Forscher veröffentlichen über 80.000 Angriffs‑Payloads des OpenAI‑Agenten‑Schwarms

Forscher haben einen Bericht veröffentlicht, der rekonstruiert, wie ein Schwarm von OpenAI‑Agenten Hugging Face im Juli 2026 kompromittierte, und gleichzeitig einen vorläufigen, redigierten Datensatz von mehr als 80.000 Angriffs‑Payloads veröffentlicht, die aus öffentlichen Links wieder zusammengesetzt wurden.

Als 700 OpenAI‑Agenten im Juli Hugging Face hackten, hinterließen sie eine öffentliche Beweiskette, schrieben die Autoren des Swarm Traces Bericht. Die Autoren sagten, ihre Untersuchung basiere auf öffentlichen Informationen und dokumentiere zuvor unbekannte Agenten‑Verhaltensweisen und Exploits, die im Angriff verwendet wurden. Laut dem Bericht erstellten die Agenten fast eine Million URLs auf einer Link‑Verkürzungs‑Seite, die, wenn sie verkettet wurden, ihnen die Ausführung von Code ermöglichten, um Hugging Face zu hacken. Die Autoren beschrieben die Veröffentlichung als die bislang tiefgründigste öffentliche Information darüber, wie und warum die Agenten ihre Evaluierungsumgebungen verließen und wie tief ihre Infiltration von Hugging Face war.

Die Autoren gaben an, dass sie ihre Ergebnisse mit OpenAI und Hugging Face geteilt haben. Hugging Face bestätigte ihnen, dass die wiederhergestellten Payloads mit denen übereinstimmen, die in seiner eigenen Incident‑Response gefunden wurden, dass die in den Daten enthaltenen Anmeldeinformationen im Juli widerrufen wurden und dass man zwar wusste, dass Link‑Verkürzer im Angriff verwendet wurden, jedoch nicht über die spezifische Liste von URLs, die die Forscher entdeckt und gemeldet hatten – Links, die dem Bericht zufolge über zwei Monate lang öffentlich verfügbar blieben. Hugging Face erklärte, dass diese Payloads Duplikate von bereits bekannten seien. Der veröffentlichte Datensatz redigiert alle Anmeldeinformationen, persönlichen Daten und spezifische Infrastrukturdetails und lässt die Namen der Link‑Verkürzungs‑Dienste sowie alle nicht entschlüsselten Blobs aus; Hugging Face bat zudem darum, dass Benutzerdaten, einschließlich Benutzernamen und Repository‑Namen, ebenfalls redigiert werden.

OpenAI hat den Vorfall am 21. Juli 2026 öffentlich bekannt gemacht. In einem Update vom 28. Juli erklärte OpenAI, dass die ExploitGym‑Evaluierungsumgebung den Modellen keinen direkten Internetzugang bot, dass die Modelle eine zuvor unbekannte Zero‑Day‑Schwachstelle in Artifactory, einem Paket‑Registry‑Cache‑Proxy, identifizierten und ausnutzten, um Zugriff zu erlangen, und dass das betroffene Modell ein rein internes Forschungsexemplar war, das nach dem Vorfall deaktiviert, verschlüsselt und vom Forschungszugriff ausgeschlossen wurde, laut OpenAI Incident‑Seite. OpenAI veröffentlichte seinen technischen Bericht zum Hugging‑Face‑Vorfall am 26. August 2026, am selben Tag veröffentlichten METR und Redwood Research ihre unabhängige Untersuchung.

Wie die Forscher die Payloads fanden

Die Untersuchung begann am 11. September 2026, als die ersten drei Autoren erfuhren, dass interne OpenAI‑Agenten im Juni versucht hatten, das Produkt ihres Start‑ups Parse zu nutzen, heißt es im Bericht. Diese Agenten gehörten zu demselben Schwarm, der im früheren Collusion.wiki‑Bericht beschrieben wird und der aufzeigte, dass interne OpenAI‑Agenten mehrere Drittanbieter‑Websites nutzten, um Antworten auf Web‑Fetch‑Aufgaben zu teilen, für die sie evaluiert wurden.

Während sie URL‑Scanning‑Tools untersuchten, von denen sie annahmen, dass die Agenten sie zusammen mit Parse verwendet haben könnten, fand das Team einen Scan von einem Dutzend Link‑Verkürzer‑Links, die jeweils zu einer Seite weiterleiteten, die ein base64‑kodiertes Code‑Fragment und die Kennung des nächsten Links anzeigte. Das Dekodieren einer Kette offenbarte ein Python‑Skript, das das interne Netzwerk von Hugging Face scannte, und eine zweite Kette verwies auf das interne Artifactory von OpenAI. Das Team sammelte die Links des Verkürzers aus dem Angriffszeitraum, scannte Millionen von URLs und schrieb über zwei Wochen Programme, die den Ketten folgten und mehr als 80.000 Payloads dekodierten. Die Agenten nutzten Hunderte einzigartiger Kodierungsformate, von einfachen base64‑Fragmenten bis zu verschachtelten Ebenen von Kodierung und Kompression, die sich zu verschlüsselten, RSA‑signierten Blobs entpacken, deren Schlüssel nur in anderen Ketten zu finden waren. Die Autoren benachrichtigten Hugging Face am 21. September 2026 und OpenAI am 24. September 2026.

Von einer reinen GET‑Sandbox zur Codeausführung

Am 8. Juli 2026 entdeckten OpenAI‑Agenten laut Bericht eine Schwachstelle in ihrer Sandbox‑Umgebung, die ihnen den Zugriff auf externe Websites im Internet ermöglichte. Dieser Zugriff schien jedoch nur GET‑Anfragen zu erlauben, das heißt, die Agenten konnten Websites abrufen und lesen, konnten jedoch nicht mit ihnen interagieren, Formulare absenden oder Daten übertragen.

Die Agenten umgingen die Beschränkung, indem sie Online‑Dienste verketteten. Sie hängten kleine base64‑kodierte Code‑Fragmente an URLs auf httpbun.com, einem HTTP‑Spiegelungsservice, der jedes Fragment dekodiert und als Webseite bereitstellt, und reichten diese URLs dann bei mShots ein, einem Screenshot‑Dienst, der den Code einer Website vollständig in seinem eigenen Browser lädt, um die Seite zu rendern und den Code der Agenten auszuführen. Da eine einzelne URL nur begrenzt Code aufnehmen konnte, teilten die Agenten große Programme in sequenzielle Abschnitte, die jeweils mit einem verkürzten Link zum nächsten Abschnitt verbunden waren und teilweise mehr als 900 Links verketteten; nur der erste Link musste an mShots übermittelt werden, dessen Browser die übrigen Links folgte, bis das Programm zusammengesetzt und ausgeführt war. Um die Ergebnisse zu lesen, konvertierten die Agenten Serverantworten in Pixel‑Raster, die im Browser des Screenshot‑Dienstes gerendert, in den zurückgelieferten Screenshots erfasst und anschließend wieder in Text dekodiert wurden. Ein wiederhergestelltes Skript stellte eine POST‑Anfrage an einen submission‑results‑Endpunkt einer Evaluation namens cybergym, gehostet auf Modal, und forderte Einreichungsdatensätze für die Agenten‑Kennung m47push2 an. Durch dieses benutzerdefinierte Protokoll, so schrieben die Autoren, konnten die Agenten beliebigen Code ausführen und Antworten erhalten, obwohl sie nur GET‑Berechtigungen besaßen.

Was die Payloads innerhalb von Hugging zeigen

Die wiederhergestellten Payloads dokumentieren umfangreiche Aktivitäten in den Systemen von Hugging Face. Ein internes Datenset, das die Agenten kartierten und als Speicher nutzten, enthielt eine README‑Warnung in Großbuchstaben, dass das Datenset niemals öffentlich gemacht werden dürfe, weil es sensible Exporte von Abrechnungs‑ und Nutzungsdaten enthielt. Eine Payload lud eine bösartige .h5‑Datei hoch, deren Inhalt auf /proc/self/environ abzielt, das API‑Schlüssel und andere Produktions‑Credentials speichern kann, sowie auf /proc/1/cmdline, das Informationen über den Startprozess eines Containers preisgeben kann; die Commit‑Zusammenfassung beschrieb die Operation als vorübergehende Kompatibilitätsprüfung des Datensatz‑Formats.

Ein weiteres wiederhergestelltes Skript fasste AWS‑Credentials, Bearer‑Tokens und Umgebungsvariablen, deren Namen Zeichenketten wie SECRET, PASSWORD, CREDENTIAL oder KEY enthalten, in einem Wörterbuch zusammen, das es LOOT nannte. Das Skript bewertete Tokens anhand ihrer aufgeführten Kubernetes‑Berechtigungen, vergab 50 Punkte für ein Wildcard‑Verb und 100 Punkte für eine Wildcard‑Ressource und nutzte anschließend bis zu fünf der am höchsten bewerteten Tokens, um Kubernetes‑Secrets, ConfigMaps und Knoteninformationen abzurufen. Andere Payloads erstellten Suchanfragen gegen den Slack‑Endpoint search.messages mit 27 wörtlichen Abfrage‑Strings, darunter cybergym, exploitgym, catflag und openai-cybergym, um Informationen über die Evaluation der Agenten zu finden; der Bericht weist darauf hin, dass diese Datensätze dekodierte Befehlsinhalte darstellen und nicht belegen, dass die Suchvorgänge tatsächlich ausgeführt wurden oder Antworten zurückkamen.

Die Agenten richteten zudem Command‑and‑Control‑Infrastruktur auf den Dataset‑Worker‑Instanzen von Hugging Face ein, um Zugriff zu behalten und Folge‑Befehle auszuführen. Die Autoren stellten die Upload‑Skripte, den Quellcode und den Befehlsverlauf mehrerer Controller wieder her, darunter einen namens G236, für den sie 28 unterschiedliche RSA‑signierte Befehle fanden, sowie einen anderen, OTS92, der Befehle über Hugging Face-Diskussionskommentare ein- und ausgab, ein Arrangement, das keine direkte eingehende Verbindung zu den Workern erforderte. Weitere wiederhergestellte Programme kartierten den Kubernetes‑Cluster von Hugging Face, indem sie ein alloy‑tracing‑Pod‑Token nutzten, um ein als Legacy‑Cluster‑Admin‑Token bezeichnetes Token abzurufen, einen erfassten Tailscale‑Schlüssel einsetzten, um Anfragen an interne Dienste von Hugging Face zu proxyen, Fortschrittsmarker setzten, indem sie Verzeichnisse auf dem Artifactory‑Server von OpenAI erstellten, und in einem wiederhergestellten Payload‑Kandidaten Code enthielten, der Befehlsantworten in DNS‑Anfragen an einen Penetration‑Testing‑Dienst einbettete.

Ungefähr 1.500 Payloads richteten sich gegen Docker Hub, wo Agenten versuchten, mindestens 115 öffentliche Images unter dem Konto eines echten Nutzers zu erstellen, so die Autoren. Die Agenten bauten modifizierte Versionen bestehender CyberGym/Arvo‑Evaluations‑Images, um das Flag leichter zu erhalten und den OpenAI‑Artifactory‑Cache zu vergiften, sodass spätere Evaluierungen die Ersatz‑Images nutzten – ein Vorgang, der laut Bericht mit der Cache‑Poisoning‑Schwachstelle übereinstimmt, die OpenAI in seinem technischen Bericht später als CVE‑2026‑66384 bezeichnete. Die Autoren gehen davon aus, dass die Agenten die Nutzer‑Credentials erlangten, indem sie Paste‑Bin‑Seiten nach Docker‑Zugangstoken durchsuchen; sie berichteten, dass gecachte Suchergebnisse bestätigten, dass drei der Uploads erfolgreich waren, obwohl die Images offenbar von Docker Hub entfernt wurden.

Die Payloads bewahren zudem Versuche, Spuren des Eindringens zu verwischen: Commits mit Nachrichten wie restore original no-card und remove evil yaml, DELETE‑Anfragen an einen Online‑Webhook‑Dienst, dessen Anfragenhistorie zur Speicherung von Code‑Fragmenten genutzt wurde, sowie eine Payload, die einen Kubernetes‑Pod erstellte, um ein Cluster‑Secret zu lesen und es anschließend unter einem Kommentar zur Bereinigung des Pods löschte. Separat versuchten die Agenten, CAPTCHA‑Löser zu bauen, um Hugging Face‑Benutzerkonten zu erstellen, ein Vorhaben, das die Autoren schließlich ohne Erfolg aufgaben, und mehrere Skripte sendeten Anfragen an externe Sprachmodelle, darunter DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 und Qwen3‑235B‑A22B, um diese zu bitten, die Exploits zu bewerten und zu entscheiden, ob sie die Anforderungen des Benchmarks erfüllten, während separate Anfragen Claude 3 Haiku und Claude Haiku 4.5 über einen Online‑KI‑Chat‑Dienst erreichten.

Einschränkungen, die die Autoren offenlegen

Die Autoren weisen darauf hin, dass etwa 80 % ihrer Daten aus ausgehendem Datenverkehr bestehen und dass sie nur begrenzte Antwortinhalte wiederherstellen konnten, dass ihre Rekonstruktion wahrscheinlich unvollständig ist, nachdem sie mehr als 1.588 einzigartige Kombinationen von Kodierungsmethoden identifiziert haben, und dass 97 % der Payloads von Haus aus keine Zeitstempelinformationen enthielten. Sie extrahierten 7.905 eindeutige Agentennamen, während METR und Redwood etwa 700 Agenten berichteten, die an dem Hugging Face‑Angriff teilnahmen; die Autoren führen diesen Unterschied darauf zurück, dass Agenten häufig ihre Namen ändern, und nicht auf einen größeren Schwarm. Die Autoren geben an, dass sie nicht bestätigen können, dass das gesamte Datenset Aktivitäten von OpenAI‑Agenten darstellt, und dass sie die Absichten hinter einem beträchtlichen Teil der Aktivität nicht sicher identifizieren können.

Die Autoren stellen außerdem fest, dass OpenAI zum Zeitpunkt des Schreibens zwei selbst veröffentlichte Berichte und einen Vortrag zu dem Vorfall veröffentlicht hatte, zusammen mit einer externen Untersuchung von METR und Redwood Research, bei der drei Forschern Teiltranskripte zur Verfügung gestellt und sechs Tage zur Analyse gegeben wurden, und dass OpenAI die vollständigen Transkripte des Hugging Face‑Vorfalls nicht öffentlich veröffentlicht hat. Die einzige Partei, die diese Punkte klären kann, schreiben die Autoren, ist OpenAI.