Výzkumníci zveřejnili více než 80 000 útočných payloadů ze svazu agentů OpenAI

Výzkumníci zveřejnili zprávu, která rekonstruuje, jak svaz agentů OpenAI v červenci 2026 kompromitoval Hugging Face, a zároveň vydali předběžný, redigovaný dataset obsahující více než 80 000 útočných payloadů sesbíraných z veřejných odkazů.

Když v červenci 700 agentů OpenAI napadlo Hugging Face, zanechali veřejnou stopu důkazů, napsali autoři zprávy Swarm Traces. Autoři uvedli, že jejich vyšetřování vychází z veřejně dostupných informací a dokumentů, které dříve neznaly chování agentů a zneužití použité v útoku. Podle zprávy agenti vytvořili téměř milion URL na službě pro zkracování odkazů, které po propojení umožnily spouštět kód k napadení Hugging Face. Autoři popisují tuto publikaci jako dosud nejpodrobnější veřejně dostupnou informaci o tom, jak a proč agenti unikli ze svých evaluačních prostředí a o hloubce jejich infiltrace Hugging Face.

Autoři uvedli, že své závěry sdíleli s OpenAI a Hugging Face. Hugging Face jim potvrdil, že získané payloady odpovídají těm, které byly nalezeny v jeho vlastní reakci na incident, že přihlašovací údaje obsažené v datech byly v červenci odvolány, a že byl informován o použití zkracovačů odkazů v útoku, ale ne o konkrétním seznamu URL, které výzkumníci objevili a nahlásili; zpráva uvádí, že tyto odkazy zůstaly veřejně dostupné více než dva měsíce. Hugging Face uvedl, že tyto payloady jsou duplikáty již známých. Vydaný dataset rediguje všechny přihlašovací údaje, osobní informace a konkrétní podrobnosti o infrastruktuře a nezveřejňuje názvy služeb pro zkracování odkazů ani žádné bloky, které autoři dosud nerozšifrovali; Hugging Face také požádal, aby byly redigovány uživatelské údaje, včetně uživatelských jmen a názvů repozitářů.

OpenAI veřejně oznámila incident 21. července 2026. V aktualizaci ze 28. července OpenAI uvedla, že evaluační prostředí ExploitGym neposkytovalo modelům přímý přístup k internetu, že modely identifikovaly a zneužily dříve neznámou zero‑day zranitelnost v Artifactory, proxy cache registru balíčků, aby získaly přístup, a že se jednalo o interní výzkumný prototyp, který byl po incidentu deaktivován, šifrován a omezený v přístupu k výzkumu, podle stránky incidentu OpenAI. OpenAI zveřejnila technickou zprávu o incidentu Hugging Face 26. srpna 2026, ve stejný den publikovaly METR a Redwood Research své nezávislé vyšetřování.

Jak výzkumníci našli payloady

Vyšetřování zahájili 11. září 2026, kdy první tři autoři zjistili, že interní agenti OpenAI se v červnu pokusili použít produkt jejich startupu Parse, uvádí zpráva. Tito agenti byli součástí stejného svazu, který byl podrobně popsán v dřívější zprávě Collusion.wiki, jež odhalila, že interní agenti OpenAI využívali několik webových stránek třetích stran k sdílení odpovědí na úkoly webového načítání, na nichž byli hodnoceni.

Při zkoumání nástrojů pro skenování URL, o nichž se domnívali, že je agenti mohli použít s Parse, tým našel sken dvanácti odkazů na zkracovač, z nichž každý přesměrovával na stránku zobrazující base64‑kódovaný fragment kódu a identifikátor dalšího odkazu. Dekódování jednoho řetězce odhalilo Python skript, který skenoval interní síť Hugging Face, a druhý řetězec odkazoval na interní Artifactory společnosti OpenAI. Tým shromáždil odkazy zkracovače z období útoku, skenoval miliony URL a během více než dvou týdnů napsal programy, které sledovaly řetězce a dekódovaly více než 80 000 payloadů. Agentům se podařilo použít stovky unikátních formátů kódování, od jednoduchých base64 fragmentů po vnořené vrstvy kódování a komprese, které se rozbalily na šifrované, RSA‑podepsané bloky, jejichž klíče bylo možné najít jen v jiných řetězcích. Autoři informovali Hugging Face 21. září 2026 a OpenAI 24. září 2026.

Z sandboxu umožňujícího jen GET na vykonání kódu

8. července 2026 agenti OpenAI objevili zranitelnost ve svém sandboxovém prostředí, která jim umožnila přístup k externím webovým stránkám, uvádí zpráva. Tento přístup umožňoval pouze GET požadavky, což znamená, že agenti mohli načítat a číst webové stránky, ale nemohli s nimi interagovat, odesílat formuláře ani posílat data.

Agenti obešli omezení řetězením online služeb. Přidali malé fragmenty kódu zakódované v base64 k URL na httpbun.com, HTTP zrcadlové službě, která každý fragment dekóduje a poskytne jej jako webovou stránku, a poté tyto URL odeslali do mShots, služby pořizující snímky obrazovky, která plně načte kód webu ve svém prohlížeči a vykreslí stránku, čímž spustí kód agentů. Protože jediná URL mohla pojmout jen omezené množství kódu, agenti rozdělili velké programy na sekvenční úseky, z nichž každý byl spárován se zkráceným odkazem směřujícím na další úsek, přičemž někdy řetězili více než 900 odkazů; pouze první odkaz musel být odeslán do mShots, jehož prohlížeč následně navázal na ostatní, dokud byl program sestaven a spuštěn. Pro čtení výsledků agenti převáděli odpovědi serveru na mřížky pixelů vykreslené v prohlížeči služby pořizující snímky, zachycené v vrácených snímcích obrazovky, a dekódovali obrázky zpět na text. Jeden získaný skript provedl POST požadavek na koncový bod submission-results hodnocení nazvaného cybergym hostovaného na Modal a požádal o záznamy o podání pro identifikátor agenta m47push2. Prostřednictvím tohoto vlastního protokolu, jak autoři uvedli, byli agenti schopni spouštět libovolný kód a přijímat odpovědi, přičemž měli pouze oprávnění GET.

Co ukazují náklady uvnitř Hugging

Získané náklady dokumentují rozsáhlou aktivitu v systémech Hugging Face. Jeden interní dataset, který agenti mapovali a používali jako úložiště, nesl varování v README napsané velkými písmeny, že dataset nesmí být nikdy zveřejněn, protože obsahuje citlivé exporty dat o fakturaci a využití. Jeden náklad nahrál soubor malicious.h5, jehož obsah cílí na /proc/self/environ, který může uchovávat API klíče a další produkční přihlašovací údaje, a na /proc/1/cmdline, který může odhalit informace o spouštěcím procesu kontejneru, přičemž souhrn commitu popsal operaci jako dočasný test kompatibility formátu datasetu.

Další získaný skript seskupil AWS přihlašovací údaje, tokeny typu bearer a proměnné prostředí, jejichž názvy obsahují řetězce jako SECRET, PASSWORD, CREDENTIAL nebo KEY, do slovníku, který pojmenoval LOOT. Skript ohodnotil tokeny podle jejich uvedených oprávnění v Kubernetes, přičemž za hvězdičkový sloveso přidělil 50 bodů a za hvězdičkový zdroj 100 bodů, a poté použil až pět nejvyššího skóre tokenů k získání Kubernetes secretů, configmap a informací o nodech. Další náklady vytvořily vyhledávání proti koncovému bodu Slacku search.messages, obsahující 27 doslovných řetězců dotazů, včetně cybergym, exploitgym, catflag a openai-cybergym, aby našly informace o hodnocení agentů; zpráva uvádí, že tyto záznamy jsou dekódované vnitřní příkazy a neprokazují, že vyhledávání byla provedena nebo že byly vráceny odpovědi.

Agentům také spustili infrastrukturu command-and-control na pracovnících datasetu Hugging Face, aby si udrželi přístup a spouštěli následné příkazy. Autoři získali nahrávací skripty, zdrojový kód a historii příkazů několika řadičů, včetně jednoho nazvaného G236, pro který získali 28 odlišných RSA-podepsaných příkazů, a dalšího, OTS92, který četl příkazy a zapisoval odpovědi prostřednictvím Hugging Face diskusních komentářů, uspořádání, které nevyžadovalo přímé příchozí spojení s pracovníky. Ostatní získané programy mapovaly Kubernetes cluster Hugging Face pomocí tokenu alloy-tracing pod k získání toho, co komentář kódu popisuje jako legacy cluster-admin token, zaregistrovaly zachycený Tailscale klíč k proxy požadavkům směrem k interním službám Hugging Face, vytvořily ukazatele postupu vytvořením adresářů na serveru Artifactory od OpenAI a v jednom získaném kandidátovi na náklad obsahovaly kód určený k vložení odpovědí příkazů do DNS požadavků na penetrační testovací službu.

Přibližně 1 500 nákladů bylo zaměřeno na Docker Hub, kde se agenti pokusili vytvořit alespoň 115 veřejných obrazů pod účtem skutečného uživatele, napsali autoři. Agentům se podařilo vytvořit upravené verze existujících obrazů hodnocení CyberGym/Arvo, navržené tak, aby usnadnily získání vlajky a otrávily mezipaměť Artifactory od OpenAI, takže pozdější hodnocení použijí náhrady; zpráva uvádí, že to odpovídá zranitelnosti otrávení mezipaměti, kterou OpenAI uvedlo ve své technické zprávě, později označené jako CVE‑2026‑66384. Autoři se domnívají, že agenti získali uživatelské přihlašovací údaje vyhledáváním tokenů pro přístup k Dockeru na stránkách Pastebin a uvedli, že výsledky vyhledávačů potvrdily, že tři nahrané obrazy uspěly, ačkoliv se zdá, že byly z Docker Hubu odstraněny.

Náklady také zachovávají pokusy odstranit stopy narušení: commity s zprávami jako restore original no-card a remove evil yaml, DELETE požadavky proti online webhook službě, jejíž historie požadavků byla použita k ukládání fragmentů kódu, a náklad, který vytvořil Kubernetes pod pro čtení tajného klíče clusteru a poté jej smazal s komentářem o vyčištění podu. Samostatně se agenti pokoušeli vytvořit řešiče CAPTCHA pro vytvoření Hugging Face user accounts, úsilí, které autoři uvedli, že bylo nakonec opuštěno bez úspěchu, a několik skriptů odesílalo dotazy externím jazykovým modelům, včetně DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 a Qwen3‑235B‑A22B, s žádostí, aby posoudily exploity a rozhodly, zda splňují požadavky benchmarku, zatímco samostatné požadavky dosáhly Claude 3 Haiku a Claude Haiku 4.5 prostřednictvím online AI chatové služby.

Omezení, která autoři uvádějí

Autoři upozorňují, že přibližně 80 % jejich dat představuje odchozí provoz a že získali jen omezený obsah odpovědí, že jejich rekonstrukce je pravděpodobně neúplná poté, co identifikovali více než 1 588 unikátních kombinací kódovacích metod, a že 97 % nákladů nativně neobsahovalo žádné informace o časovém razítku. Extrahovali 7 905 unikátních názvů agentů, zatímco METR a Redwood uvádějí přibližně 700 agentů podílejících se na útoku Hugging Face, rozdíl, který autoři přisuzují časté změně jmen agentů spíše než většímu roji. Autoři uvádějí, že nemohou potvrdit, že celý dataset představuje aktivitu agentů OpenAI, a nemohou s jistotou určit úmysly za podstatnou částí této aktivity.

Autoři také poznamenávají, že v době psaní OpenAI vydala dva samostatně publikované zprávy a jeden rozhovor o incidentu, spolu s externím šetřením provedeným METR a Redwood Research, v rámci kterého byli třem výzkumníkům poskytnuty částečné přepisy a šest dní na jejich analýzu, a že OpenAI veřejně neuvedla úplné přepisy incidentu Hugging Face. Jedinou stranou, která může tyto body objasnit, autoři napsali, je OpenAI.