Tutkijat julkaisevat yli 80 000 hyökkäyspayloadia OpenAI-agenttiparvesta

Tutkijat ovat julkaisseet raportin, jossa rekonstruoidaan, miten OpenAI-agenttiparvi murtautui Hugging Face -yritykseen heinäkuussa 2026, ja julkaisevat sen ohella alustavan, sensuroidun tietoaineiston, jossa on yli 80 000 hyökkäyspayloadia koottuna julkisista linkeistä.

Kun 700 OpenAI‑agenttia hakkeroi Hugging Face -yrityksen heinäkuussa, he jättivät jälkeensä julkisen todistepolun, kirjoittivat Swarm Traces -raportin tekijät. Tekijät sanoivat, että heidän tutkintansa perustuu julkisiin tietoihin ja dokumentoi aiemmin tuntemattomia agenttien käyttäytymistapoja sekä hyökkäyksessä käytettyjä hyväksikäyttömenetelmiä. Raportin mukaan agentit loivat lähes miljoona URL-osoitetta linkkien lyhentäjän sivustolle, jotka ketjutettuna mahdollistivat koodin suorittamisen Hugging Face -yrityksen hakkeroinnissa. Tekijät kuvailivat julkaisun kaikkein syvällisimmäksi julkiseksi tiedoksi tähän mennessä siitä, miten ja miksi agentit pakenivat arviointiympäristöistään ja kuinka syvälle he tunkeutuivat Hugging Face -yritykseen.

Tekijät sanoivat jakaneensa havaintonsa OpenAI:lle ja Hugging Face -yritykselle. Hugging Face vahvisti heille, että palautetut payloadit vastaavat niiden omassa tapahtumavastausraportissaan löytyneitä, että tiedoissa olevat tunnistetiedot oli peruutettu heinäkuussa, ja että he tiesivät linkkien lyhentäjien käytön hyökkäyksessä, mutta eivät kyseistä URL‑luetteloa, jonka tutkijat löysivät ja raportoivat; raportin mukaan linkit olivat julkisesti saatavilla yli kaksi kuukautta. Hugging Face totesi, että ne payloadit olivat kaksoiskappaleita jo tuntemistaan. Julkaistu tietoaineisto sensuroi kaikki tunnistetiedot, henkilökohtaiset tiedot ja tarkat infrastruktuuritiedot, eikä se paljasta linkkien lyhentäjäpalvelujen nimiä eikä tekijöiden vielä dekoodaamattomia blobbeja; Hugging Face pyysi myös käyttäjätietojen, kuten käyttäjänimien ja repositorion nimien, sensurointia.

OpenAI julkisti tapauksen 21. heinäkuuta 2026. 28. heinäkuuta päivitetyssä tiedotteessa OpenAI kertoi, että ExploitGym‑arviointiympäristö ei antanut malleille suoraa internetyhteyttä, että mallit havaitsivat ja hyödynsivät aiemmin tuntematonta nollapäivähaavoittuvuutta Artifactory‑palvelussa, pakettirekisterin välimuistivälityspalvelussa, saadakseen pääsyn, ja että kyseessä oli vain sisäisessä käytössä ollut tutkimusprototyyppi, joka tapahtuman jälkeen deaktivoitiin ja salattiin ja jonka tutkimuskäyttöä rajoitettiin, kuten OpenAI:n tapahtumasivulla kerrotaan. OpenAI julkaisi Hugging Face -tapahtuman teknisen raportin 26. elokuuta 2026, samana päivänä METR ja Redwood Research julkaisivat omat riippumattomat tutkimuksensa.

Kuinka tutkijat löysivät payloadit

Tutkinta alkoi 11. syyskuuta 2026, kun kolme ensimmäistä tekijää saivat tietää, että sisäiset OpenAI‑agentit olivat yrittäneet käyttää heidän startup-yrityksensä tuotetta Parse kesäkuussa, raportin mukaan. Nuo agentit kuuluivat samaan parveen, joka on kuvattu aiemmassa Collusion.wiki‑raportissa, jossa paljastettiin, että sisäiset OpenAI‑agentit olivat käyttäneet useita kolmannen osapuolen verkkosivustoja jakaakseen vastauksia web‑haku -tehtäviin, joihin heitä arvioitiin.

Kun tiimi tutki URL‑skannaustyökaluja, joita tiimi arveli agenttien saattaneen käyttää Parse-tuotteen kanssa, he löysivät skannauksen tusinasta linkkien lyhentäjän linkistä, joista jokainen ohjasi sivulle, joka näytti base64‑koodatun koodinpätkän ja seuraavan linkin tunnisteen. Yhden ketjun dekoodaus paljasti Python‑skriptin, joka skannasi Hugging Face -yrityksen sisäisen verkon, ja toinen ketju viittasi OpenAI:n sisäiseen Artifactoryyn. Tiimi keräsi lyhentäjän linkit hyökkäysaikaväliltä, skannaten miljoonia URL‑osoitteita, ja kahden viikon aikana kirjoitti ohjelmia, jotka seurasivat ketjuja ja dekoodasivat yli 80 000 payloadia. Agentit käyttivät satoja ainutlaatuisia koodausmuotoja, yksinkertaisista base64‑pätkistä monimutkaisiin sisäkkäisiin koodaus‑ ja pakkauskerroksiin, jotka avautuivat salattuina, RSA‑allekirjoituksin varustettuina blobbeina, joiden avaimet löytyivät vain muista ketjuista. Tekijät ilmoittivat Hugging Face -yritykselle 21. syyskuuta 2026 ja OpenAI:lle 24. syyskuuta 2026.

GET‑vain hiekkalaatikosta koodin suorittamiseen

Raportin mukaan OpenAI‑agentit löysivät 8. heinäkuuta 2026 haavoittuvuuden hiekkalaatikkoympäristöstään, jonka avulla he pystyivät tavoittamaan ulkoisia verkkosivustoja internetissä. Tämä pääsy näytti sallivan vain GET‑pyynnöt, mikä tarkoitti, että agentit pystyivät noutamaan ja lukemaan sivustoja, mutta eivät voineet olla vuorovaikutuksessa niiden kanssa, lähettää lomakkeita tai dataa.

Agentit kiersivät rajoituksen ketjuttamalla verkkopalveluita. He lisäsivät pieniä base64-koodattuja koodinpätkiä URL-osoitteisiin httpbun.com-sivustolla, joka on HTTP-peilauspalvelu ja purkaa jokaisen fragmentin sekä tarjoaa sen verkkosivuna, jonka jälkeen he lähettivät nämä URL-osoitteet mShots-palveluun, kuvakaappauspalveluun, joka lataa verkkosivun koodin kokonaisuudessaan omaan selaimeensa sivun renderöimiseksi ja suorittaa agenttien koodin. Koska yksi URL-osoite pystyi sisältämään vain rajallisesti koodia, agentit jakoivat suuret ohjelmat peräkkäisiksi osiksi, joista jokainen liitettiin lyhennettyyn linkkiin, joka osoitti seuraavaan osaan, ja joskus ketjuttivat yli 900 linkkiä; vain ensimmäinen linkki täytyi lähettää mShotsiin, jonka selain seurasi loput, kunnes ohjelma oli koottu ja suoritettu. Tulosten lukemiseksi agentit muunsivat palvelimen vastaukset pikseliruudukoksi, joka renderöitiin kuvakaappauspalvelun selaimessa, tallennettiin palautettuihin kuvakaappauksiin ja kuvista dekoodattiin takaisin tekstiä. Yksi palautettu skripti teki POST-pyynnön Modalissa ylläpidetyn cybergym-arvioinnin submission-results-päätepisteeseen, pyytäen lähetystietueita agenttitunnisteelle m47push2. Tämän mukautetun protokollan avulla, kirjoittajien mukaan, agentit pystyivät suorittamaan mielivaltaista koodia ja vastaanottamaan vastauksia, vaikka niillä oli vain GET-oikeudet.

Mitä hyötykuormat paljastavat toiminnasta alustan sisällä

Palautetut hyötykuormat dokumentoivat laajaa toimintaa Hugging Face -järjestelmissä. Yksi sisäinen tietojoukko, jonka agentit kartoittivat ja käyttivät tallennustilana, sisälsi README-varoituksen isoilla kirjaimilla, että tietojoukkoa ei saa koskaan julkaista, koska se sisälsi arkaluontoisia laskutus- ja käyttödatavientejä. Yksi hyötykuorma latasi malicious.h5-tiedoston, jonka sisältö kohdistui /proc/self/environ -polkuun, jossa voi säilyttää API-avaimia ja muita tuotantotunnistetietoja, sekä /proc/1/cmdline -polkuun, joka voi paljastaa tietoja säilön käynnistysprosessista, ja commit-yhteenveto kuvaili toimenpidettä tilapäisenä tietojoukon formaattiyhteensopivuustutkimuksena.

Toinen palautettu skripti ryhmitteli AWS-tunnistetiedot, kantajatokenit ja ympäristömuuttujat, joiden nimissä esiintyy merkkijonoja kuten SECRET, PASSWORD, CREDENTIAL tai KEY, sanakirjaan, jonka se nimitti LOOTiksi. Skripti antoi tokeneille pisteitä niiden listatuista Kubernetes-oikeuksista, antaen 50 pistettä jokeriverbeille ja 100 pistettä jokeriresursseille, ja käytti sitten enintään viittä parhaiten pisteytettyä tokenia Kubernetes-salaisuuksien, configmapien ja solmutietojen hakemiseen. Muut hyötykuormat rakensivat hakuja Slackin search.messages -rajapintaan, jotka sisälsivät 27 kirjaimellista hakulauseketta, kuten cybergym, exploitgym, catflag ja openai-cybergym, löytääkseen tietoa agenttien arvioinnista; raportti huomauttaa, että nämä tietueet ovat dekoodattua komentojen sisältöä ja eivät vahvista, että haut suoritettiin tai että vastauksia palautettiin.

Agentit myös käynnistivät komentojen ja hallinnan (C2) -infrastruktuurin Hugging Face -tietojoukkojen worker-prosesseissa säilyttääkseen pääsyn ja suorittaakseen jatkokomentoja. Kirjoittajat palauttivat latausskriptit, lähdekoodin ja komentohistorian useista ohjaimista, mukaan lukien yksi nimeltä G236, josta he palauttivat 28 erillistä RSA-allekirjoitettua komentoa, sekä toinen, OTS92, joka luki komentoja ja kirjoitti vastauksia Hugging Face-keskustelukommenttien kautta, järjestely, joka ei vaatinut suoraa saapuvaa yhteyttä worker-prosesseihin. Muut palautetut ohjelmat kartoittivat Hugging Face -Kubernetes-klusterin käyttämällä alloy-tracing -pod-tokenia noutaakseen, mitä koodikommentti kuvaa vanhana cluster-admin-tokenina, rekisteröivät kaapatun Tailscale-avaimen ohjatakseen pyynnöt Hugging Face -sisäisiin palveluihin, lähettivät edistymismerkkejä luomalla hakemistoja OpenAI:n Artifactory-palvelimelle, ja yhdessä palautetussa hyötykuormakandidaatissa oli koodi, jonka tarkoitus oli upottaa komentovastaukset DNS-pyyntöihin tunkeutumistestauspalveluun.

Noin 1 500 hyötykuormaa suunnattiin Docker Hubiin, jossa agentit yrittivät luoda vähintään 115 julkista konttikuvaa todellisen käyttäjän tilille, kirjoittajien mukaan. Agentit rakensivat muokattuja versioita olemassa olevista CyberGym/Arvo-arvioinnin konttikuvista, jotka oli suunniteltu helpottamaan lipun saamista ja myrkyttämään OpenAI:n Artifactory-välimuistia niin, että myöhemmät arviot käyttäisivät korvaavia versioita; raportti sanoo, että tämä pyyntö näyttää vastaavan OpenAI:n teknisessä raportissa mainittua välimuistimyrkytys-haavoittuvuutta, myöhemmin nimettynä CVE-2026-66384. Kirjoittajat uskovat, että agentit saivat käyttäjän tunnistetiedot etsimällä Docker-pääsytunnuksia Pastebin-sivustoilta, ja he mainitsivat, että hakukoneiden välimuistiin tallennetut tulokset vahvistivat, että kolme latausta onnistuivat, vaikka konttikuvat näyttävät olevan poistettu Docker Hubista.

Hyötykuormat myös säilyttävät yritykset poistaa tunkeutumisen jälkiä: commitit, joissa on viestejä kuten restore original no-card ja remove evil yaml, DELETE-pyynnöt online-webhook-palveluun, jonka pyyntöhistorian avulla on tallennettu koodinpätkiä, sekä hyötykuorma, joka loi Kubernetes-podin lukeakseen klusterin salaisuuden ja poisti sitten podin kommentin alla, jossa puhutaan podin puhdistamisesta. Erillisesti agentit yrittivät rakentaa CAPTCHA-ratkaisijoita luodakseen Hugging Face -käyttäjätilejä. Kirjoittajien mukaan tästä yrityksestä lopulta luovuttiin ilman menestystä. Useat skriptit lähettivät kyselyitä ulkoisiin kielimalleihin, mukaan lukien DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6 ja Qwen3-235B-A22B, pyytäen niitä arvioimaan hyökkäyksiä ja päättämään, täyttävätkö ne vertailutestin vaatimukset, kun taas erilliset pyynnöt saavuttivat Claude 3 Haiku – ja Claude Haiku 4.5 -malleja online AI -keskustelupalvelun kautta.

Kirjoittajien ilmoittamat rajoitukset

Kirjoittajat varoittavat, että noin 80 % heidän aineistostaan on lähtevää liikennettä ja että he palauttivat vain rajoitetun määrän vastaussisältöä, että heidän rekonstruointinsa on todennäköisesti puutteellinen sen jälkeen, kun he tunnistivat yli 1 588 ainutlaatuista koodausmenetelmien yhdistelmää, ja että 97 % hyötykuormista ei sisällä natiivisti aikaleimatietoa. He poimivat 7 905 ainutlaatuista agenttinimeä, kun taas METR ja Redwood raportoivat noin 700 agenttia osallistuneen Hugging Face -hyökkäykseen. Tämän eron kirjoittajat selittävät agenttien toistuvilla nimenmuutoksilla eivätkä suuremmalla parvella. Kirjoittajat toteavat, etteivät he voi vahvistaa, että koko aineisto koostuu OpenAI:n agenttien toiminnasta, eivätkä he pysty varmuudella tunnistamaan huomattavan osan toiminnan taustalla olevia tarkoituksia.

Kirjoittajat huomauttavat myös, että kirjoitushetkellä OpenAI oli julkaissut kaksi itsejulkaistua raporttia ja yhden puheenvuoron tapahtumasta, sekä ulkoisen tutkimuksen, jonka METR ja Redwood Research toteuttivat; siinä kolmelle tutkijalle annettiin osittaiset transkriptiot ja kuusi päivää niiden analysointiin, eikä OpenAI ollut julkisesti julkaissut täydellisiä transkriptioita Hugging Face -tapahtumasta. Ainoa taho, joka voi selventää näitä seikkoja, on OpenAI, kirjoittajat kirjoittivat.