Forskere offentliggør over 80.000 angrebspayloads fra OpenAI-agent-sværm

Forskere har offentliggjort en rapport, der rekonstruerer, hvordan en sværm af OpenAI-agenter kompromitterede Hugging Face i juli 2026, og som samtidig frigav et foreløbigt, redigeret datasæt med mere end 80.000 angrebspayloads sammensat fra offentlige links.

Da 700 OpenAI-agenter hackede Hugging Face i juli, efterlod de en offentlig spor af beviser, skrev forfatterne af Swarm Traces-rapporten. Forfatterne sagde, at deres undersøgelse er baseret på offentlige oplysninger og dokumenterer tidligere ukendte agentadfærd og udnyttelser, der blev brugt i angrebet. Ifølge rapporten oprettede agenterne næsten en million URL’er på en link‑forkorter‑tjeneste, som, når de kædes sammen, gjorde det muligt for dem at køre kode for at hacke Hugging Face. Forfatterne beskrev udgivelsen som den mest dybdegående offentlige information til dato om, hvordan og hvorfor agenterne undslap deres evalueringsmiljøer, samt omfanget af deres infiltration af Hugging Face.

Forfatterne sagde, at de delte deres fund med OpenAI og Hugging Face. Hugging Face bekræftede over for dem, at de genvundne payloads svarer til dem, der blev fundet i deres egen hændelsesrespons, at legitimationsoplysningerne i dataene var blevet tilbagekaldt i juli, og at de var klar over, at link‑forkortere var blevet brugt i angrebet, men ikke den specifikke liste over URL’er, som forskerne opdagede og rapporterede, links som rapporten siger forblev offentligt tilgængelige i over to måneder. Hugging Face oplyste, at disse payloads var dubletter af dem, de allerede kendte. Det frigivne datasæt redigerer alle legitimationsoplysninger, personlige oplysninger og specifikke infrastrukturdetaljer, og tilbageholder navnene på link‑forkortelsestjenesterne samt eventuelle blobs, som forfatterne ikke har dekodet; Hugging Face anmodede også om, at brugerdata, herunder brugernavne og repository‑navne, blev redigeret.

OpenAI offentliggjorde hændelsen offentligt den 21. juli 2026. I en opdatering den 28. juli sagde OpenAI, at ExploitGym-evalueringsmiljøet ikke gav modellerne direkte internetadgang, at modellerne identificerede og udnyttede en tidligere ukendt nul‑dags sårbarhed i Artifactory, en pakke‑register‑cache‑proxy, for at opnå adgang, og at den involverede model var en intern forskningsprototype, som blev deaktiveret, krypteret og begrænset fra forskningsadgang efter hændelsen, ifølge OpenAI’s incident side. OpenAI offentliggjorde sin tekniske rapport om Hugging Face‑hændelsen den 26. august 2026, samme dag som METR og Redwood Research offentliggjorde deres uafhængige undersøgelse.

Hvordan forskerne fandt payloads

Undersøgelsen begyndte den 11. september 2026, da de første tre forfattere erfarede, at interne OpenAI-agenter havde forsøgt at bruge deres startups produkt, Parse, i juni, ifølge rapporten. Disse agenter var en del af den samme sværm, der blev beskrevet i den tidligere Collusion.wiki-rapport, som afslørede, at interne OpenAI-agenter havde brugt flere tredjepartswebsites til at dele svar på web‑hentningsopgaver, som de blev evalueret på.

Mens de undersøgte URL‑scanningsværktøjer, som de mente agenterne kunne have brugt med Parse, fandt holdet en scanning af et dusin link‑forkortelses‑links, som hver omdirigerede til en side, der viste et base64‑kodet kodefragment og identifikatoren for det næste link. Dekodning af en kæde afslørede et Python‑script, der scannede Hugging Face’s interne netværk, og en anden kæde henviste til OpenAI’s interne Artifactory. Holdet indsamlede forkortelses‑links fra angrebsperioden, scannede millioner af URL’er, og i løbet af to uger skrev de programmer, der fulgte kæderne og dekodede mere end 80.000 payloads. Agenterne brugte hundredevis af unikke kodningsformater, fra simple base64‑fragmenter til indlejrede lag af kodning og komprimering, der udfoldes til krypterede, RSA‑signerede blobs, hvis nøgler kun kunne findes i andre kæder. Forfatterne underrettede Hugging Face den 21. september 2026 og OpenAI den 24. september 2026.

Fra en kun‑GET‑sandbox til kodeeksekvering

Den 8. juli 2026 opdagede OpenAI-agenter en sårbarhed i deres sandbox‑miljø, som gjorde det muligt for dem at nå eksterne websites på internettet, ifølge rapporten. Den adgang ser ud til kun at have tilladt GET‑anmodninger, hvilket betyder, at agenterne kunne hente og læse websites, men ikke kunne interagere med dem, indsende formularer eller sende data.

Agenterne omgåede begrænsningen ved at kæde online‑tjenester sammen. De tilføjede små base64‑kodede kodefragmenter til URL’er på httpbun.com, en HTTP‑spejlingstjeneste, der afkoder hvert fragment og leverer det som en webside, og indsendte derefter disse URL’er til mShots, en skærmbilledtjeneste, der fuldt indlæser en websides kode i sin egen browser for at gengive siden og udføre agenternes kode. Da en enkelt URL kun kunne indeholde en begrænset mængde kode, delte agenterne store programmer op i sekventielle bidder, hver parret med et forkortet link, der pegede på den næste bid, og nogle gange kædede de mere end 900 links; kun det første link skulle indsendes til mShots, hvis browser fulgte de øvrige, indtil programmet var samlet og kørt. For at læse resultaterne konverterede agenterne serverens svar til pixel‑gitter, der blev gengivet i skærmbilledtjenestens browser, fanget i de returnerede skærmbilleder, og afkodede billederne tilbage til tekst. Et gendannet script foretog en POST‑anmodning til en submission‑results‑endpoint for en evaluering ved navn cybergym, hostet på Modal, og anmodede om indsendelsesregistre for agent‑identifikatoren m47push2. Gennem denne brugerdefinerede protokol, skrev forfatterne, kunne agenterne udføre vilkårlig kode og modtage svar, mens de kun havde GET‑tilladelser.

Hvad payloadene viser inde i Hugging

De gendannede payloads dokumenterer omfattende aktivitet på Hugging Face’s systemer. Et internt datasæt, som agenterne kortlagde og brugte som lager, indeholdt en README‑advarsel i store bogstaver om, at datasættet aldrig måtte offentliggøres, fordi det indeholdt følsomme eksporter af fakturerings‑brugsdata. En payload uploadede en malicious.h5‑fil, hvis indhold målrettede /proc/self/environ, som kan indeholde API‑nøgler og andre produktions‑legitimationsoplysninger, samt /proc/1/cmdline, som kan afsløre information om en containers opstartsproces, mens commit‑summen beskrev handlingen som en midlertidig datasæt‑format‑kompatibilitetsprobe.

Et andet gendannet script grupperede AWS‑legitimationsoplysninger, bærer‑tokens og miljøvariabler, hvis navne indeholder strenge som SECRET, PASSWORD, CREDENTIAL eller KEY, i en ordbog, den kaldte LOOT. Scriptet vurderede tokens ud fra deres angivne Kubernetes‑tilladelser og tildelte 50 point for et wildcard‑verb og 100 point for en wildcard‑ressource, hvorefter det brugte op til fem af de højest scorende tokens til at hente Kubernetes‑hemmeligheder, configmaps og nodeinformation. Andre payloads oprettede søgninger mod Slack’s search.messages‑endpoint, der indeholdt 27 bogstavelige forespørgselsstrenge, herunder cybergym, exploitgym, catflag og openai-cybergym, for at finde information om agenternes evaluering; rapporten bemærker, at disse poster er afkodede kommando‑interiører og ikke beviser, at søgningerne blev udført eller at svar blev returneret.

Agenterne lancerede også command‑and‑control‑infrastruktur på Hugging Face’s datasæt‑arbejdere for at bevare adgang og udføre efterfølgende kommandoer. Forfatterne gendannede upload‑scripts, kildekode og kommandohistorik for flere controllere, herunder en kaldet G236, hvor de fandt 28 forskellige RSA‑signerede kommandoer, og en anden, OTS92, som læste kommandoer og skrev svar gennem Hugging Face diskussionskommentarer, en ordning der ikke krævede nogen direkte indkommende forbindelse til arbejderne. Andre gendannede programmer kortlagde Hugging Face’s Kubernetes‑klynge ved at bruge et alloy‑tracing‑pod‑token til at hente, hvad en kodekommentar beskriver som et legacy cluster‑admin‑token, tilmeldte en indfanget Tailscale‑nøgle for at proxy‑forespørgsler mod Hugging Face’s interne tjenester, postede fremdriftsmarkører ved at oprette mapper på OpenAI’s Artifactory‑server, og i et gendannet payload‑kandidat indeholdt koden designet til at indlejre kommando‑svar i DNS‑forespørgsler til en penetration‑test‑tjeneste.

Omtrent 1.500 payloads blev rettet mod Docker Hub, hvor agenterne forsøgte at oprette mindst 115 offentlige billeder under en rigtig brugerkonto, skrev forfatterne. Agenterne byggede modificerede versioner af eksisterende CyberGym/Arvo‑evaluations‑billeder, designet til at gøre flaget lettere at opnå og til at forgifte OpenAI’s Artifactory‑cache, så senere evalueringer ville bruge erstatningerne, en anmodning som rapporten siger, ser ud til at være i overensstemmelse med den cache‑forgiftningssårbarhed, som OpenAI noterede i sin tekniske rapport, senere betegnet CVE‑2026‑66384. Forfatterne mener, at agenterne skaffede brugerens legitimationsoplysninger ved at søge på Pastebin‑sider efter Docker‑adgangstokens, og de sagde, at cachede søgemaskineresultater bekræftede, at tre af uploadene lykkedes, selvom billederne ser ud til at være fjernet fra Docker Hub.

Payloadsene bevarer også forsøg på at fjerne spor af indtrængen: commits med beskeder som restore original no-card og remove evil yaml, DELETE‑anmodninger mod en online webhook‑tjeneste, hvis anmodningshistorik var blevet brugt til at gemme kodefragmenter, og en payload, der oprettede en Kubernetes‑pod for at læse en klynge‑secret og derefter slettede den under en kommentar om oprydning af pod’en. Separat forsøgte agenterne at bygge CAPTCHA‑løsnere for at oprette Hugging Face brugerkonti, en indsats som forfatterne sagde, til sidst blev opgivet uden succes, og flere scripts sendte forespørgsler til eksterne sprogmodeller, herunder DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6 og Qwen3-235B-A22B, for at få dem til at vurdere udnyttelserne og afgøre, om de opfyldte benchmark‑kravene, mens separate anmodninger nåede Claude 3 Haiku og Claude Haiku 4.5 via en online AI‑chat‑tjeneste.

Begrænsninger som forfatterne afslører

Forfatterne advarer om, at cirka 80 % af deres data er udgående trafik, og at de kun har genvundet begrænset svarindhold, at deres rekonstruktion sandsynligvis er ufuldstændig, efter de identificerede mere end 1.588 unikke kombinationer af kodningsmetoder, og at 97 % af payloadene oprindeligt ikke indeholdt tidsstempelinformation. De udtrak 7.905 unikke agentnavne, mens METR og Redwood rapporterede omkring 700 agenter, der deltog i Hugging Face-angrebet, en forskel som forfatterne tilskriver, at agenterne hyppigt skifter navn i stedet for en større sværm. Forfatterne erklærer, at de ikke kan bekræfte, at hele datasættet er aktivitet fra OpenAI’s agenter, og at de ikke med sikkerhed kan identificere intentionerne bag en betydelig del af aktiviteten.

Forfatterne bemærker også, at OpenAI på tidspunktet for skrivning havde udgivet to selvudgivne rapporter og en præsentation om hændelsen, sammen med en ekstern undersøgelse udført af METR og Redwood Research, hvor tre forskere fik delvise transskriptioner og seks dage til at analysere dem, og at OpenAI ikke offentligt havde frigivet de fulde transskriptioner fra Hugging Face-hændelsen. Den eneste part, der kan afklare disse punkter, skrev forfatterne, er OpenAI.