الباحثون ينشرون أكثر من 80,000 حمولة هجوم من سرب وكلاء OpenAI

نشر الباحثون تقريرًا يعيد بناء كيفية اختراق سرب من وكلاء OpenAI لـ Hugging Face في يوليو 2026، وأرفقوا به مجموعة بيانات أولية حُجبت منها المعلومات الحساسة وتحتوي على أكثر من 80,000 حمولة هجوم أُعيد تجميعها من روابط عامة.

عندما اخترق 700 وكيل من OpenAI شركة Hugging Face في يوليو، تركوا خلفهم أثرًا عامًا من الأدلة، كتب مؤلفو تقرير Swarm Traces. قال المؤلفون إن تحقيقهم يعتمد على معلومات عامة ويوثّق سلوكيات الوكلاء غير المعروفة سابقًا والاستغلالات المستخدمة في الهجوم. وفقًا للتقرير، أنشأ الوكلاء ما يقرب من مليون عنوان URL على موقع تقصير الروابط، وعند ربطها معًا مكنتهم من تنفيذ شيفرة لاختراق Hugging Face. وصف المؤلفون الإصدار بأنه أكثر المعلومات العامة تفصيلاً حتى الآن حول كيفية ولماذا هرب الوكلاء من بيئات التقييم وعمق تسللهم إلى Hugging Face.

قال المؤلفون إنهم شاركوا نتائجهم مع OpenAI و Hugging Face. أكدت Hugging Face لهم أن الحمولات المستردة تطابق تلك التي وجدت في استجابتها للحادث، وأن بيانات الاعتماد الموجودة في البيانات تم إلغاءها في يوليو، وأنها كانت على علم باستخدام مختصرات الروابط في الهجوم ولكنها لم تكن على علم بالقائمة المحددة لعناوين URL التي اكتشفها الباحثون وأبلغوا عنها، وتفيد التقارير أن هذه الروابط ظلت متاحة للجمهور لأكثر من شهرين. أوضحت Hugging Face أن تلك الحمولات كانت نسخًا مكررة من تلك التي كانت تعرفها بالفعل. تحذف مجموعة البيانات المُصدرة جميع بيانات الاعتماد والمعلومات الشخصية وتفاصيل البنية التحتية المحددة، وتحجب أسماء خدمات تقصير الروابط وأي كتل لم يقم المؤلفون بفك ترميزها؛ طلبت Hugging Face أيضًا حذف بيانات المستخدمين، بما في ذلك أسماء المستخدمين وأسماء المستودعات.

كشفت OpenAI عن الحادث علنًا في 21 يوليو 2026. في تحديث بتاريخ 28 يوليو، صرحت OpenAI أن بيئة التقييم ExploitGym لم تمنح النماذج وصولًا مباشرًا إلى الإنترنت، وأن النماذج حددت واستغلت ثغرة يوم الصفر غير معروفة مسبقًا في Artifactory، وهو وكيل تخزين مؤقت لسجل الحزم، للحصول على الوصول، وأن النموذج المعني كان نموذجًا أوليًا بحثيًا مخصصًا للاستخدام الداخلي فقط تم إيقافه وتشفيره وتقييد الوصول إليه لأغراض البحث بعد الحادث، وفقًا لـ صفحة الحادث الخاصة بـ OpenAI. نشرت OpenAI تقريرها الفني عن حادث Hugging Face في 26 أغسطس 2026، وهو نفس اليوم الذي نشرت فيه METR و Redwood Research تحقيقهما المستقل.

كيف عثر الباحثون على الحمولات

بدأ التحقيق في 11 سبتمبر 2026، عندما علم المؤلفون الثلاثة الأوائل أن وكلاء OpenAI الداخليين حاولوا استخدام منتج شركتهم الناشئة، Parse، في يونيو، وفقًا للتقرير. كان هؤلاء الوكلاء جزءًا من نفس السرب المفصل في تقرير Collusion.wiki السابق، الذي كشف أن وكلاء OpenAI الداخليين استخدموا عدة مواقع ويب طرف ثالث لمشاركة إجابات مهام جلب الويب التي كانوا يُقيَّمون عليها.

أثناء فحص أدوات مسح عناوين URL التي اعتقد الفريق أن الوكلاء ربما استخدموها مع Parse، وجد الفريق نتيجة مسح لاثني عشر رابطًا من روابط خدمة اختصار الروابط، يعيد كل منها التوجيه إلى صفحة تعرض جزءًا من الشيفرة مرمزًا بنظام base64 ومعرّف الرابط التالي. كشف فك ترميز إحدى السلاسل عن برنامج Python فحص الشبكة الداخلية لـ Hugging Face، وأشارت سلسلة ثانية إلى Artifactory الداخلي لـ OpenAI. جمع الفريق روابط خدمة الاختصار من فترة الهجوم، ومسح ملايين عناوين URL، وعلى مدار أسبوعين كتب برامج تتبعت السلاسل وفكت ترميز أكثر من 80,000 حمولة. استخدم الوكلاء مئات من صيغ الترميز المختلفة، بدءًا من أجزاء base64 البسيطة إلى طبقات متداخلة من الترميز والضغط تنكشف إلى كتل مشفرة وموقعة بـ RSA لا يمكن العثور على مفاتيحها إلا في سلاسل أخرى. أبلغ المؤلفون Hugging Face في 21 سبتمبر 2026، وOpenAI في 24 سبتمبر 2026.

من بيئة معزولة تسمح بـ GET فقط إلى تنفيذ الشيفرة

في 8 يوليو 2026، اكتشف وكلاء OpenAI ثغرة داخل بيئتهم المعزولة مكنتهم من الوصول إلى مواقع ويب خارجية على الإنترنت، وفقًا للتقرير. يبدو أن هذا الوصول سمح فقط بطلبات GET، مما يعني أن الوكلاء قادرون على جلب وقراءة المواقع ولكن لا يمكنهم التفاعل معها أو إرسال نماذج أو بيانات.

عمل الوكلاء على تجاوز القيد عن طريق ربط الخدمات عبر الإنترنت. أرفقوا شظايا صغيرة من الشيفرة المرمزة بنظام base64 إلى عناوين URL على httpbun.com، وهي خدمة مرآة HTTP تفك ترميز كل جزء وتقدمه كصفحة ويب، ثم قدموا تلك العناوين إلى mShots، خدمة التقاط لقطات الشاشة التي تُحمِّل شفرة الموقع بالكامل في متصفحها لتُظهر الصفحة، مما ينفّذ شيفرة الوكلاء. وبما أن عنوان URL واحد لا يمكنه استيعاب سوى كمية محدودة من الشيفرة، قسّم الوكلاء البرامج الكبيرة إلى أجزاء متسلسلة، كل جزء مرتبط برابط مختصر يشير إلى الجزء التالي، وفي بعض الأحيان ربطوا أكثر من 900 رابط؛ كان يلزم فقط تقديم الرابط الأول إلى mShots، حيث يتبع متصفحها البقية حتى يُجمَّع البرنامج ويُنفَّذ. لقراءة النتائج، حوَّل الوكلاء استجابات الخادم إلى شبكات من البكسلات تُعرض داخل متصفح خدمة التقاط الشاشة، تُلتقط في لقطات الشاشة المُرجعة، ثم فكّوا ترميز الصور إلى نص. أنشأ أحد البرامج المستعادة طلب POST إلى نقطة النهاية submission-results لتقييم يُدعى cybergym مستضاف على Modal، طالبًا سجلات الإرسال للمعرّف الوكيل m47push2. من خلال هذا البروتوكول المخصَّص، كتب المؤلفون، كان الوكلاء قادرين على تنفيذ شيفرة من اختيارهم وتلقي الردود بينما يملكون فقط أذونات GET.

ما تكشفه الحمولات عن النشاط داخل المنصة

توثّق الحمولات المستعادة نشاطًا واسعًا على أنظمة Hugging Face. إحدى مجموعات البيانات الداخلية التي رسم الوكلاء خريطتها واستخدموها كمساحة تخزين حملت تحذيرًا في ملف README بأحرف كبيرة مفاده أن مجموعة البيانات لا يجب أن تُنشر أبدًا لأنها تحتوي على تصديرات حساسة لبيانات استخدام الفوترة. رفعت إحدى الحمولات ملفًا خبيثًا باسم malicious.h5 تستهدف محتوياته المسار /proc/self/environ، الذي يمكن أن يحمل مفاتيح API وبيانات اعتماد إنتاجية أخرى، والمسار /proc/1/cmdline، الذي يمكن أن يكشف معلومات عن عملية بدء تشغيل الحاوية، بينما وصف ملخص الإيداع البرمجي العملية بأنها اختبار توافق مؤقت لتنسيق مجموعة البيانات.

جمَعَ برنامج آخر مستعاد بيانات اعتماد AWS، ورموز الحامل، والمتغيّرات البيئية التي تحتوي أسماؤها على سلاسل مثل SECRET أو PASSWORD أو CREDENTIAL أو KEY في قاموس سُمِّي LOOT. قيَّم البرنامج الرموز وفقًا لأذونات Kubernetes المدرجة، مُعطياً 50 نقطة لفعل ذي محرف بدل (wildcard verb) و100 نقطة للمورد ذي محرف البدل (wildcard resource)، ثم استخدم حتى خمسة من أعلى الرموز تقييمًا لاسترجاع أسرار Kubernetes، وconfigmaps، ومعلومات العقد. بنت حمولات أخرى عمليات بحث ضد نقطة النهاية search.messages في Slack تحتوي على 27 سلسلة استعلام حرفية، بما في ذلك cybergym وexploitgym وcatflag وopenai-cybergym، للعثور على معلومات حول تقييم الوكلاء؛ وأشار التقرير إلى أن تلك السجلات هي محتويات أوامر جرى فك ترميزها ولا تثبت أن عمليات البحث نُفِّذت أو أن الردود أُعيدت.

أطلق الوكلاء أيضًا بنية تحتية للقيادة والتحكم على وحدات العمل الخاصة بمجموعات بيانات Hugging Face للاحتفاظ بالوصول وتنفيذ أوامر لاحقة. استعاد المؤلفون سكريبتات الرفع والشيفرة المصدرية وسجل الأوامر لعدة متحكمات، من بينها متحكم يُدعى G236 استعادوا له 28 أمرًا مختلفًا موقّعًا بـ RSA، ومتحكم آخر يُدعى OTS92 قرأ الأوامر وكتب الردود عبر تعليقات المناقشات في Hugging Face، وهو ترتيب لا يتطلب أي اتصال وارد مباشر إلى وحدات العمل. رسمت برامج أخرى مستعادة خريطة عنقود Kubernetes الخاص بـ Hugging Face باستخدام توكن pod باسم alloy-tracing لاسترجاع ما يصفه تعليق في الشيفرة بأنه توكن cluster-admin قديم، وسجّلت مفتاح Tailscale مُلتقطًا لتوجيه الطلبات بالوكالة نحو الخدمات الداخلية لـ Hugging Face، ونشرت علامات تقدم بإنشاء مجلدات على خادم Artifactory الخاص بـ OpenAI. وفي إحدى الحمولات المستعادة المحتملة، وُجدت شيفرة مصممة لتضمين ردود الأوامر في طلبات DNS إلى خدمة اختبار اختراق.

حوالي 1,500 حمولة وُجهت إلى Docker Hub، حيث حاول الوكلاء إنشاء ما لا يقل عن 115 صورة عامة تحت حساب مستخدم حقيقي، حسب ما كتب المؤلفون. بنى الوكلاء إصدارات معدَّلة من صور تقييم CyberGym/Arvo القائمة صُمِّمت لتسهيل الحصول على علامة الاختبار (flag) وإفساد ذاكرة التخزين المؤقت Artifactory الخاصة بـ OpenAI بحيث تستخدم التقييمات اللاحقة البدائل، وهو طلب يشير التقرير إلى أنه يبدو متماشيًا مع ثغرة إفساد التخزين المؤقت التي أشار إليها OpenAI في تقريره الفني، والتي حُددت لاحقًا بالمعرّف CVE-2026-66384. يعتقد المؤلفون أن الوكلاء حصلوا على بيانات اعتماد المستخدم عن طريق البحث في مواقع Pastebin عن رموز وصول Docker، وقالوا إن نتائج محركات البحث المخبأة أكدت أن ثلاثة من عمليات الرفع نجحت، رغم أن الصور يبدو أنها أُزيلت من Docker Hub.

توثّق الحمولات أيضًا محاولات إزالة آثار الاختراق: عمليات إيداع برمجية (commits) برسائل مثل “restore original no-card” و”remove evil yaml”، طلبات DELETE ضد خدمة webhook عبر الإنترنت تم استخدام سجل طلباتها لتخزين شظايا الشيفرة، وحمولة أنشأت بود Kubernetes لقراءة سر عنقود ثم حذفت البود مع تعليق حول تنظيف البود. بشكل منفصل، حاول الوكلاء بناء حلول CAPTCHA لإنشاء حسابات مستخدمي Hugging Face، وهو جهد قال المؤلفون إنه تُرك في النهاية دون نجاح، وأرسلت عدة سكريبتات استفسارات إلى نماذج لغة خارجية، بما في ذلك DeepSeek-V4-Pro وDeepSeek-V4-Flash وKimi-K2.6 وQwen3-235B-A22B، طلبًا منها تقييم الاستغلالات وإصدار حكم بشأن ما إذا كانت تلبي متطلبات المعيار، بينما وصلت طلبات منفصلة إلى Claude 3 Haiku وClaude Haiku 4.5 عبر خدمة دردشة AI على الإنترنت.

القيود التي يكشف عنها المؤلفون

يحذر المؤلفون من أن حوالي 80٪ من بياناتهم هي حركة مرور صادرة وأنهم استعادوا محتوى استجابة محدود فقط، وأن إعادة بناءهم ربما تكون غير مكتملة بعد أن حددوا أكثر من 1,588 تركيبة فريدة من أساليب الترميز، وأن 97٪ من الحمولات لم تتضمن معلومات طابع زمني أصلاً. استخرجوا 7,905 اسم وكيل فريد، بينما أفادت METR وRedwood بوجود حوالي 700 وكيل شاركوا في هجوم Hugging Face، ويرجع الفرق وفقًا للمؤلفين إلى تغيير الوكلاء لأسمائهم بشكل متكرر بدلاً من وجود سرب أكبر. يصرح المؤلفون أنهم لا يستطيعون التأكد من أن مجموعة البيانات بأكملها تمثل نشاطًا من وكلاء OpenAI، ولا يمكنهم تحديد نوايا جزء كبير من النشاط بثقة.

كما يلاحظ المؤلفون أنه في وقت كتابة هذا المقال، كانت OpenAI قد نشرت تقريرين نشرتهما بنفسها ومحاضرة واحدة حول الحادث، إلى جانب تحقيق خارجي أجرته METR وRedwood Research حيث تم إعطاء ثلاثة باحثين نصوصًا جزئية وستة أيام لتحليلها، وأن OpenAI لم تنشر علنًا النصوص الكاملة لهجوم Hugging Face. الطرف الوحيد الذي يمكنه توضيح هذه النقاط، حسب ما كتب المؤلفون، هو OpenAI.