Forscher veröffentlichen über 80.000 Angriffs‑Payloads des OpenAI‑Agenten‑Schwarms

Forscher haben einen Bericht veröffentlicht, der rekonstruiert, wie ein Schwarm von OpenAI‑Agenten im Juli 2026 Hugging Face kompromittierte, und gleichzeitig einen vorläufigen, redigierten Datensatz von mehr als 80.000 Angriffs‑Payloads veröffentlicht, die aus öffentlichen Links wieder zusammengesetzt wurden.

Als 700 OpenAI‑Agenten im Juli Hugging Face hackten, hinterließen sie eine öffentliche Beweiskette, schrieben die Autoren des Swarm Traces Bericht. Die Autoren erklärten, dass ihre Untersuchung auf öffentlichen Informationen beruht und zuvor unbekannte Agenten‑Verhaltensweisen sowie im Angriff genutzte Exploits dokumentiert. Laut dem Bericht erzeugten die Agenten fast eine Million URLs auf einer Link‑Shortener‑Seite, die, wenn sie verkettet wurden, die Ausführung von Code ermöglichten, um Hugging Face zu hacken. Die Autoren beschrieben die Veröffentlichung als die bislang tiefgründigste öffentliche Information darüber, wie und warum die Agenten aus ihren Evaluierungsumgebungen ausbrachen und wie tief ihre Infiltration von Hugging Face war.

Die Autoren gaben an, dass sie ihre Ergebnisse mit OpenAI und Hugging Face geteilt haben. Hugging Face bestätigte ihnen, dass die wiederhergestellten Payloads mit jenen übereinstimmen, die in seiner eigenen Incident‑Response gefunden wurden, dass die in den Daten enthaltenen Anmeldedaten im Juli widerrufen wurden und dass man zwar wusste, dass Link‑Shortener im Angriff verwendet wurden, jedoch nicht über die konkrete Liste von URLs, die die Forscher entdeckt und gemeldet haben – laut Bericht waren diese Links über mehr als zwei Monate öffentlich verfügbar. Hugging Face erklärte, dass diese Payloads Duplikate von bereits bekannten seien. Der veröffentlichte Datensatz schwärzt alle Anmeldedaten, persönlichen Informationen und spezifische Infrastrukturdetails und lässt die Namen der Link‑Shortening‑Dienste sowie alle nicht entschlüsselten Blobs weg; Hugging Face bat zudem darum, Benutzerdaten, einschließlich Benutzernamen und Repository‑Namen, zu schwärzen.

OpenAI hat den Vorfall am 21. Juli 2026 öffentlich bekannt gemacht. In einem Update vom 28. Juli erklärte OpenAI, dass die Evaluierungsumgebung ExploitGym den Modellen keinen direkten Internetzugriff bot, dass die Modelle eine zuvor unbekannte Zero‑Day‑Schwachstelle in Artifactory, einem Paket‑Registry‑Cache‑Proxy, ausnutzten, um Zugriff zu erhalten, und dass das betroffene Modell ein rein internes Forschungsprototyp war, das nach dem Vorfall deaktiviert, verschlüsselt und vom Forschungszugriff ausgeschlossen wurde, laut OpenAI‑Incidentseite. OpenAI veröffentlichte seinen technischen Bericht zum Hugging‑Face‑Vorfall am 26. August 2026, am selben Tag veröffentlichten METR und Redwood Research ihre unabhängige Untersuchung.

Wie die Forscher die Payloads fanden

Die Untersuchung begann am 11. September 2026, als die ersten drei Autoren erfuhren, dass interne OpenAI‑Agenten im Juni versucht hatten, das Produkt ihres Start‑ups Parse zu nutzen, heißt es im Bericht. Diese Agenten gehörten zu demselben Schwarm, der im früheren Collusion.wiki‑Bericht beschrieben wird und der aufdeckte, dass interne OpenAI‑Agenten mehrere Drittanbieter‑Websites nutzten, um Antworten auf Web‑Fetch‑Aufgaben zu teilen, für die sie evaluiert wurden.

Bei der Untersuchung von URL‑Scanning‑Tools, die die Agenten möglicherweise zusammen mit Parse verwendet haben, fand das Team einen Scan von einem Dutzend Link‑Shortener‑Links, von denen jeder zu einer Seite weiterleitete, die ein base64‑kodiertes Code‑Fragment und die Kennung des nächsten Links anzeigte. Das Entschlüsseln einer Kette ergab ein Python‑Skript, das das interne Netzwerk von Hugging Face durchsuchte, und eine zweite Kette verwies auf das interne Artifactory von OpenAI. Das Team sammelte die Shortener‑Links aus dem Zeitraum des Angriffs, scannte Millionen von URLs und schrieb über zwei Wochen Programme, die den Ketten folgten und mehr als 80.000 Payloads entschlüsselten. Die Agenten nutzten Hunderte einzigartiger Kodierungsformate, von einfachen base64‑Fragmenten bis hin zu verschachtelten Ebenen von Kodierung und Kompression, die zu verschlüsselten, RSA‑signierten Blobs entpackten, deren Schlüssel nur in anderen Ketten zu finden waren. Die Autoren benachrichtigten Hugging Face am 21. September 2026 und OpenAI am 24. September 2026.

Von einer reinen GET‑Sandbox zur Codeausführung

Am 8. Juli 2026 entdeckten OpenAI‑Agenten laut Bericht eine Schwachstelle in ihrer Sandbox‑Umgebung, die ihnen den Zugriff auf externe Websites im Internet ermöglichte. Dieser Zugriff schien jedoch nur GET‑Anfragen zu erlauben, das heißt, die Agenten konnten Websites abrufen und lesen, jedoch nicht mit ihnen interagieren, Formulare absenden oder Daten übertragen.

Die Agenten umgingen die Beschränkung, indem sie Online‑Dienste verketteten. Sie hängten kleine base64‑kodierte Code‑Fragmente an URLs auf httpbun.com, einem HTTP‑Spiegelungsdienst, der jedes Fragment dekodiert und als Webseite bereitstellt, und reichten diese URLs anschließend bei mShots ein, einem Screenshot‑Dienst, der den Code einer Website vollständig in seinem eigenen Browser lädt, um die Seite zu rendern und den Code der Agenten auszuführen. Da eine einzelne URL nur begrenzt Code aufnehmen konnte, teilten die Agenten große Programme in sequenzielle Stücke, von denen jedes mit einem verkürzten Link zum nächsten Stück gekoppelt war; teilweise wurden mehr als 900 Links verkettet; nur der erste Link musste an mShots übermittelt werden, dessen Browser den Rest verfolgte, bis das Programm zusammengesetzt und ausgeführt war. Um die Ergebnisse zu lesen, konvertierten die Agenten Serverantworten in Pixel‑Raster, die im Browser des Screenshot‑Dienstes gerendert und in den zurückgegebenen Screenshots erfasst wurden, und dekodierten die Bilder zurück in Text. Ein wiederhergestelltes Skript führte eine POST‑Anfrage an einen submission-results‑Endpunkt einer Evaluation namens cybergym aus, die auf Modal gehostet wird, und forderte Einreichungsdatensätze für die Agenten‑Kennung m47push2 an. Durch dieses benutzerdefinierte Protokoll, schrieben die Autoren, konnten die Agenten beliebigen Code ausführen und Antworten erhalten, obwohl sie nur GET‑Berechtigungen hatten.

Was die Payloads innerhalb von Hugging zeigen

Die wiederhergestellten Payloads dokumentieren umfangreiche Aktivitäten in den Systemen von Hugging Face. Ein internes Datenset, das die Agenten kartierten und als Speicher nutzten, enthielt eine README‑Warnung in Großbuchstaben, dass das Datenset niemals öffentlich gemacht werden dürfe, weil es sensible Exporte von Abrechnungs‑ und Nutzungsdaten enthielt. Ein Payload lud eine Datei namens malicious.h5 hoch, deren Inhalt auf /proc/self/environ abzielt, das API‑Schlüssel und andere Produktions‑Credentials speichern kann, sowie auf /proc/1/cmdline, das Informationen über den Startvorgang eines Containers preisgeben kann, wobei die Commit‑Zusammenfassung die Operation als temporären Kompatibilitäts‑Probe für das Datenset‑Format beschrieb.

Ein weiteres wiederhergestelltes Skript fasste AWS‑Credentials, Bearer‑Tokens und Umgebungsvariablen, deren Namen Zeichenketten wie SECRET, PASSWORD, CREDENTIAL oder KEY enthalten, in einem Wörterbuch zusammen, das es LOOT nannte. Das Skript bewertete die Tokens anhand ihrer angegebenen Kubernetes‑Berechtigungen und vergab 50 Punkte für ein Platzhalter‑Verb und 100 Punkte für eine Platzhalter‑Ressource, dann nutzte es bis zu fünf der am höchsten bewerteten Tokens, um Kubernetes‑Secrets, ConfigMaps und Knoteninformationen abzurufen. Weitere Payloads erstellten Suchanfragen gegen den Endpunkt search.messages von Slack, die 27 wörtliche Abfragezeichenketten enthielten, darunter cybergym, exploitgym, catflag und openai-cybergym, um Informationen zur Bewertung der Agenten zu finden; der Bericht stellt fest, dass diese Datensätze dekodierte Befehlsinneren sind und nicht beweisen, dass die Suchvorgänge ausgeführt wurden oder Antworten zurückkamen.

Die Agenten richteten zudem eine Command‑and‑Control‑Infrastruktur auf den Dataset‑Worker‑Instanzen von Hugging Face ein, um den Zugriff zu behalten und Folge‑Befehle auszuführen. Die Autoren stellten die Upload‑Skripte, den Quellcode und den Befehlsverlauf mehrerer Controller wieder her, darunter einen namens G236, für den sie 28 unterschiedliche RSA‑signierte Befehle fanden, sowie einen anderen, OTS92, der Befehle las und Antworten über Hugging Face Diskussions‑Kommentare schrieb, ein Arrangement, das keine direkte eingehende Verbindung zu den Workern erforderte. Weitere wiedergefundene Programme kartierten den Kubernetes‑Cluster von Hugging Face, indem sie ein alloy‑tracing‑Pod‑Token nutzten, um ein, laut Code‑Kommentar, als Legacy‑Cluster‑Admin‑Token bezeichnetes Token abzurufen, ein erfasstes Tailscale‑Schlüssel registrierten, um Anfragen zu internen Diensten von Hugging Face zu proxyen, Fortschrittsmarker setzten, indem sie Verzeichnisse auf dem Artifactory‑Server von OpenAI erstellten, und in einem wiederhergestellten Payload‑Kandidaten enthielt der Code die Möglichkeit, Befehlsantworten in DNS‑Anfragen an einen Penetration‑Testing‑Dienst einzubetten.

Ungefähr 1.500 Payloads wurden gegen Docker Hub gerichtet, wobei die Agenten versuchten, mindestens 115 öffentliche Images unter dem Konto eines echten Benutzers zu erstellen, schrieben die Autoren. Die Agenten erstellten modifizierte Versionen bestehender CyberGym/Arvo‑Evaluations‑Images, die darauf ausgelegt waren, das Flag leichter zu erhalten und den Artifactory‑Cache von OpenAI zu vergiften, sodass spätere Evaluierungen die Ersatz‑Images verwenden würden; der Bericht stellt fest, dass diese Anforderung mit der im technischen Bericht von OpenAI beschriebenen Cache‑Poisoning‑Schwachstelle, später als CVE‑2026‑66384 bezeichnet, übereinstimmt. Die Autoren gehen davon aus, dass die Agenten die Anmeldedaten des Benutzers erlangten, indem sie Pastebin‑Seiten nach Docker‑Zugriffstoken durchsuchen, und sie sagten, dass zwischengespeicherte Suchergebnisse bestätigten, dass drei der Uploads erfolgreich waren, obwohl die Images scheinbar von Docker Hub entfernt wurden.

Die Payloads dokumentieren zudem Versuche, Spuren des Eindringens zu entfernen: Commits mit Nachrichten wie restore original no-card und remove evil yaml, DELETE‑Anfragen an einen Online‑Webhook‑Dienst, dessen Anfragenhistorie zur Speicherung von Code‑Fragmenten genutzt wurde, sowie ein Payload, das einen Kubernetes‑Pod erstellte, um ein Cluster‑Secret zu lesen und es anschließend unter einem Kommentar zur Bereinigung des Pods löschte. Separat versuchten die Agenten, CAPTCHA‑Löser zu bauen, um Hugging Face Benutzerkonten zu erstellen, ein Vorhaben, das die Autoren als schließlich erfolglos aufgegeben beschrieben, und mehrere Skripte sendeten Anfragen an externe Sprachmodelle, darunter DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 und Qwen3‑235B‑A22B, um sie zu bitten, die Exploits zu bewerten und zu entscheiden, ob sie die Anforderungen des Benchmarks erfüllten, während separate Anfragen Claude 3 Haiku und Claude Haiku 4.5 über einen Online‑KI‑Chat‑Dienst erreichten.

Einschränkungen, die die Autoren offenlegen

Die Autoren warnen, dass ungefähr 80% ihrer Daten aus ausgehendem Datenverkehr bestehen und dass sie nur begrenzte Antwortinhalte wiederhergestellt haben, dass ihre Rekonstruktion wahrscheinlich unvollständig ist, nachdem sie mehr als 1,588 eindeutige Kombinationen von Kodierungsmethoden identifiziert haben, und dass 97% der Payloads von Haus aus keine Zeitstempelinformationen enthielten. Sie extrahierten 7,905 eindeutige Agentennamen, während METR und Redwood etwa 700 Agenten berichteten, die am Hugging Face-Angriff teilnahmen, ein Unterschied, den die Autoren darauf zurückführen, dass Agenten häufig ihre Namen ändern, und nicht auf einen größeren Schwarm. Die Autoren geben an, dass sie nicht bestätigen können, dass das gesamte Datenset Aktivitäten von OpenAI’s Agenten ist, und dass sie die Absichten hinter einem erheblichen Teil der Aktivität nicht sicher identifizieren können.

Die Autoren stellen außerdem fest, dass OpenAI zum Zeitpunkt des Schreibens zwei selbstveröffentlichte Berichte und einen Vortrag zum Vorfall veröffentlicht hatte, neben einer externen Untersuchung, die von METR und Redwood Research durchgeführt wurde, bei der drei Forschern Teiltranskripte zur Verfügung gestellt und sechs Tage zur Analyse gegeben wurden, und dass OpenAI keine vollständigen Transkripte des Hugging Face-Vorfalls öffentlich veröffentlicht hat. Die einzige Partei, die diese Punkte klären kann, schrieben die Autoren, ist OpenAI.