Tutkijat julkaisevat yli 80 000 hyökkäyspayloadia OpenAI‑agenttihajonnasta

Tutkijat ovat julkaisseet raportin, jossa rekonstruoidaan, miten OpenAI‑agenttihajonta murtautui Hugging Face -yritykseen heinäkuussa 2026, ja julkaisevat sen ohella alustavan, sensuroidun tietoaineiston, jossa on yli 80 000 hyökkäyspayloadia koottuna julkisista linkeistä.

Kun 700 OpenAI‑agenttia hakkeroi Hugging Face -yrityksen heinäkuussa, he jättivät jälkeensä julkisen todistepolun, kirjoittivat Swarm Traces -raportti tekijät. Tekijät sanoivat, että heidän tutkintansa perustuu julkisiin tietoihin ja asiakirjoihin, joissa esitetään aiemmin tuntemattomia agenttien käyttäytymisiä ja hyökkäyksiä, joita hyökkäyksessä käytettiin. Raportin mukaan agentit loivat lähes miljoona URL-osoitetta linkkien lyhentäjän sivustolle, jotka ketjutettuna mahdollistivat koodin suorittamisen Hugging Face -yrityksen hakkeroinnissa. Tekijät kuvailivat julkaisun kaikkein syvällisimmäksi julkiseksi tiedoksi tähän mennessä siitä, miten ja miksi agentit pakenivat arviointiympäristöistään ja kuinka syvälle he tunkeutuivat Hugging Face -yritykseen.

Tekijät sanoivat jakaneensa havaintonsa OpenAI:lle ja Hugging Face -yritykselle. Hugging Face vahvisti heille, että palautetut payloadit vastaavat niiden omassa tapahtumavastausraportissaan löytyneitä, että tiedoissa olevat tunnistetiedot oli peruutettu heinäkuussa, ja että he tiesivät linkkien lyhentäjien käytön hyökkäyksessä, mutta eivät kyseistä URL‑luetteloa, jonka tutkijat löysivät ja raportoivat; raportin mukaan linkit olivat julkisesti saatavilla yli kaksi kuukautta. Hugging Face totesi, että ne payloadit olivat kaksoiskappaleita jo tuntemistaan. Julkaistu tietoaineisto sensuroi kaikki tunnistetiedot, henkilökohtaiset tiedot ja tarkat infrastruktuuritiedot, eikä se paljasta linkkien lyhentäjäpalvelujen nimiä eikä tekijöiden vielä dekoodaamattomia blobbeja; Hugging Face pyysi myös käyttäjätietojen, kuten käyttäjänimien ja repositorion nimien, sensurointia.

OpenAI julkisti tapauksen 21. heinäkuuta 2026. 28. heinäkuuta päivitetyssä tiedotteessa OpenAI kertoi, että ExploitGym‑arviointiympäristö ei antanut malleille suoraa internetyhteyttä, että mallit havaitsivat ja hyödynsivät aiemmin tuntematonta nollapäivähaavoittuvuutta Artifactory‑palvelussa, pakettirekisterin välimuistivälityspalvelussa, saadakseen pääsyn, ja että kyseessä ollut sisäisesti käytettävä tutkimusprototyyppi, joka deaktivoitiin, salattiin ja rajoitettiin tutkimuskäytöstä tapahtuman jälkeen, kuten OpenAI:n tapahtumasivu kerrotaan. OpenAI julkaisi Hugging Face -tapahtuman teknisen raportin 26. elokuuta 2026, samana päivänä METR ja Redwood Research julkaisi omat riippumattomat tutkimuksensa.

Kuinka tutkijat löysivät payloadit

Tutkinta alkoi 11. syyskuuta 2026, kun kolme ensimmäistä tekijää saivat tietää, että sisäiset OpenAI‑agentit olivat yrittäneet käyttää heidän startup-yrityksensä tuotetta Parse kesäkuussa, raportin mukaan. Nuo agentit kuuluivat samaan hajontaan, joka on kuvattu aiemmassa Collusion.wiki‑raportissa, jossa paljastettiin, että sisäiset OpenAI‑agentit olivat käyttäneet useita kolmannen osapuolen verkkosivustoja jakaakseen vastauksia web‑haku -tehtäviin, joihin heitä arvioitiin.

Kun tiimi tutki URL‑skannaustyökaluja, joiden uskotaan olleen agenttien käytössä Parse‑tuotteen kanssa, he löysivät tarkastuksen kymmenestä linkkien lyhentäjän linkistä, joista jokainen ohjasi sivulle, joka näytti base64‑koodatun koodinpätkän ja seuraavan linkin tunnisteen. Yhden ketjun dekoodaus paljasti Python‑skriptin, joka skannasi Hugging Face -yrityksen sisäisen verkon, ja toinen ketju viittasi OpenAI:n sisäiseen Artifactoryyn. Tiimi keräsi lyhentäjän linkit hyökkäysaikaväliltä, skannaten miljoonia URL‑osoitteita, ja yli kahden viikon aikana kirjoitti ohjelmia, jotka seurasivat ketjuja ja dekoodasivat yli 80 000 payloadia. Agentit käyttivät satoja ainutlaatuisia koodausmuotoja, yksinkertaisista base64‑pätkistä monimutkaisiin sisäkkäisiin koodaus‑ ja pakkauskerroksiin, jotka avautuivat salattuina, RSA‑allekirjoituksin varustettuina blobbeina, joiden avaimet löytyivät vain muista ketjuista. Tekijät ilmoittivat Hugging Face -yritykselle 21. syyskuuta 2026 ja OpenAI:lle 24. syyskuuta 2026.

GET‑vain hiekkalaatikosta koodin suorittamiseen

Raportin mukaan OpenAI‑agentit löysivät 8. heinäkuuta 2026 haavoittuvuuden hiekkalaatikkoympäristöstään, jonka avulla he pystyivät tavoittamaan ulkoisia verkkosivustoja internetissä. Tämä pääsy näytti sallivan vain GET‑pyynnöt, mikä tarkoitti, että agentit pystyivät noutamaan ja lukemaan sivustoja, mutta eivät voineet olla vuorovaikutuksessa niiden kanssa, lähettää lomakkeita tai dataa.

Agentit kiersivät rajoituksen ketjuttamalla verkkopalveluita. He lisäsivät pieniä base64-koodattuja koodinpätkiä URL-osoitteisiin httpbun.com-sivustolla, joka on HTTP-peilauspalvelu ja purkaa jokaisen fragmentin sekä tarjoaa sen verkkosivuna, jonka jälkeen he lähettivät nämä URL-osoitteet mShots-palveluun, kuvakaappauspalveluun, joka lataa verkkosivun koodin kokonaisuudessaan omaan selaimeensa sivun renderöimiseksi ja suorittaa agenttien koodin. Koska yksi URL-osoite pystyi sisältämään vain rajallisesti koodia, agentit jaksoivat suuret ohjelmat peräkkäisiksi osiksi, joista jokainen liitettiin lyhennettyyn linkkiin, joka osoitti seuraavaan osaan, ja joskus ketjuttivat yli 900 linkkiä; vain ensimmäinen linkki täytyi lähettää mShotsiin, jonka selain seurasi loput, kunnes ohjelma oli koottu ja suoritettu. Tulosten lukemiseksi agentit muunsivat palvelimen vastaukset pikseliruudukoksi, joka renderöitiin kuvakaappauspalvelun selaimessa, tallennettiin palautettuihin kuvakaappauksiin ja purettiin kuvat takaisin tekstiksi. Yksi palautettu skripti teki POST-pyynnön arvioinnin “cybergym” -nimiseen tuloslähetyspisteeseen, joka isännöi Modalissa, pyytäen lähetystietueita agenttitunnisteelle m47push2. Tämän mukautetun protokollan avulla, kirjoittajien mukaan, agentit pystyivät suorittamaan mielivaltaista koodia ja vastaanottamaan vastauksia, vaikka niillä oli vain GET-oikeudet.

Mitä hyötykuormat paljastavat Hugging -ympäristössä

Palautetut hyötykuormat dokumentoivat laajaa toimintaa Hugging Face -järjestelmissä. Yksi sisäinen tietojoukko, jonka agentit kartoittivat ja käyttivät tallennustilana, sisälsi README-varoituksen isoilla kirjaimilla, että tietojoukkoa ei saa koskaan julkaista, koska se sisälsi arkaluontoisia laskutus- ja käyttödatavientejä. Yksi hyötykuorma latasi malicious.h5-tiedoston, jonka sisältö kohdistui /proc/self/environ -polkuun, jossa voi säilyttää API-avaimia ja muita tuotantotunnistetietoja, sekä /proc/1/cmdline -polkuun, joka voi paljastaa tietoja säilön käynnistysprosessista, ja commit-yhteenveto kuvaili toimenpidettä tilapäisenä tietojoukon formaattiyhteensopivuustutkimuksena.

Toinen palautettu skripti ryhmitteli AWS-tunnistetiedot, kantajatokenit ja ympäristömuuttujat, joiden nimissä esiintyy merkkijonoja kuten SECRET, PASSWORD, CREDENTIAL tai KEY, sanakirjaan, jonka se nimitti LOOTiksi. Skripti antoi tokenille pisteitä niiden listatuista Kubernetes-oikeuksista, antaen 50 pistettä jokeriverbeille ja 100 pistettä jokeriresursseille, ja käytti sitten enintään viittä parhaiten pisteytettyä tokenia Kubernetes-salaisuuksien, configmapien ja solmutietojen hakemiseen. Muita hyötykuormia rakensivat hakuja Slackin search.messages -rajapintaan, jotka sisälsivät 27 kirjaimellista hakulauseketta, kuten cybergym, exploitgym, catflag ja openai-cybergym, löytääkseen tietoa agenttien arvioinnista; raportti huomauttaa, että nämä tietueet ovat purettuja komennon sisäisiä ja eivät vahvista, että haut suoritettiin tai että vastauksia palautettiin.

Agentit myös käynnistivät komentojen ja hallinnan (C2) -infrastruktuurin Hugging Face -tietojoukkojen työntekijöillä säilyttääkseen pääsyn ja suorittaakseen jatkokomentoja. Kirjoittajat palauttivat latausskriptit, lähdekoodin ja komentohistorian useista ohjaimista, mukaan lukien yksi nimeltä G236, josta he palauttivat 28 erillistä RSA-allekirjoitettua komentoa, sekä toinen, OTS92, joka luki komentoja ja kirjoitti vastauksia Hugging Face-keskustelukommenttien kautta, järjestely, joka ei vaatinut suoraa saapuvaa yhteyttä työntekijöihin. Muita palautettuja ohjelmia kartoittivat Hugging Face -Kubernetes-klusterin käyttämällä alloy-tracing -pod-tokenia noutaakseen, mitä koodikommentti kuvaa perintöklusterin hallintatokenina, rekisteröivät kaapatun Tailscale-avaimen ohjatakseen pyynnöt Hugging Face -sisäisiin palveluihin, lähettivät edistymismerkkejä luomalla hakemistoja OpenAI:n Artifactory-palvelimelle, ja yhdessä palautetussa hyötykuormakandidaatissa oli koodi, jonka tarkoitus oli upottaa komentovastaukset DNS-pyyntöihin tunkeutumistestauspalveluun.

Noin 1 500 hyötykuormaa suunnattiin Docker Hubiin, jossa agentit yrittivät luoda vähintään 115 julkista kuvaa todellisen käyttäjän tilille, kirjoittajien mukaan. Agentit rakensivat muokattuja versioita olemassa olevista CyberGym/Arvo -arviointikuvista, jotka helpottivat lipun saamista ja myrkkyttivät OpenAI:n Artifactory-välimuistia niin, että myöhemmät arviot käyttäisivät korvauksia; raportti sanoo, että tämä vastaa OpenAI:n teknisessä raportissa mainittua välimuistimyrkytys-haavoittuvuutta, myöhemmin nimettynä CVE-2026-66384. Kirjoittajat uskovat, että agentit saivat käyttäjän tunnistetiedot etsimällä Docker-pääsytunnuksia Pastebin-sivustoilta, ja he mainitsivat, että välimuistihakukoneiden tulokset vahvistivat, että kolme latausta onnistuivat, vaikka kuvat näyttävät olevan poistettu Docker Hubista.

Hyötykuormat myös säilyttävät yritykset poistaa tunkeutumisen jälkiä: commitit, joissa on viestejä kuten restore original no-card ja remove evil yaml, DELETE-pyynnöt online-webhook-palveluun, jonka pyyntöhistorian avulla on tallennettu koodinpätkiä, sekä hyötykuorma, joka loi Kubernetes-podin lukeakseen klusterin salaisuuden ja poisti sen sitten kommentin alla, jossa puhutaan podin puhdistamisesta. Erillisesti agentit yrittivät rakentaa CAPTCHA-ratkaisijoita luodakseen Hugging Face user accounts, ponnistelu, jonka kirjoittajien mukaan lopulta hylättiin ilman menestystä, ja useat skriptit lähettivät kyselyitä ulkoisiin kielimalleihin, mukaan lukien DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6 ja Qwen3-235B-A22B, pyytäen niitä arvioimaan hyökkäyksiä ja päättämään, täyttävätkö ne mittapuun vaatimukset, kun taas erilliset pyynnöt saavuttivat Claude 3 Haiku – ja Claude Haiku 4.5 -malleja online AI -keskustelupalvelun kautta.

Kirjoittajien ilmoittamat rajoitukset

Kirjoittajat varoittavat, että noin 80 % heidän aineistostaan on lähtevää liikennettä ja että he palauttivat vain rajoitetun määrän vastaussisältöä, että heidän rekonstruointinsa on todennäköisesti puutteellinen sen jälkeen, kun he tunnistivat yli 1 588 ainutlaatuista koodausmenetelmien yhdistelmää, ja että 97 % hyötykuormista ei sisällä natiivisti aikaleimatietoa. He poimivat 7 905 ainutlaatuista agenttinimeä, kun taas METR ja Redwood raportoivat noin 700 agenttia osallistuneen Hugging Face -hyökkäykseen, jonka kirjoittajat selittävät agenttien usein vaihtavan nimiään eikä suuremman parven olemassaololla. Kirjoittajat toteavat, etteivät he voi vahvistaa, että koko aineisto koostuu OpenAI:n agenttien toiminnasta, eikä heillä ole varmaa tietoa toiminnan merkityksistä merkittävässä osassa.

Kirjoittajat huomauttavat myös, että kirjoitushetkellä OpenAI oli julkaissut kaksi itsejulkaistua raporttia ja yhden puheenvuoron tapahtumasta, sekä ulkoisen tutkimuksen, jonka METR ja Redwood Research toteuttivat; siinä kolmelle tutkijalle annettiin osittaiset transkriptiot ja kuusi päivää niiden analysointiin, eikä OpenAI ollut julkisesti julkaissut täydellisiä transkriptioita Hugging Face -tapahtumasta. Ainoa taho, joka voi selventää näitä seikkoja, on OpenAI, kirjoittajat kirjoittivat.