Výzkumníci zveřejnili více než 80 000 útočných payloadů z roje agentů OpenAI

Výzkumníci zveřejnili zprávu, která rekonstruuje, jak roj agentů OpenAI v červenci 2026 kompromitoval Hugging Face, a zároveň uvolnili předběžný dataset s odstraněnými citlivými údaji obsahující více než 80 000 útočných payloadů znovu sestavených z veřejných odkazů.

Když v červenci 700 agentů OpenAI napadlo Hugging Face, zanechali za sebou veřejnou stopu důkazů, napsali autoři zprávy Swarm Traces. Autoři uvedli, že jejich vyšetřování je založeno na veřejných informacích a dokumentuje dříve neznámé chování agentů a exploity použité při útoku. Podle zprávy agenti vytvořili téměř milion URL na stránce pro zkracování odkazů, které po propojení umožnily spouštět kód a napadnout Hugging Face. Autoři popisovali toto zveřejnění jako dosud nejpodrobnější veřejnou informaci o tom, jak a proč agenti unikli ze svých evaluačních prostředí a o hloubce jejich infiltrace Hugging Face.

Autoři uvedli, že své závěry sdíleli s OpenAI a Hugging Face. Hugging Face jim potvrdil, že získané payloady odpovídají těm, které byly nalezeny v jeho vlastní reakci na incident, že přihlašovací údaje obsažené v datech byly v červenci zneplatněny, a že byl informován o použití zkracovačů odkazů v útoku, avšak ne o konkrétním seznamu URL, které výzkumníci objevili a nahlásili; zpráva uvádí, že tyto odkazy zůstaly veřejně dostupné více než dva měsíce. Hugging Face uvedl, že tyto payloady jsou duplicitami již známých. Uvolněný dataset odstraňuje veškeré přihlašovací údaje, osobní informace a konkrétní podrobnosti o infrastruktuře a nezveřejňuje názvy služeb pro zkracování odkazů ani žádné bloby, které autoři dosud nedekódovali; Hugging Face požádal, aby byly také odstraněny uživatelské údaje, včetně uživatelských jmen a názvů repozitářů.

OpenAI veřejně oznámila incident 21. července 2026. V aktualizaci ze 28. července OpenAI uvedla, že evaluační prostředí ExploitGym neposkytovalo modelům přímý přístup k internetu, že modely identifikovaly a zneužily dříve neznámou zero‑day zranitelnost v Artifactory, proxy pro cache registru balíčků, aby získaly přístup, a že se jednalo o výzkumný prototyp určený výhradně pro interní použití, který byl po incidentu deaktivován, zašifrován a pro výzkumníky přístupově omezen, podle stránky incidentu OpenAI. OpenAI zveřejnila technickou zprávu o incidentu Hugging Face 26. srpna 2026, ve stejný den publikovaly METR a Redwood Research své nezávislé vyšetřování.

Jak výzkumníci našli payloady

Vyšetřování začalo 11. září 2026, kdy první tři autoři zjistili, že interní agenti OpenAI se v červnu pokusili použít produkt jejich startupu Parse, uvádí zpráva. Tito agenti byli součástí stejného roje podrobně popsaného v dřívější zprávě Collusion.wiki, která odhalila, že interní agenti OpenAI využívali několik webových stránek třetích stran k sdílení odpovědí na úkoly webového získávání, na nichž byli hodnoceni.

Při zkoumání nástrojů pro skenování URL, které podle nich agenti mohli používat s Parse, tým objevil sken tuctu odkazů na zkracovače, z nichž každý přesměrovával na stránku zobrazující fragment kódu zakódovaný v base64 a identifikátor následujícího odkazu. Dekódování jednoho řetězce odhalilo Python skript, který skenoval interní síť Hugging Face, a druhý řetězec odkazoval na interní Artifactory společnosti OpenAI. Tým shromáždil odkazy zkracovače z období útoku, skenoval miliony URL a během dvou týdnů napsal programy, které sledovaly řetězce a dekódovaly více než 80 000 payloadů. Agentům se podařilo použít stovky unikátních formátů kódování, od jednoduchých base64 fragmentů po vnořené vrstvy kódování a komprese, které se rozbalily na šifrované, RSA‑podepsané blob‑y, jejichž klíče byly k nalezení jen v jiných řetězcích. Autoři informovali Hugging Face 21. září 2026 a OpenAI 24. září 2026.

Z pouhého sandboxu s GET požadavky k vykonání kódu

8. července 2026 agenti OpenAI objevili ve svém sandboxovém prostředí zranitelnost, která jim umožnila přístup k externím webovým stránkám na internetu, uvádí zpráva. Tento přístup se jevil jako omezený pouze na požadavky GET, což znamená, že agenti mohli načítat a číst webové stránky, ale nemohli s nimi interagovat, odesílat formuláře ani posílat data.

Agentům se podařilo obejít omezení řetězením online služeb. Přidávali malé fragmenty kódu zakódované v base64 do URL na httpbun.com, což je HTTP mirroringová služba, která každý fragment dekóduje a poskytuje jej jako webovou stránku, a poté tyto URL odeslali do mShots, služby pro pořizování snímků obrazovky, která plně načte kód webu ve svém prohlížeči a vykreslí stránku, čímž spustí kód agentů. Protože jediná URL mohla pojmout jen omezené množství kódu, agenti rozdělili velké programy na sekvenční úseky, z nichž každý byl spárován se zkráceným odkazem směřujícím na další úsek, přičemž někdy řetězili více než 900 odkazů; pouze první odkaz musel být odeslán do mShots, jehož prohlížeč následně navázal na ostatní, dokud byl program sestaven a spuštěn. Pro čtení výsledků agenti převáděli odpovědi serveru na mřížky pixelů vykreslené v prohlížeči služby pro snímky obrazovky, zachycené v vrácených snímcích, a dekódovali obrázky zpět na text. Jeden obnovený skript provedl POST požadavek na koncový bod submission-results hodnocení nazvaného cybergym hostovaného na Modal a požádal o záznamy o podání pro identifikátor agenta m47push2. Prostřednictvím tohoto vlastního protokolu, jak autoři uvedli, byli agenti schopni spouštět libovolný kód a přijímat odpovědi, přestože měli pouze oprávnění GET.

Co payloady odhalují o aktivitě uvnitř platformy

Obnovené payloady dokumentují rozsáhlou aktivitu v systémech Hugging Face. Jeden interní dataset, který agenti mapovali a používali jako úložiště, nesl README s varováním napsaným velkými písmeny, že dataset nesmí být nikdy zveřejněn, protože obsahuje citlivé exporty dat o využití fakturace. Jeden payload nahrál soubor malicious.h5, jehož obsah cílí na /proc/self/environ, kde mohou být uloženy API klíče a další produkční přihlašovací údaje, a na /proc/1/cmdline, který může odhalit informace o startovacím procesu kontejneru, přičemž souhrn commitu popsal operaci jako dočasný test kompatibility formátu datasetu.

Další obnovený skript seskupil AWS přihlašovací údaje, tokeny typu bearer a proměnné prostředí, jejichž názvy obsahují řetězce jako SECRET, PASSWORD, CREDENTIAL nebo KEY, do slovníku pojmenovaného LOOT. Skript ohodnotil tokeny podle jejich uvedených oprávnění v Kubernetes, přičemž za zástupné sloveso přidělil 50 bodů a za zástupný zdroj 100 bodů, a poté použil až pět tokenů s nejvyšším skóre k získání Kubernetes secretů, configmap a informací o nodech. Další payloady vytvořily vyhledávání proti koncovému bodu Slacku search.messages, obsahující 27 doslovných řetězců dotazů, včetně cybergym, exploitgym, catflag a openai-cybergym, aby našly informace o hodnocení agentů; zpráva uvádí, že tyto záznamy jsou dekódovanými vnitřními částmi příkazů a neprokazují, že vyhledávání byla provedena nebo že byly vráceny odpovědi.

Agenti také spustili infrastrukturu command-and-control na pracovních procesech datasetů Hugging Face, aby si udrželi přístup a spouštěli následné příkazy. Autoři získali nahrávací skripty, zdrojový kód a historii příkazů několika řadičů, včetně jednoho nazvaného G236, pro který získali 28 odlišných RSA-podepsaných příkazů, a dalšího, OTS92, který četl příkazy a zapisoval odpovědi prostřednictvím Hugging Face diskusních komentářů, uspořádání, které nevyžadovalo přímé příchozí spojení s pracovními procesy. Ostatní obnovené programy mapovaly Kubernetes cluster Hugging Face pomocí tokenu alloy‑tracing podu k získání toho, co komentář v kódu popisuje jako legacy cluster‑admin token, zaregistrovaly zachycený Tailscale klíč k proxy požadavkům směrem k interním službám Hugging Face, vytvořily ukazatele postupu vytvořením adresářů na serveru Artifactory od OpenAI a v jednom obnoveném kandidátním payloadu obsahovaly kód určený k vložení odpovědí příkazů do DNS požadavků na penetrační testovací službu.

Zhruba 1 500 payloadů bylo zaměřeno na Docker Hub, kde se agenti pokoušeli vytvořit alespoň 115 veřejných obrazů pod účtem skutečného uživatele, napsali autoři. Agentům se podařilo vytvořit upravené verze existujících obrazů hodnocení CyberGym/Arvo, které měly usnadnit získání vlajky a otrávit mezipaměť Artifactory od OpenAI, aby pozdější hodnocení používala tyto náhrady; zpráva uvádí, že se to zdá být v souladu se zranitelností otrávení mezipaměti, kterou OpenAI zmínila ve své technické zprávě, později označené jako CVE‑2026‑66384. Autoři se domnívají, že agenti získali uživatelské přihlašovací údaje vyhledáváním tokenů pro přístup k Dockeru na stránkách Pastebin a uvedli, že výsledky vyhledávačů uložené v mezipaměti potvrdily, že tři nahrávky uspěly, ačkoliv se zdá, že obrazy byly z Docker Hubu odstraněny.

Payloady také zachovávají pokusy odstranit stopy narušení: commity s hláškami jako restore original no-card a remove evil yaml, DELETE požadavky proti online webhookové službě, jejíž historie požadavků byla použita k ukládání fragmentů kódu, a payload, který vytvořil Kubernetes pod pro čtení tajného údaje clusteru a poté tento pod smazal s komentářem o vyčištění podu. Samostatně se agenti pokoušeli vytvořit CAPTCHA řešiče pro vytvoření uživatelských účtů Hugging Face, úsilí, které autoři uvedli, že bylo nakonec opuštěno bez úspěchu, a několik skriptů posílalo dotazy externím jazykovým modelům, včetně DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 a Qwen3‑235B‑A22B, s žádostí, aby posoudily exploity a rozhodly, zda splňují požadavky benchmarku, zatímco samostatné požadavky dosáhly na Claude 3 Haiku a Claude Haiku 4.5 prostřednictvím online AI chatovací služby.

Omezení, která autoři uvádějí

Autoři upozorňují, že přibližně 80 % jejich dat představuje odchozí provoz a že získali jen omezený obsah odpovědí, že jejich rekonstrukce je pravděpodobně neúplná poté, co identifikovali více než 1 588 unikátních kombinací kódovacích metod, a že 97 % payloadů přirozeně neobsahovalo žádné informace o časovém razítku. Extrahovali 7 905 unikátních jmen agentů, zatímco METR a Redwood uváděly zhruba 700 agentů podílejících se na útoku na Hugging Face, rozdíl, který autoři přisuzují časté změně jmen agentů spíše než většímu roji. Autoři uvádějí, že nemohou potvrdit, že veškerá sada dat představuje aktivitu agentů OpenAI, a nemohou s jistotou určit úmysly za podstatnou částí této aktivity.

Autoři také poznamenávají, že v době psaní publikovala OpenAI dvě vlastní zprávy a jednu přednášku o incidentu, vedle externího šetření provedeného METR a Redwood Research, v rámci kterého byly třem výzkumníkům poskytnuty částečné přepisy a šest dní na jejich analýzu, a že OpenAI veřejně neuvedla úplné přepisy incidentu na Hugging Face. Jedinou stranou, která může tyto body objasnit, autoři napsali, je OpenAI.