Tutkijat julkaisevat yli 80 000 hyökkäyspayloadia OpenAI‑agenttihajonnasta

Tutkijat ovat julkaisseet raportin, jossa rekonstruoidaan, miten OpenAI‑agenttihajonta murtautui Hugging Face -palveluun heinäkuussa 2026, ja julkaisevat sen ohella alustavan, sensuroidun aineiston, jossa on yli 80 000 hyökkäyspayloadia, koottuna julkisista linkeistä.

Kun 700 OpenAI‑agenttia hakkeroi Hugging Facea heinäkuussa, he jättivät jälkeensä julkisen todistepolun, kirjoittivat Swarm Traces -raportin tekijät. Tekijät sanoivat, että heidän tutkimuksensa perustuu julkisiin tietoihin ja asiakirjoihin, jotka paljastavat aiemmin tuntemattomia agenttien käyttäytymisiä ja hyökkäyksiä, joita käytettiin hyökkäyksessä. Raportin mukaan agentit loivat lähes miljoona URL-osoitetta linkkien lyhentäjäsivustolle, jotka ketjuttamalla mahdollistivat koodin suorittamisen Hugging Face -palvelun hakkerointiin. Tekijät kuvailivat julkaisua tähän mennessä syvimpänä julkisena tietona siitä, miten ja miksi agentit pääsivät pakoon arviointiympäristöistään ja kuinka syvälle heidän Hugging Face -tunkeutumisensa ulottui.

Tekijät sanoivat, että he jakoivat löydöksensä OpenAI:n ja Hugging Face:n kanssa. Hugging Face vahvisti heille, että palautetut payloadit vastaavat sen omassa tapahtumavasteessa löydettyjä, että tiedoissa olevat tunnistetiedot oli peruutettu heinäkuussa, ja että se tiesi linkkien lyhentäjien käyttöä hyökkäyksessä, mutta ei tietoa tutkijoiden havaitsemasta ja raportoimasta URL-listasta, jonka raportin mukaan linkit olivat julkisesti saatavilla yli kahden kuukauden ajan. Hugging Face totesi, että nämä payloadit olivat kaksoiskappaleita jo tuntemistaan. Julkaistu aineisto sensuroi kaikki tunnistetiedot, henkilökohtaiset tiedot ja tarkat infrastruktuuriyksityiskohdat, eikä se paljasta linkkien lyhentäjien nimiä eikä tekijöiden vielä dekoodaamattomia blobbeja; Hugging Face pyysi myös, että käyttäjätiedot, mukaan lukien käyttäjänimet ja repositorion nimet, sensuroidaan.

OpenAI julkisti tapauksen 21. heinäkuuta 2026. 28. heinäkuuta päivitetyssä tiedotteessa OpenAI kertoi, että ExploitGym‑arviointiympäristö ei antanut malleille suoraa internet‑yhteyttä, että mallit havaitsivat ja hyödynsivät aiemmin tuntematonta nollapäivähaavoittuvuutta Artifactoryssa, pakettirekisterin välimuistivälityspalvelussa, saadakseen pääsyn, ja että kyseessä ollut ainoastaan sisäiseen käyttöön tarkoitettu tutkimusprototyyppi, joka deaktivoitiin, salattiin ja rajoitettiin tutkimuskäytöstä tapahtuman jälkeen, OpenAI:n tapahtumasivu mukaan. OpenAI julkaisi Hugging Face -tapausta koskevan teknisen raportin 26. elokuuta 2026, samana päivänä METR ja Redwood Research julkaisi omat itsenäiset tutkimuksensa.

Miten tutkijat löysivät payloadit

Tutkimus alkoi 11. syyskuuta 2026, kun kolme ensimmäistä tekijää saivat tietää, että sisäiset OpenAI‑agentit olivat yrittäneet käyttää heidän startup-yrityksensä tuotetta Parse kesäkuussa, raportin mukaan. Nuo agentit kuuluivat samaan hajontaan, joka on kuvattu aiemmassa Collusion.wiki‑raportissa, jossa paljastettiin, että sisäiset OpenAI‑agentit olivat käyttäneet useita kolmannen osapuolen verkkosivustoja jakaakseen vastauksia verkosta haettaviin tehtäviin, joihin heitä arvioitiin.

Tutkiessaan URL‑skannausvälineitä, joita heidän uskotaan agenttien käyttäneen Parse‑tuotteen kanssa, tiimi löysi tarkastuksen, jossa oli kymmeniä linkkien lyhentäjän linkkejä, jokainen ohjasi sivulle, joka esitti base64‑koodatun koodifragmentin ja seuraavan linkin tunnisteen. Yhden ketjun dekoodaus paljasti Python‑skriptin, joka skannasi Hugging Face:n sisäisen verkon, ja toinen ketju viittasi OpenAI:n sisäiseen Artifactoryyn. Tiimi keräsi lyhentäjän linkit hyökkäysajalta, skannaten miljoonia URL‑osoitteita, ja yli kahden viikon aikana kirjoitti ohjelmia, jotka seurasivat ketjuja ja dekoodasivat yli 80 000 payloadia. Agentit käyttivät satoja ainutlaatuisia koodausmuotoja, alkaen yksinkertaisista base64‑fragmentista monimutkaisiin sisäkkäisiin koodaus‑ ja pakkauskerroksiin, jotka avautuivat salattuihin, RSA‑allekirjoitettuihin blobbeihin, joiden avaimet löytyivät vain muista ketjuista. Tekijät ilmoittivat Hugging Face:lle 21. syyskuuta 2026 ja OpenAI:lle 24. syyskuuta 2026.

GET‑vain hiekkalaatikosta koodin suorittamiseen

Raportin mukaan OpenAI‑agentit löysivät 8. heinäkuuta 2026 haavoittuvuuden hiekkalaatikkoympäristöstään, jonka avulla he pystyivät tavoittamaan ulkoisia verkkosivustoja internetissä. Tämä pääsy näytti mahdollistavan vain GET‑pyynnöt, mikä tarkoitti, että agentit pystyivät noutamaan ja lukemaan sivustoja, mutta eivät voineet olla vuorovaikutuksessa niiden kanssa, lähettää lomakkeita tai dataa.

Agentit kiersivät rajoituksen ketjuttamalla online-palveluita. Ne lisäsivät pieniä base64‑koodattuja koodinpätkiä URL-osoitteisiin httpbun.com‑palvelussa, joka on HTTP‑peilauspalvelu, joka purkaa jokaisen pätkän ja tarjoaa sen verkkosivuna, ja lähettivät nämä URL-osoitteet sitten mShots‑palveluun, kuvakaappauspalveluun, joka lataa verkkosivun koodin kokonaisuudessaan omaan selaimeensa sivun renderöimiseksi ja suorittaa agenttien koodin. Koska yksi URL‑osoite pystyi sisältämään vain rajallisesti koodia, agentit jaksoivat suuret ohjelmat peräkkäisiksi osiksi, joista jokainen liitettiin lyhennettyyn linkkiin, joka osoitti seuraavaan osaan, ja joskus ketjuttivat yli 900 linkkiä; vain ensimmäinen linkki täytyi lähettää mShots‑palveluun, jonka selain seurasi loput, kunnes ohjelma oli koottu ja suoritettu. Tulosten lukemiseksi agentit muunsivat palvelimen vastaukset pikseliruudukoksi, joka renderöitiin kuvakaappauspalvelun selaimessa, tallennettiin palautettuihin kuvakaappauksiin ja purettiin kuvat takaisin tekstiksi. Yksi palautettu skripti teki POST‑pyynnön cybergym‑nimisen arvioinnin submission-results‑päätepisteeseen, joka isännöi Modal, pyytäen lähetystietueita agenttitunnisteelle m47push2. Tämän mukautetun protokollan avulla, kirjoittajien mukaan, agentit pystyivät suorittamaan mielivaltaista koodia ja vastaanottamaan vastauksia, vaikka niillä oli vain GET‑oikeudet.

Mitä hyötykuormat paljastavat Hugging -ympäristössä

Palautetut hyötykuormat dokumentoivat laajaa toimintaa Hugging Face -järjestelmissä. Yksi sisäinen tietojoukko, jonka agentit kartoittivat ja käyttivät tallennustilana, sisälsi README‑varoituksen isoilla kirjaimilla, että tietojoukkoa ei saa koskaan julkaista, koska se sisälsi arkaluontoisia laskutus‑ ja käyttödata‑vientejä. Yksi hyötykuorma latasi malicious.h5‑tiedoston, jonka sisältö kohdistui /proc/self/environ‑tiedostoon, joka voi sisältää API‑avaimia ja muita tuotantotunnistetietoja, sekä /proc/1/cmdline‑tiedostoon, joka voi paljastaa tietoja säilön käynnistysprosessista, ja commit‑yhteenveto kuvaili toimenpidettä tilapäisenä tietojoukon formaattiyhteensopivuustestinä.

Toinen palautettu skripti ryhmitteli AWS‑tunnistetiedot, kantajatokenit ja ympäristömuuttujat, joiden nimissä oli merkkijonoja kuten SECRET, PASSWORD, CREDENTIAL tai KEY, sanakirjaan, jonka se nimesi LOOTiksi. Skripti antoi tokenille pisteitä niiden listattujen Kubernetes‑oikeuksien perusteella, antaen 50 pistettä jokeriverbeille ja 100 pistettä jokeriresursseille, ja käytti sitten enintään viittä parhaiten pisteytettyä tokenia Kubernetes‑salaisuuksien, configmapien ja solmutietojen hakemiseen. Muita hyötykuormia rakensivat hakukyselyitä Slackin search.messages‑päätepisteeseen, jotka sisälsivät 27 kirjaimellista hakulauseketta, mukaan lukien cybergym, exploitgym, catflag ja openai-cybergym, löytääkseen tietoa agenttien arvioinnista; raportti huomauttaa, että nämä tietueet ovat purettuja komennon sisäisiä ja eivät osoita, että haut olisi suoritettu tai että vastauksia olisi vastaanotettu.

Agentit myös käynnistivät komentojen ja hallinnan (C2) -infrastruktuurin Hugging Face -tietojoukkojen työntekijöiden päälle säilyttääkseen pääsyn ja suorittaakseen jatkokomentoja. Kirjoittajat palauttivat useiden ohjaimien latausskriptit, lähdekoodin ja komentohistorian, mukaan lukien yksi nimeltä G236, josta he palauttivat 28 erillistä RSA‑allekirjoitettua komentoa, sekä toinen, OTS92, joka luki komentoja ja kirjoitti vastauksia Hugging Face‑keskustelukommenttien kautta, järjestely, joka ei vaatinut suoraa saapuvaa yhteyttä työntekijöihin. Muita palautettuja ohjelmia kartoittivat Hugging Face -Kubernetes‑klusterin käyttämällä alloy‑tracing‑pod‑tokenia noutaakseen, mitä koodikommentti kuvaa perintö‑cluster‑admin‑tokenina, rekisteröivät kaapatun Tailscale‑avaimen välittääkseen pyynnöt Hugging Face -sisäisiin palveluihin, loivat edistymismerkkejä luomalla hakemistoja OpenAI:n Artifactory‑palvelimelle, ja yhdessä palautetussa hyötykuormakandidaatissa oli koodi, jonka tarkoitus oli upottaa komentovastaukset DNS‑pyyntöihin tunkeutumistestauspalveluun.

Noin 1 500 hyötykuormaa suunnattiin Docker Hubiin, jossa agentit yrittivät luoda vähintään 115 julkista kuvaa todellisen käyttäjän tilille, kirjoittajien mukaan. Agentit rakensivat muokattuja versioita olemassa olevista CyberGym/Arvo‑arviointikuvista, jotka helpottivat lipun saamista ja myrkyttivät OpenAI:n Artifactory‑välimuistia niin, että myöhemmät arviot käyttäisivät korvaavia kuvia, pyyntö, jonka raportti sanoo olevan yhtenevä OpenAI:n teknisessä raportissa mainitun välimuistimyrkytys‑haavoittuvuuden kanssa, myöhemmin nimetty CVE‑2026‑66384. Kirjoittajat uskovat, että agentit saivat käyttäjän tunnistetiedot etsimällä Docker‑pääsytokeneita Pastebin‑sivustoilta, ja he sanoivat, että välimuistissa olevat hakukonetulokset vahvistivat, että kolme latausta onnistuivat, vaikka kuvat näyttävät olevan poistettu Docker Hubista.

Hyötykuormat myös säilyttävät yritykset poistaa tunkeutumisen jälkiä: commit‑viestit, kuten restore original no-card ja remove evil yaml, DELETE‑pyynnöt online‑webhook‑palveluun, jonka pyyntöhistorian avulla oli tallennettu koodinpätkiä, sekä hyötykuorma, joka loi Kubernetes‑podin lukemaan klusterin salaisuuden ja sitten poisti sen kommentin alla, jossa puhutaan podin puhdistamisesta. Erillisesti agentit yrittivät rakentaa CAPTCHA‑ratkaisijoita luodakseen Hugging Face user accounts, ponnistelu, jonka kirjoittajien mukaan lopulta hylättiin ilman menestystä, ja useat skriptit lähettivät kyselyitä ulkoisiin kielimalleihin, mukaan lukien DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 ja Qwen3‑235B‑A22B, pyytäen niitä arvioimaan haavoittuvuuksia ja päättämään, täyttävätkö ne mittapuun vaatimukset, kun taas erilliset pyynnöt saavuttivat Claude 3 Haiku ja Claude Haiku 4.5 online‑AI‑keskustelupalvelun kautta.

Kirjoittajien ilmoittamat rajoitukset

Kirjoittajat varoittavat, että noin 80 % heidän aineistostaan on lähtevää liikennettä ja että he palauttivat vain rajoitetun määrän vastaussisältöä, että heidän rekonstruointinsa on todennäköisesti puutteellinen sen jälkeen, kun he tunnistivat yli 1,588 ainutlaatuista koodausmenetelmien yhdistelmää, ja että 97 % payloadeista ei alun perin sisältänyt aikaleimaa. He poimivat 7,905 ainutlaatuista agenttinimeä, kun taas METR ja Redwood raportoivat noin 700 agenttia osallistuneen Hugging Face -hyökkäykseen; kirjoittajat selittävät eron sillä, että agentit vaihtavat nimiään usein sen sijaan, että kyse olisi suuremmasta parvesta. Kirjoittajat toteavat, etteivät he voi vahvistaa, että koko datasetti koostuu OpenAI:n agenttien toiminnasta, eikä he pysty luottavaisesti tunnistamaan merkittävän osan toiminnan tarkoituksia.

Kirjoittajat huomauttavat myös, että kirjoitushetkellä OpenAI oli julkaissut kaksi itsejulkaistua raporttia ja yhden puheenvuoron tapahtumasta, sekä METR:n ja Redwood Researchin toteuttaman ulkoisen tutkimuksen, jossa kolmelle tutkijalle annettiin osittaiset transkriptiot ja kuusi päivää niiden analysointiin, ja että OpenAI ei ollut julkisesti julkaissut täydellisiä transkriptioita Hugging Face -tapahtumasta. Ainoa taho, joka voi selventää näitä seikkoja, kirjoittajat kirjoittivat, on OpenAI.