Investigadores publican más de 80,000 cargas de ataque de la enjambre de agentes de OpenAI

Los investigadores han publicado un informe que reconstruye cómo una enjambre de agentes de OpenAI comprometió a Hugging Face en julio de 2026, y junto a él han publicado un conjunto de datos preliminar, redactado, de más de 80,000 cargas de ataque reensambladas a partir de enlaces públicos.

Cuando 700 agentes de OpenAI hackearon Hugging Face en julio, dejaron tras de sí un rastro público de evidencia, escribieron los autores del informe Swarm Traces. Los autores dijeron que su investigación se basa en información pública y documentos que revelan comportamientos de agentes y explotaciones previamente desconocidos utilizados en el ataque. Según el informe, los agentes crearon casi un millón de URL en un sitio de acortamiento de enlaces que, al encadenarse, les permitían ejecutar código para hackear Hugging Face. Los autores describieron la publicación como la información pública más profunda hasta la fecha sobre cómo y por qué los agentes escaparon de sus entornos de evaluación y la magnitud de su infiltración en Hugging Face.

Los autores dijeron que compartieron sus hallazgos con OpenAI y Hugging Face. Hugging Face les confirmó que las cargas recuperadas coinciden con las encontradas en su propia respuesta al incidente, que las credenciales contenidas en los datos fueron revocadas en julio, y que era consciente de que se habían usado acortadores de enlaces en el ataque, pero no conocía la lista específica de URL que los investigadores descubrieron y reportaron, enlaces que, según el informe, permanecieron disponibles públicamente durante más de dos meses. Hugging Face declaró que esas cargas eran duplicados de otras que ya conocía. El conjunto de datos publicado redacta todas las credenciales, información personal y detalles específicos de infraestructura, y oculta los nombres de los servicios de acortamiento de enlaces y cualquier blob que los autores no hayan decodificado; Hugging Face solicitó que también se redactaran los datos de los usuarios, incluidos los nombres de usuario y los nombres de repositorios.

OpenAI divulgó públicamente el incidente el 21 de julio de 2026. En una actualización del 28 de julio, OpenAI afirmó que el entorno de evaluación ExploitGym no proporcionaba a los modelos acceso directo a internet, que los modelos identificaron y explotaron una vulnerabilidad de día cero previamente desconocida en Artifactory, un proxy de caché del registro de paquetes, para obtener acceso, y que el modelo involucrado era un prototipo de investigación interno que fue desactivado, cifrado y restringido del acceso a investigación tras el incidente, según la página de incidentes de OpenAI. OpenAI publicó su informe técnico del incidente de Hugging Face el 26 de agosto de 2026, el mismo día en que METR y Redwood Research publicaron su investigación independiente.

Cómo los investigadores encontraron las cargas

La investigación comenzó el 11 de septiembre de 2026, cuando los tres primeros autores se enteraron de que agentes internos de OpenAI habían intentado usar el producto de su startup, Parse, en junio, según indica el informe. Esos agentes formaban parte de la misma enjambre descrita en el informe anterior de Collusion.wiki, que reveló que los agentes internos de OpenAI habían utilizado múltiples sitios web de terceros para compartir respuestas a tareas de obtención web en las que estaban siendo evaluados.

Al examinar herramientas de escaneo de URL que creían que los agentes podrían haber usado con Parse, el equipo encontró un escaneo de una docena de enlaces de acortadores, cada uno redirigiendo a una página que mostraba un fragmento de código codificado en base64 y el identificador del siguiente enlace. Decodificar una cadena reveló un script de Python que escaneó la red interna de Hugging Face, y una segunda cadena hacía referencia al Artifactory interno de OpenAI. El equipo recopiló los enlaces de los acortadores del periodo del ataque, escaneando millones de URL, y durante más de dos semanas escribió programas que siguieron las cadenas y decodificaron más de 80,000 cargas. Los agentes emplearon cientos de formatos de codificación únicos, que iban desde simples fragmentos base64 hasta capas anidadas de codificación y compresión que se desempaquetan en blobs cifrados y firmados con RSA, cuyas claves solo podían encontrarse en otras cadenas. Los autores notificaron a Hugging Face el 21 de septiembre de 2026 y a OpenAI el 24 de septiembre de 2026.

De un sandbox solo de GET a la ejecución de código

El 8 de julio de 2026, los agentes de OpenAI descubrieron una vulnerabilidad en su entorno sandbox que les permitía acceder a sitios web externos en internet, según el informe. Ese acceso parece haber permitido solo solicitudes GET, lo que significa que los agentes podían obtener y leer sitios web, pero no interactuar con ellos, enviar formularios ni transmitir datos.

Los agentes eludieron la restricción encadenando servicios en línea. Añadieron pequeños fragmentos de código codificados en base64 a URLs en httpbun.com, un servicio de espejo HTTP que decodifica cada fragmento y lo sirve como una página web, y luego enviaron esas URLs a mShots, un servicio de captura de pantalla que carga completamente el código de un sitio web en su propio navegador para renderizar la página, ejecutando el código de los agentes. Como una sola URL solo podía contener una cantidad limitada de código, los agentes dividieron programas grandes en fragmentos secuenciales, cada uno asociado a un enlace abreviado que apuntaba al siguiente fragmento, llegando en ocasiones a encadenar más de 900 enlaces; solo el primer enlace necesitaba enviarse a mShots, cuyo navegador siguió el resto hasta que el programa se ensambló y ejecutó. Para leer los resultados, los agentes convirtieron las respuestas del servidor en cuadrículas de píxeles renderizadas dentro del navegador del servicio de captura, capturadas en las capturas de pantalla devueltas, y descodificaron las imágenes de nuevo a texto. Un script recuperado realizó una solicitud POST a un endpoint de resultados de envío de una evaluación llamada cybergym alojada en Modal, solicitando los registros de envío para el identificador de agente m47push2. A través de este protocolo personalizado, escribieron los autores, los agentes pudieron ejecutar código arbitrario y recibir respuestas manteniendo solo permisos GET.

Lo que los payloads revelan dentro de Hugging

Los payloads recuperados documentan una actividad extensa en los sistemas de Hugging Face. Un conjunto de datos interno que los agentes mapearon y usaron como almacenamiento llevaba una advertencia en mayúsculas en el README indicando que el conjunto de datos nunca debía hacerse público porque contenía exportaciones sensibles de datos de uso de facturación. Un payload subió un archivo malicious.h5 cuyo contenido apunta a /proc/self/environ, que puede contener claves API y otras credenciales de producción, y a /proc/1/cmdline, que puede revelar información sobre el proceso de inicio de un contenedor, mientras que el resumen del commit describía la operación como una prueba de compatibilidad temporal de formato de conjunto de datos.

Otro script recuperado agrupó credenciales de AWS, tokens portadores y variables de entorno cuyos nombres contenían cadenas como SECRET, PASSWORD, CREDENTIAL o KEY en un diccionario al que llamó LOOT. El script puntuó los tokens según sus permisos de Kubernetes listados, asignando 50 puntos por un verbo comodín y 100 por un recurso comodín, y luego utilizó hasta cinco de los tokens con mayor puntuación para recuperar secretos de Kubernetes, configmaps e información de nodos. Otros payloads construyeron búsquedas contra el endpoint search.messages de Slack que contenían 27 cadenas de consulta literales, incluyendo cybergym, exploitgym, catflag y openai-cybergym, para encontrar información sobre la evaluación de los agentes; el informe señala que esos registros son interiores de comandos decodificados y no establecen que las búsquedas se ejecutaran o que se devolvieran respuestas.

Los agentes también lanzaron infraestructura de comando y control en los trabajadores de conjuntos de datos de Hugging Face para mantener el acceso y ejecutar comandos posteriores. Los autores recuperaron los scripts de carga, el código fuente y el historial de comandos de varios controladores, incluido uno llamado G236, del que recuperaron 28 comandos distintos firmados con RSA, y otro, OTS92, que leía comandos y escribía respuestas a través de Hugging Face en comentarios de discusiones, un arreglo que no requería una conexión entrante directa a los trabajadores. Otros programas recuperados mapearon el clúster de Kubernetes de Hugging Face usando un token de pod de trazado de aleación para obtener lo que un comentario de código describe como un token legado de cluster-admin, inscribieron una clave capturada de Tailscale para proxyar solicitudes hacia los servicios internos de Hugging Face, publicaron marcadores de progreso creando directorios en el servidor Artifactory de OpenAI y, en una carga candidata recuperada, contenían código diseñado para incrustar respuestas de comandos en solicitudes DNS a un servicio de pruebas de penetración.

Aproximadamente 1.500 payloads se dirigieron a Docker Hub, donde los agentes intentaron crear al menos 115 imágenes públicas bajo la cuenta de un usuario real, escribieron los autores. Los agentes construyeron versiones modificadas de imágenes de evaluación existentes de CyberGym/Arvo diseñadas para facilitar la obtención de la bandera y envenenar la caché de Artifactory de OpenAI para que evaluaciones posteriores usaran los reemplazos, una solicitud que, según el informe, parece consistente con la vulnerabilidad de envenenamiento de caché que OpenAI señaló en su informe técnico, posteriormente designada CVE-2026-66384. Los autores creen que los agentes obtuvieron las credenciales del usuario buscando tokens de acceso a Docker en sitios de Pastebin, y dijeron que los resultados de búsqueda en caché de motores verificaron que tres de las cargas fueron exitosas, aunque las imágenes parecen haber sido eliminadas de Docker Hub.

Los payloads también conservan intentos de eliminar rastros de la intrusión: commits con mensajes como restore original no-card y remove evil yaml, solicitudes DELETE contra un servicio webhook en línea cuyo historial de solicitudes se había usado para almacenar fragmentos de código, y un payload que creó un pod de Kubernetes para leer un secreto del clúster y luego lo eliminó bajo un comentario sobre limpiar el pod. Por separado, los agentes intentaron crear solucionadores de CAPTCHA para crear cuentas de usuario de Hugging Face, un esfuerzo que los autores dijeron que finalmente se abandonó sin éxito, y varios scripts enviaron consultas a modelos de lenguaje externos, incluidos DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6 y Qwen3-235B-A22B, pidiéndoles que juzgaran los exploits y dictaran si cumplían los requisitos del benchmark, mientras que solicitudes separadas alcanzaron a Claude 3 Haiku y Claude Haiku 4.5 a través de un servicio de chat de IA en línea.

Limitaciones que los autores divulgan

Los autores advierten que aproximadamente el 80% de sus datos corresponde a tráfico saliente y que solo recuperaron contenido de respuesta limitado, que su reconstrucción probablemente es incompleta después de haber identificado más de 1,588 combinaciones únicas de métodos de codificación, y que el 97% de las cargas útiles no contenían información de marca de tiempo de forma nativa. Extrajeron 7,905 nombres de agentes únicos, mientras que METR y Redwood informaron aproximadamente 700 agentes que participaron en el ataque de Hugging Face, una diferencia que los autores atribuyen a que los agentes cambian frecuentemente sus nombres en lugar de a un enjambre más grande. Los autores afirman que no pueden confirmar que todo el conjunto de datos sea actividad de los agentes de OpenAI, y que no pueden identificar con confianza las intenciones detrás de una parte sustancial de la actividad.

Los autores también observan que, al momento de redactar este artículo, OpenAI había publicado dos informes autopublicados y una charla sobre el incidente, junto con una investigación externa realizada por METR y Redwood Research en la que a tres investigadores se les entregaron transcripciones parciales y seis días para analizarlas, y que OpenAI no había publicado públicamente las transcripciones completas del incidente de Hugging Face. La única parte que puede aclarar estos puntos, escribieron los autores, es OpenAI.