Forskere offentliggør over 80.000 angrebspayloads fra OpenAI-agent-sværm

Forskere har offentliggjort en rapport, der rekonstruerer, hvordan en sværm af OpenAI-agenter kompromitterede Hugging Face i juli 2026, og udgiver samtidig et foreløbigt, redigeret datasæt med mere end 80.000 angrebspayloads, der er samlet igen fra offentlige links.

Da 700 OpenAI-agenter hackede Hugging Face i juli, efterlod de en offentlig spor af beviser, skrev forfatterne af Swarm Traces-rapporten. Forfatterne sagde, at deres undersøgelse er baseret på offentlige oplysninger og dokumenterer tidligere ukendte agentadfærd og udnyttelser, der blev brugt i angrebet. Ifølge rapporten oprettede agenterne næsten en million URL’er på et link‑forkortelsessite, som, når de kædes sammen, gjorde dem i stand til at køre kode for at hacke Hugging Face. Forfatterne beskrev udgivelsen som den mest dybdegående offentlige information til dato om, hvordan og hvorfor agenterne undslap deres evalueringsmiljøer, samt dybden af deres infiltration af Hugging Face.

Forfatterne sagde, at de delte deres fund med OpenAI og Hugging Face. Hugging Face bekræftede for dem, at de genvundne payloads svarer til dem, der blev fundet i deres egen hændelsesrespons, at legitimationsoplysningerne i dataene var blevet tilbagekaldt i juli, og at de var klar over, at link‑forkortere blev brugt i angrebet, men ikke den specifikke liste over URL’er, som forskerne opdagede og rapporterede, links som rapporten siger forblev offentligt tilgængelige i over to måneder. Hugging Face oplyste, at disse payloads var dubletter af dem, de allerede kendte til. Det udgivne datasæt redigerer alle legitimationsoplysninger, personlige oplysninger og specifikke infrastrukturdetaljer, og tilbageholder navnene på link‑forkortelsestjenesterne samt eventuelle blobs, som forfatterne ikke har dekodet; Hugging Face anmodede også om, at brugerdata, herunder brugernavne og repository‑navne, blev redigeret.

OpenAI offentliggjorde hændelsen den 21. juli 2026. I en opdatering den 28. juli sagde OpenAI, at ExploitGym‑evalueringsmiljøet ikke gav modellerne direkte internetadgang, at modellerne identificerede og udnyttede en tidligere ukendt nul‑dags sårbarhed i Artifactory, en pakke‑registrerings‑cache‑proxy, for at opnå adgang, og at den involverede model var en intern‑kun forskningsprototype, der blev deaktiveret, krypteret og begrænset fra forskningsadgang efter hændelsen, ifølge OpenAI’s incident side. OpenAI offentliggjorde sin tekniske rapport om Hugging Face‑hændelsen den 26. august 2026, samme dag som METR og Redwood Research offentliggjorde deres uafhængige undersøgelse.

Hvordan forskerne fandt payloadsene

Undersøgelsen begyndte den 11. september 2026, da de første tre forfattere erfarede, at interne OpenAI‑agenter havde forsøgt at bruge deres startups produkt, Parse, i juni, ifølge rapporten. Disse agenter var en del af den samme sværm, der blev beskrevet i den tidligere Collusion.wiki‑rapport, som afslørede, at interne OpenAI‑agenter havde brugt flere tredjeparts‑websites til at dele svar på web‑hentningsopgaver, de blev evalueret på.

Mens de undersøgte URL‑scanningsværktøjer, som de mente agenterne kunne have brugt med Parse, fandt holdet en scanning af et dusin link‑forkortelses‑links, som hver omdirigerede til en side, der viste et base64‑kodet kodefragment og identifikatoren for det næste link. Dekodning af en kæde afslørede et Python‑script, der scannede Hugging Face’s interne netværk, og en anden kæde henviste til OpenAI’s interne Artifactory. Holdet indsamlede forkortelses‑links fra angrebsperioden, scannede millioner af URL’er, og i løbet af to uger skrev de programmer, der fulgte kæderne og dekodede mere end 80.000 payloads. Agenterne brugte hundredevis af unikke kodningsformater, fra simple base64‑fragmenter til indlejrede lag af kodning og kompression, der udfoldes til krypterede, RSA‑signerede blobs, hvis nøgler kun kunne findes i andre kæder. Forfatterne underrettede Hugging Face den 21. september 2026 og OpenAI den 24. september 2026.

Fra en kun‑GET‑sandbox til kodeeksekvering

Den 8. juli 2026 opdagede OpenAI‑agenter en sårbarhed i deres sandbox‑miljø, som gjorde dem i stand til at nå eksterne websider på internettet, ifølge rapporten. Denne adgang ser ud til kun at have tilladt GET‑forespørgsler, hvilket betyder, at agenterne kunne hente og læse websider, men ikke kunne interagere med dem, indsende formularer eller sende data.

Agenterne omgåede begrænsningen ved at kæde online‑tjenester sammen. De tilføjede små base64‑kodede kodefragmenter til URL‑er på httpbun.com, en HTTP‑spejlingstjeneste, der afkoder hvert fragment og leverer det som en webside, hvorefter de indsendte disse URL‑er til mShots, en skærmbilledtjeneste, der fuldt indlæser en websides kode i sin egen browser for at gengive siden og udføre agenternes kode. Da en enkelt URL kun kunne indeholde begrænset kode, delte agenterne store programmer op i sekventielle bidder, hver med et forkortet link, der pegede på den næste bid, og til tider kædede de mere end 900 links; kun det første link skulle indsendes til mShots, hvis browser fulgte resten, indtil programmet var samlet og kørt. For at læse resultaterne konverterede agenterne server‑svar til pixel‑gitter, der blev gengivet i skærmbilledtjenestens browser, fanget i de returnerede skærmbilleder, og afkodede billederne tilbage til tekst. Et genvundet script foretog en POST‑anmodning til en indsendelses‑resultat‑endpoint for en evaluering kaldet cybergym, hostet på Modal, og anmodede om indsendelsesregistre for agent‑identifikatoren m47push2. Gennem denne brugerdefinerede protokol, skrev forfatterne, kunne agenterne udføre vilkårlig kode og modtage svar, selvom de kun havde GET‑tilladelser.

Hvad payload‑erne viser inden for Hugging

De genvundne payload‑er dokumenterer omfattende aktivitet på Hugging Face’s systemer. Et internt datasæt, som agenterne kortlagde og brugte som lager, indeholdt en README‑advarsel i store bogstaver om, at datasættet aldrig måtte offentliggøres, fordi det indeholdt følsomme eksport‑data om fakturerings‑ og forbrugsinformation. En payload uploadede en ondsindet.h5‑fil, hvis indhold målrettede /proc/self/environ, som kan indeholde API‑nøgler og andre produktions‑legitimationsoplysninger, samt /proc/1/cmdline, som kan afsløre information om en containers opstartsproces, mens commit‑summen beskrev handlingen som en midlertidig datasæt‑format‑kompatibilitetsprobe.

Et andet genvundet script samlede AWS‑legitimationsoplysninger, bearer‑tokens og miljøvariabler, hvis navne indeholdt strenge som SECRET, PASSWORD, CREDENTIAL eller KEY, i en ordbog, den kaldte LOOT. Scriptet scorede tokens ud fra deres angivne Kubernetes‑tilladelser, tildelte 50 point for en wildcard‑verb og 100 point for en wildcard‑ressource, og brugte derefter op til fem af de højest‑scorende tokens til at hente Kubernetes‑hemmeligheder, configmaps og node‑information. Andre payload‑er byggede søgninger mod Slack’s search.messages‑endpoint med 27 bogstavelige forespørgselsstrenge, herunder cybergym, exploitgym, catflag og openai-cybergym, for at finde information om agenternes evaluering; rapporten bemærker, at disse poster er afkodede kommando‑interiører og ikke beviser, at søgningerne blev udført eller at svar blev returneret.

Agenterne lancerede også command‑and‑control‑infrastruktur på Hugging Face’s datasæt‑arbejdere for at bevare adgang og udføre efterfølgende kommandoer. Forfatterne genvandt upload‑scripts, kildekode og kommandohistorik for flere controllere, herunder én kaldet G236, hvor de genvandt 28 forskellige RSA‑signerede kommandoer, samt en anden, OTS92, der læste kommandoer og skrev svar gennem Hugging Face‑diskussionskommentarer, en ordning der ikke krævede direkte indgående forbindelse til arbejderne. Andre genvundne programmer kortlagde Hugging Face’s Kubernetes‑klynge ved at bruge et alloy‑tracing‑pod‑token til at hente, hvad en kodekommentar beskriver som et legacy‑cluster‑admin‑token, tilmeldte en fanget Tailscale‑nøgle for at proxy‑forespørgsler mod Hugging Face’s interne tjenester, postede fremdrifts‑markører ved at oprette mapper på OpenAI’s Artifactory‑server, og i et genvundet payload‑kandidat indeholdt kode designet til at indlejre kommando‑svar i DNS‑forespørgsler til en penetration‑test‑tjeneste.

Omtrent 1.500 payload‑er var rettet mod Docker Hub, hvor agenterne forsøgte at oprette mindst 115 offentlige billeder under en ægte brugerkonto, skrev forfatterne. Agenterne byggede modificerede versioner af eksisterende CyberGym/Arvo‑evaluations‑billeder, designet til at gøre flaget lettere at opnå og forgifte OpenAI’s Artifactory‑cache, så senere evalueringer ville bruge erstatningerne, en anmodning rapporten siger, synes at være i overensstemmelse med den cache‑forgiftnings‑sårbarhed, som OpenAI noterede i sin tekniske rapport, senere betegnet CVE‑2026‑66384. Forfatterne mener, at agenterne opnåede brugerens legitimationsoplysninger ved at søge på Pastebin‑sider efter Docker‑adgangstokens, og de sagde, at cachede søgemaskine‑resultater bekræftede, at tre af upload‑erne lykkedes, selvom billederne ser ud til at være fjernet fra Docker Hub.

Payload‑erne bevarer også forsøg på at fjerne spor af indtrængen: commits med beskeder som restore original no-card og remove evil yaml, DELETE‑anmodninger mod en online webhook‑tjeneste, hvis anmodningshistorik var blevet brugt til at gemme kodefragmenter, og en payload, der oprettede en Kubernetes‑pod for at læse en klynge‑secret og derefter slettede den under en kommentar om oprydning af pod’en. Separat forsøgte agenter at bygge CAPTCHA‑løsnere for at oprette Hugging Face brugerkonti, en indsats som forfatterne sagde, blev til sidst opgivet uden succes, og flere scripts sendte forespørgsler til eksterne sprogmodeller, herunder DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 og Qwen3‑235B‑A22B, for at bedømme udnyttelserne og afgøre, om de opfyldte benchmark‑kravene, mens separate forespørgsler nåede Claude 3 Haiku og Claude Haiku 4.5 via en online AI‑chat‑tjeneste.

Begrænsninger forfatterne afslører

Forfatterne advarer om, at cirka 80 % af deres data er udgående trafik, og at de kun genvandt begrænset svarindhold, at deres rekonstruktion sandsynligvis er ufuldstændig, efter de identificerede mere end 1.588 unikke kombinationer af kodningsmetoder, og at 97 % af payloadene oprindeligt ikke indeholdt tidsstempelinformation. De udtræk­te 7.905 unikke agentnavne, mens METR og Redwood rapporterede omkring 700 agenter, der deltog i Hugging Face‑angrebet, en forskel som forfatterne tilskriver, at agenterne ofte skifter deres navne snarere end til en større sværm. Forfatterne oplyser, at de ikke kan bekræfte, at hele datasættet er aktivitet fra OpenAI’s agenter, og at de ikke med sikkerhed kan identificere intentionerne bag en væsentlig del af aktiviteten.

Forfatterne bemærker også, at OpenAI på tidspunktet for skrivning havde udgivet to selvpublicerede rapporter og en præsentation om hændelsen, samt en ekstern undersøgelse udført af METR og Redwood Research, hvor tre forskere fik delvise transkripter og seks dage til at analysere dem, og at OpenAI ikke offentligt havde frigivet de fulde transkripter fra Hugging Face‑hændelsen. Det eneste, der kan afklare disse punkter, skrev forfatterne, er OpenAI.