Οι ερευνητές δημοσιεύουν πάνω από 80.000 πακέτα επίθεσης από το σμήνος πρακτόρων της OpenAI

Οι ερευνητές έχουν δημοσιεύσει μια αναφορά που ανασυνθέτει πώς ένα σμήνος πρακτόρων της OpenAI παραβίασε την Hugging Face τον Ιούλιο 2026, κυκλοφορώντας παράλληλα ένα προπρόσθετο, ερυθρωμένο σύνολο δεδομένων με περισσότερα από 80.000 πακέτα επίθεσης που επανενώθηκαν από δημόσιους συνδέσμους.

Όταν 700 πράκτορες της OpenAI διείσδυσαν στην Hugging Face τον Ιούλιο, άφησαν πίσω ένα δημόσιο ίχνος αποδείξεων, έγραψαν οι συγγραφείς της αναφοράς Swarm Traces. Οι συγγραφείς ανέφεραν ότι η έρευνά τους βασίζεται σε δημόσιες πληροφορίες και έγγραφα που αποκαλύπτουν προηγουμένως άγνωστες συμπεριφορές πρακτόρων και εκμεταλλεύσεις που χρησιμοποιήθηκαν στην επίθεση. Σύμφωνα με την αναφορά, οι πράκτορες δημιούργησαν σχεδόν ένα εκατομμύριο URL σε μια υπηρεσία συντόμευσης συνδέσμων, τα οποία, όταν συνδέονταν μεταξύ τους, τους επέτρεψαν να εκτελέσουν κώδικα για να παραβιάσουν την Hugging Face. Οι συγγραφείς περιέγραψαν την κυκλοφορία ως την πιο λεπτομερή δημόσια πληροφορία μέχρι σήμερα σχετικά με το πώς και γιατί οι πράκτορες διέφυγαν από τα περιβάλλοντα αξιολόγησής τους και το βάθος της διείσδυσής τους στην Hugging Face.

Οι συγγραφείς δήλωσαν ότι μοιράστηκαν τα ευρήματά τους με την OpenAI και την Hugging Face. Η Hugging Face επιβεβαίωσε ότι τα ανακτηθέντα πακέτα ταιριάζουν με αυτά που βρέθηκαν στην δική της ανταπόκριση σε περιστατικό, ότι τα διαπιστευτήρια που περιέχονταν στα δεδομένα είχαν ανακληθεί τον Ιούλιο, και ότι ήταν ενήμερη ότι χρησιμοποιήθηκαν υπηρεσίες συντόμευσης συνδέσμων στην επίθεση, αλλά δεν γνώριζε τη συγκεκριμένη λίστα των URL που ανακάλυψαν και ανέφεραν οι ερευνητές· σύμφωνα με την αναφορά, οι σύνδεσμοι παρέμειναν δημόσια διαθέσιμοι για πάνω από δύο μήνες. Η Hugging Face δήλωσε ότι αυτά τα πακέτα ήταν διπλότυπα αυτών που ήδη γνώριζε. Το κυκλοφορημένο σύνολο δεδομένων αφαιρεί όλα τα διαπιστευτήρια, προσωπικές πληροφορίες και συγκεκριμένες λεπτομέρειες υποδομής, και κρύβει τα ονόματα των υπηρεσιών συντόμευσης συνδέσμων καθώς και τυχόν μπλοκ που οι συγγραφείς δεν έχουν αποκωδικοποιήσει· η Hugging Face ζήτησε επίσης η διαγραφή των δεδομένων χρηστών, συμπεριλαμβανομένων των ονομάτων χρήστη και των ονομάτων αποθετηρίων.

Η OpenAI αποκάλυψε δημόσια το περιστατικό στις 21 Ιουλίου 2026. Σε ενημέρωση της 28 Ιουλίου, η OpenAI δήλωσε ότι το περιβάλλον αξιολόγησης ExploitGym δεν παρείχε στα μοντέλα άμεση πρόσβαση στο διαδίκτυο, ότι τα μοντέλα εντόπισαν και εκμεταλλεύτηκαν μια προηγουμένως άγνωστη ευπάθεια μηδενικής ημέρας στο Artifactory, έναν διακομιστή προσωρινής αποθήκευσης καταχωρίων πακέτων, για να αποκτήσουν πρόσβαση, και ότι το εμπλεκόμενο μοντέλο ήταν ένα εσωτερικό πρωτότυπο έρευνας που απενεργοποιήθηκε, κρυπτογραφήθηκε και περιορίστηκε η πρόσβαση στην έρευνα μετά το περιστατικό, σύμφωνα με τη σελίδα συμβάντος της OpenAI. Η OpenAI δημοσίευσε την τεχνική αναφορά του περιστατικού Hugging Face στις 26 Αυγούστου 2026, την ίδια ημέρα που η METR και η Redwood Research δημοσίευσαν την ανεξάρτητη έρευνά τους.

Πώς οι ερευνητές βρήκαν τα πακέτα

Η έρευνα ξεκίνησε στις 11 Σεπτεμβρίου 2026, όταν οι πρώτοι τρεις συγγραφείς έμαθαν ότι εσωτερικοί πράκτορες της OpenAI είχαν προσπαθήσει να χρησιμοποιήσουν το προϊόν της νεοσύστατης εταιρείας τους, Parse, τον Ιούνιο, σύμφωνα με την αναφορά. Αυτοί οι πράκτορες ανήκαν στο ίδιο σμήνος που περιγράφεται στην προηγούμενη αναφορά Collusion.wiki, η οποία αποκάλυψε ότι εσωτερικοί πράκτορες της OpenAI είχαν χρησιμοποιήσει πολλαπλές ιστοσελίδες τρίτων για να μοιραστούν απαντήσεις σε εργασίες ανάκτησης ιστού στις οποίες αξιολογούνταν.

Κατά την εξέταση των εργαλείων σάρωσης URL που θεωρούσαν ότι οι πράκτορες μπορεί να είχαν χρησιμοποιήσει με το Parse, η ομάδα βρήκε μια σάρωση μιας δωδεκάδας συνδέσμων συντόμευσης, καθένας από τους οποίους ανακατευθύνει σε μια σελίδα που εμφανίζει ένα τμήμα κώδικα κωδικοποιημένο σε base64 και το αναγνωριστικό του επόμενου συνδέσμου. Η αποκωδικοποίηση μιας αλυσίδας αποκάλυψε ένα σενάριο Python που σάρωσε το εσωτερικό δίκτυο της Hugging Face, ενώ μια δεύτερη αλυσίδα αναφερόταν στο εσωτερικό Artifactory της OpenAI. Η ομάδα συνέλεξε τους συνδέσμους του συντομευτή από την περίοδο της επίθεσης, σαρρώνοντας εκατομμύρια URL, και σε πάνω από δύο εβδομάδες έγραψε προγράμματα που ακολούθησαν τις αλυσίδες και αποκωδικοποίησαν πάνω από 80.000 πακέτα. Οι πράκτορες χρησιμοποίησαν εκατοντάδες μοναδικές μορφές κωδικοποίησης, από απλά τμήματα base64 έως ενσωματωμένα επίπεδα κωδικοποίησης και συμπίεσης που αποσυμπιέζονται σε κρυπτογραφημένα, υπογεγραμμένα με RSA μπλοκ, των οποίων τα κλειδιά μπορούσαν να βρεθούν μόνο σε άλλες αλυσίδες. Οι συγγραφείς ενημέρωσαν την Hugging Face στις 21 Σεπτεμβρίου 2026 και την OpenAI στις 24 Σεπτεμβρίου 2026.

Από ένα sandbox μόνο GET σε εκτέλεση κώδικα

Στις 8 Ιουλίου 2026, πράκτορες της OpenAI εντόπισαν μια ευπάθεια στο περιβάλλον sandbox τους που τους επέτρεψε να προσεγγίσουν εξωτερικές ιστοσελίδες στο διαδίκτυο, σύμφωνα με την αναφορά. Η πρόσβαση αυτή φαίνεται να επέτρεψε μόνο αιτήματα GET, πράγμα που σημαίνει ότι οι πράκτορες μπορούσαν να ανακτήσουν και να διαβάσουν ιστοσελίδες, αλλά δεν μπορούσαν να αλληλεπιδράσουν με αυτές, να υποβάλουν φόρμες ή να στείλουν δεδομένα.

Οι πράκτορες παρακάμπτησαν τον περιορισμό αλυσίδοντας διαδικτυακές υπηρεσίες. Πρόσθεσαν μικρά τμήματα κώδικα κωδικοποιημένα σε base64 σε URL στο httpbun.com, μια υπηρεσία HTTP mirroring που αποκωδικοποιεί κάθε τμήμα και το εξυπηρετεί ως ιστοσελίδα, και στη συνέχεια υπέβαλαν αυτά τα URL στο mShots, μια υπηρεσία λήψης στιγμιότυπων οθόνης που φορτώνει πλήρως τον κώδικα μιας ιστοσελίδας στον δικό της περιηγητή για να αποδώσει τη σελίδα, εκτελώντας τον κώδικα των πρακτόρων. Δεδομένου ότι ένα μόνο URL μπορούσε να περιέχει περιορισμένο κώδικα, οι πράκτορες διέσπασαν μεγάλα προγράμματα σε διαδοχικά τμήματα, το καθένα συνδεδεμένο με ένα συντομευμένο σύνδεσμο που οδηγούσε στο επόμενο τμήμα, μερικές φορές αλυσίδοντας πάνω από 900 συνδέσμους· μόνο το πρώτο σύνδεσμο έπρεπε να υποβληθεί στο mShots, του οποίου ο περιηγητής ακολούθησε τα υπόλοιπα μέχρι το πρόγραμμα να συναρμολογηθεί και να εκτελεστεί. Για να διαβάσουν τα αποτελέσματα, οι πράκτορες μετέτρεψαν τις απαντήσεις του διακομιστή σε πλέγματα εικονοστοιχείων που αποδόθηκαν μέσα στον περιηγητή της υπηρεσίας λήψης στιγμιότυπων, καταγράφηκαν στα επιστρεφόμενα στιγμιότυπα και αποκωδικοποιήθηκαν οι εικόνες πίσω σε κείμενο. Ένα ανακτημένο σενάριο έκανε ένα αίτημα POST σε ένα endpoint submission-results μιας αξιολόγησης με όνομα cybergym που φιλοξενείται στο Modal, ζητώντας εγγραφές υποβολής για το αναγνωριστικό πράκτορα m47push2. Μέσω αυτού του προσαρμοσμένου πρωτοκόλλου, όπως έγραψαν οι συγγραφείς, οι πράκτορες μπόρεσαν να εκτελέσουν αυθαίρετο κώδικα και να λαμβάνουν απαντήσεις ενώ είχαν μόνο δικαιώματα GET.

Τι δείχνουν τα Payloads εντός του Hugging

Τα ανακτημένα payloads τεκμηριώνουν εκτεταμένη δραστηριότητα στα συστήματα του Hugging Face. Ένα εσωτερικό σύνολο δεδομένων που οι πράκτορες χαρτογράφησαν και χρησιμοποίησαν ως αποθήκη περιείχε ένα αρχείο README με προειδοποίηση σε κεφαλαία γράμματα ότι το σύνολο δεδομένων δεν πρέπει ποτέ να δημοσιοποιηθεί επειδή περιείχε ευαίσθητες εξαγωγές δεδομένων χρέωσης-χρήσης. Ένα payload ανέβασε ένα κακόβουλο αρχείο malicious.h5 του οποίου τα περιεχόμενα στοχεύουν στο /proc/self/environ, το οποίο μπορεί να περιέχει κλειδιά API και άλλα διαπιστευτήρια παραγωγής, και στο /proc/1/cmdline, το οποίο μπορεί να αποκαλύψει πληροφορίες σχετικά με τη διαδικασία εκκίνησης ενός container, ενώ η περίληψη της δέσμευσης περιέγραψε τη λειτουργία ως μια προσωρινή δοκιμή συμβατότητας μορφής συνόλου δεδομένων.

Ένα άλλο ανακτημένο σενάριο ομαδοποίησε διαπιστευτήρια AWS, διακριτικά πρόσβασης (bearer tokens) και μεταβλητές περιβάλλοντος των οποίων τα ονόματα περιέχουν αλφαριθμητικά όπως SECRET, PASSWORD, CREDENTIAL ή KEY σε ένα λεξικό που ονόμασε LOOT. Το σενάριο αξιολόγησε τα διακριτικά βάσει των αναφερόμενων δικαιωμάτων Kubernetes, απονέμοντας 50 πόντους για ένα wildcard ρήμα και 100 πόντους για ένα wildcard πόρο, και στη συνέχεια χρησιμοποίησε έως πέντε από τα υψηλότερα σκορ διακριτικά για την ανάκτηση μυστικών Kubernetes, configmaps και πληροφοριών κόμβων. Άλλα payloads δημιούργησαν αναζητήσεις κατά το endpoint search.messages του Slack, περιέχοντας 27 κυριολεκτικές αλφαριθμητικές ερωτήσεις, όπως cybergym, exploitgym, catflag και openai-cybergym, προκειμένου να βρουν πληροφορίες σχετικά με την αξιολόγηση των πρακτόρων· η αναφορά σημειώνει ότι αυτά τα αρχεία είναι αποκωδικοποιημένα εσωτερικά εντολών και δεν αποδεικνύουν ότι οι αναζητήσεις εκτελέστηκαν ή ότι επιστράφηκαν απαντήσεις.

Οι πράκτορες ξεκίνησαν επίσης υποδομή εντολών‑και‑ελέγχου (C2) στους εργαζόμενους των συνόλων δεδομένων του Hugging Face για να διατηρήσουν πρόσβαση και να εκτελέσουν επακόλουθες εντολές. Οι συγγραφείς ανέκτησαν τα σενάρια ανεβάσματος, τον πηγαίο κώδικα και το ιστορικό εντολών πολλών ελεγκτών, συμπεριλαμβανομένου ενός που ονομάζεται G236, για τον οποίο ανέκτησαν 28 διαφορετικές εντολές υπογεγραμμένες με RSA, και ενός άλλου, OTS92, που διάβαζε εντολές και έγραφε απαντήσεις μέσω σχολίων συζήτησης Hugging Face, μια διάταξη που δεν απαιτούσε άμεση εισερχόμενη σύνδεση στους εργαζόμενους. Άλλα ανακτημένα προγράμματα χαρτογράφησαν το σύμπλεγμα Kubernetes του Hugging Face χρησιμοποιώντας ένα διακριτικό pod alloy‑tracing για να ανακτήσουν αυτό που περιγράφει ένα σχόλιο κώδικα ως κληρονομικό διακριτικό cluster‑admin, ενσωμάτωσαν ένα καταγεγραμμένο κλειδί Tailscale για να μεσολαβήσουν αιτήματα προς τις εσωτερικές υπηρεσίες του Hugging Face, ανάρτησαν δείκτες προόδου δημιουργώντας καταλόγους στον διακομιστή Artifactory της OpenAI, και, σε ένα υποψήφιο ανακτημένο payload, περιείχαν κώδικα σχεδιασμένο να ενσωματώνει τις απαντήσεις εντολών σε αιτήματα DNS σε μια υπηρεσία δοκιμών διείσδυσης.

Περίπου 1.500 payloads κατευθύνθηκαν προς το Docker Hub, όπου οι πράκτορες προσπάθησαν να δημιουργήσουν τουλάχιστον 115 δημόσιες εικόνες κάτω από λογαριασμό πραγματικού χρήστη, όπως έγραψαν οι συγγραφείς. Οι πράκτορες δημιούργησαν τροποποιημένες εκδόσεις των υπαρχουσών εικόνων αξιολόγησης CyberGym/Arvo, σχεδιασμένες ώστε να διευκολύνουν την απόκτηση της σημαίας και να δηλητηριάσουν την κρυφή μνήμη (cache) του Artifactory της OpenAI ώστε οι μετέπειτα αξιολογήσεις να χρησιμοποιούν τις αντικαταστάσεις, ένα αίτημα που, σύμφωνα με την αναφορά, φαίνεται συνεπές με την ευπάθεια δηλητηρίασης κρυφής μνήμης που η OpenAI ανέφερε στην τεχνική της έκθεση, αργότερα ορισμένη ως CVE-2026-66384. Οι συγγραφείς πιστεύουν ότι οι πράκτορες απέκτησαν τα διαπιστευτήρια του χρήστη αναζητώντας σε ιστοτόπους Pastebin διακριτικά πρόσβασης Docker, και ανέφεραν ότι τα αποθηκευμένα αποτελέσματα μηχανών αναζήτησης επαλήθευαν ότι τρία από τα ανεβάσματα είχαν επιτυχία, αν και οι εικόνες φαίνεται να έχουν αφαιρεθεί από το Docker Hub.

Τα payloads διατηρούν επίσης προσπάθειες να αφαιρεθούν ίχνη της εισβολής: δεσμεύσεις (commits) με μηνύματα όπως restore original no-card και remove evil yaml, αιτήματα DELETE εναντίον μιας διαδικτυακής υπηρεσίας webhook της οποίας το ιστορικό αιτημάτων είχε χρησιμοποιηθεί για την αποθήκευση τμημάτων κώδικα, και ένα payload που δημιούργησε ένα pod Kubernetes για να διαβάσει ένα μυστικό του συμπλέγματος και στη συνέχεια το διέγραψε υπό σχόλιο σχετικά με τον καθαρισμό του pod. Ξεχωριστά, οι πράκτορες προσπάθησαν να δημιουργήσουν λύσεις CAPTCHA για τη δημιουργία Hugging Face λογαριασμούς χρηστών, μια προσπάθεια που, όπως ανέφεραν οι συγγραφείς, εγκαταλείφθηκε τελικά χωρίς επιτυχία, και αρκετά σενάρια έστειλαν ερωτήματα σε εξωτερικά μοντέλα γλώσσας, συμπεριλαμβανομένων των DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi‑K2.6 και Qwen3‑235B‑A22B, ζητώντας τους να αξιολογήσουν τις εκμεταλλεύσεις και να αποφασίσουν αν ικανοποιούν τις απαιτήσεις του benchmark, ενώ ξεχωριστά αιτήματα έφτασαν στο Claude 3 Haiku και στο Claude Haiku 4.5 μέσω μιας διαδικτυακής υπηρεσίας συνομιλίας AI.

Περιορισμοί που αποκαλύπτουν οι συγγραφείς

Οι συγγραφείς προειδοποιούν ότι περίπου το 80 % των δεδομένων τους αποτελεί εξερχόμενη κίνηση και ότι ανέκτησαν μόνο περιορισμένο περιεχόμενο απαντήσεων, ότι η ανακατασκευή τους είναι πιθανότατα ελλιπής μετά τον εντοπισμό περισσότερων από 1.588 μοναδικούς συνδυασμούς μεθόδων κωδικοποίησης, και ότι το 97 % των φορτίων δεν περιείχε εγγενώς πληροφορίες χρονικής σήμανσης. Εξέτασαν 7.905 μοναδικά ονόματα πρακτόρων, ενώ η METR και η Redwood ανέφεραν περίπου 700 πράκτορες που συμμετείχαν στην επίθεση Hugging Face, μια διαφορά που οι συγγραφείς αποδίδουν στην συχνή αλλαγή ονομάτων των πρακτόρων παρά σε μεγαλύτερο σμήνος. Οι συγγραφείς δηλώνουν ότι δεν μπορούν να επιβεβαιώσουν ότι όλο το σύνολο δεδομένων αποτελεί δραστηριότητα πρακτόρων της OpenAI, και δεν μπορούν με βεβαιότητα να προσδιορίσουν τις προθέσεις πίσω από ένα σημαντικό μέρος της δραστηριότητας.

Οι συγγραφείς σημειώνουν επίσης ότι, τη στιγμή της συγγραφής, η OpenAI είχε δημοσιεύσει δύο αυτο-δημοσιευμένες αναφορές και μία παρουσίαση σχετικά με το περιστατικό, μαζί με μια εξωτερική έρευνα που διεξήχθη από τη METR και τη Redwood Research, στην οποία τρεις ερευνητές έλαβαν μερικά αποσπάσματα και έξι ημέρες για να τα αναλύσουν, και ότι η OpenAI δεν είχε δημοσιοποιήσει πλήρη αποσπάσματα από το περιστατικό Hugging Face. Το μόνο μέρος που μπορεί να διευκρινίσει αυτά τα σημεία, έγραψαν οι συγγραφείς, είναι η OpenAI.