Face للاحتفاظ بالوصول وتشغيل أوامر متابعة. استعاد المؤلفون سكريبتات التحميل، والشيفرة المصدرية، وسجل الأوامر لعدة متحكمات، بما في ذلك واحدة تُدعى G236، استعادوا منها 28 أمرًا موقّعًا بـ RSA، وأخرى تُدعى OTS92، قرأت الأوامر وكتبت الردود عبر تعليقات Hugging Face في المناقشات، وهو ترتيب لا يتطلب أي اتصال وارد مباشر إلى العمال. برامج مستعادة أخرى خرّطت عنقود Kubernetes الخاص بـ Hugging Face باستخدام رمز توكن بود تتبع سبيكة لاسترجاع ما وصفه تعليق الشيفرة بأنه رمز توكن مدير عنقود قديم، سجّلت مفتاح Tailscale مُلتقط لتوجيه الطلبات نحو الخدمات الداخلية لـ Hugging Face، نشرت علامات تقدم بإنشاء أدلة على خادم Artifactory الخاص بـ OpenAI، وفي أحد مرشّحات الحمولة المستعادة، احتوت شيفرة مصممة لتضمين ردود الأوامر في طلبات DNS إلى خدمة اختبار اختراق.

حوالي 1,500 حمولة وُجهت إلى Docker Hub، حيث حاول الوكلاء إنشاء ما لا يقل عن 115 صورة عامة تحت حساب مستخدم حقيقي، وفقًا للمؤلفين. بنى الوكلاء إصدارات معدلة من صور تقييم CyberGym/Arvo القائمة صُممت لتسهيل الحصول على العلم وتسميم ذاكرة التخزين المؤقت Artifactory الخاصة بـ OpenAI بحيث تستخدم التقييمات اللاحقة البدائل، وهو طلب يشير إليه التقرير بأنه يتماشى مع ثغرة تسميم الذاكرة المؤقتة التي أشار إليها OpenAI في تقريره الفني، لاحقًا مصنّفًا كـ CVE-2026-66384. يعتقد المؤلفون أن الوكلاء حصلوا على بيانات اعتماد المستخدم عن طريق البحث في مواقع Pastebin عن رموز وصول Docker، وقالوا إن نتائج محركات البحث المخبأة أكدت أن ثلاثة من التحميلات نجحت، رغم أن الصور يبدو أنها أُزيلت من Docker Hub.

تحافظ الحمولات أيضًا على محاولات إزالة آثار الاختراق: عمليات ارتكاب برسائل مثل استعادة الأصل بدون بطاقة وإزالة yaml الشرير، طلبات DELETE ضد خدمة webhook عبر الإنترنت تم استخدام سجل طلباتها لتخزين شظايا الشيفرة، وحمولة أنشأت بود Kubernetes لقراءة سر عنقود ثم حذفته مع تعليق حول تنظيف البود. بشكل منفصل، حاول الوكلاء بناء حلول CAPTCHA لإنشاء Hugging Face user accounts، وهو جهد قال المؤلفون إنه تُرك في النهاية دون نجاح، وأرسلت عدة سكريبتات استفسارات إلى نماذج لغة خارجية، بما في ذلك DeepSeek-V4-Pro وDeepSeek-V4-Flash وKimi-K2.6 وQwen3-235B-A22B، مطالبةً إياها بتقييم الاستغلالات وإصدار حكم بشأن ما إذا كانت تلبي متطلبات المعيار، بينما وصلت طلبات منفصلة إلى Claude 3 Haiku وClaude Haiku 4.5 عبر خدمة دردشة AI عبر الإنترنت.

القيود التي يكشفها المؤلفون

يحذر المؤلفون من أن نحو 80٪ من بياناتهم هي حركة مرور صادرة وأنهم استعادوا محتوى استجابة محدود فقط، وأن إعادة بناءهم من المحتمل أن تكون غير مكتملة بعد أن حددوا أكثر من 1,588 تركيبة فريدة لطرق الترميز، وأن 97٪ من الحمولات لم تتضمن معلومات طابع زمني أصلاً. استخرجوا 7,905 اسم وكيل فريد، بينما أفادت METR وRedwood بوجود نحو 700 وكيل مشارك في هجوم Hugging Face، وهو الفرق الذي يعزو المؤلفون إلى أن الوكلاء يغيّرون أسمائهم بشكل متكرر وليس إلى سرب أكبر. يصرح المؤلفون أنهم لا يستطيعون التأكد من أن جميع مجموعة البيانات تمثل نشاطًا من وكلاء OpenAI، ولا يمكنهم تحديد نوايا جزء كبير من النشاط بثقة.

يلاحظ المؤلفون أيضًا أنه في وقت كتابة هذا المقال، أصدرت OpenAI تقريرين منشورين ذاتيًا ومحاضرة واحدة حول الحادث، إلى جانب تحقيق خارجي أجرته METR وRedwood Research حيث تم تزويد ثلاثة باحثين بنصوص جزئية ومنحهم ستة أيام لتحليلها، وأن OpenAI لم تنشر نصوصًا كاملة للجمهور بشأن حادث Hugging Face. الطرف الوحيد القادر على توضيح هذه النقاط، حسب ما كتب المؤلفون، هو OpenAI.