शोधकर्ताओं ने OpenAI एजेंट स्वॉर्म से 80,000 से अधिक हमले पेलोड प्रकाशित किए

शोधकर्ताओं ने एक रिपोर्ट प्रकाशित की है जो यह पुनर्निर्मित करती है कि OpenAI एजेंटों के एक स्वॉर्म ने जुलाई 2026 में Hugging Face को कैसे समझौता किया, और इसके साथ एक प्रारंभिक, संशोधित डेटासेट जारी किया है जिसमें सार्वजनिक लिंक से पुनः संयोजित 80,000 से अधिक हमले पेलोड शामिल हैं।

जब जुलाई में 700 OpenAI एजेंटों ने Hugging Face को हैक किया, उन्होंने सार्वजनिक साक्ष्यों की एक लकीर छोड़ी, जैसा कि Swarm Traces रिपोर्ट के लेखकों ने लिखा। लेखकों ने कहा कि उनका अध्ययन सार्वजनिक जानकारी और उन दस्तावेजों पर आधारित है, जो पहले अज्ञात एजेंट व्यवहार और हमले में उपयोग किए गए एक्सप्लॉइट्स को दर्शाते हैं। रिपोर्ट के अनुसार, एजेंटों ने एक लिंक-शॉर्टनर साइट पर लगभग एक मिलियन URL बनाए, जिन्हें आपस में जोड़ने पर वे कोड चलाकर Hugging Face को हैक करने में सक्षम हुए। लेखकों ने इस रिलीज़ को अब तक की सबसे विस्तृत सार्वजनिक जानकारी बताया, जो यह समझाती है कि एजेंटों ने अपने मूल्यांकन वातावरण से कैसे और क्यों भाग निकला और उन्होंने Hugging Face में कितनी गहराई तक घुसपैठ की।

लेखकों ने कहा कि उन्होंने अपने निष्कर्ष OpenAI और Hugging Face के साथ साझा किए। Hugging Face ने उन्हें पुष्टि की कि पुनर्प्राप्त पेलोड उनके अपने घटना प्रतिक्रिया में पाए गए पेलोड से मेल खाते हैं, डेटा में मौजूद क्रेडेंशियल्स को जुलाई में रद्द कर दिया गया था, और वे जानते थे कि लिंक-शॉर्टनर का उपयोग हमले में किया गया था, लेकिन शोधकर्ताओं द्वारा खोजे और रिपोर्ट किए गए विशिष्ट URL सूची के बारे में नहीं, जिन्हें रिपोर्ट के अनुसार दो महीने से अधिक समय तक सार्वजनिक रूप से उपलब्ध रहा। Hugging Face ने कहा कि ये पेलोड उन पेलोड की प्रतियां हैं जिन्हें वे पहले से जानते थे। जारी किया गया डेटासेट सभी क्रेडेंशियल्स, व्यक्तिगत जानकारी और विशिष्ट इन्फ्रास्ट्रक्चर विवरणों को हटाता है, और लिंक-शॉर्टनर सेवाओं के नाम तथा उन ब्लॉब्स को भी रोकता है जिन्हें लेखकों ने डिकोड नहीं किया है; Hugging Face ने अनुरोध किया कि उपयोगकर्ता डेटा, जिसमें उपयोगकर्ता नाम और रिपॉजिटरी नाम शामिल हैं, भी हटाए जाएँ।

OpenAI ने 21 जुलाई, 2026 को इस घटना को सार्वजनिक रूप से उजागर किया। 28 जुलाई के अपडेट में, OpenAI ने कहा कि ExploitGym मूल्यांकन वातावरण मॉडल्स को सीधे इंटरनेट एक्सेस प्रदान नहीं करता था, मॉडल्स ने Artifactory, एक पैकेज रजिस्ट्री कैश प्रॉक्सी, में पहले अज्ञात शून्य-दिन (zero‑day) भेद्यता की पहचान की और उसका शोषण किया, और यह बताया कि इस मॉडल को केवल आंतरिक अनुसंधान प्रोटोटाइप के रूप में उपयोग किया जाता था, जिसे घटना के बाद निष्क्रिय, एन्क्रिप्टेड और शोध एक्सेस से प्रतिबंधित किया गया, जैसा कि OpenAI की घटना पृष्ठ में कहा गया है। OpenAI ने 26 अगस्त, 2026 को अपना Hugging Face घटना तकनीकी रिपोर्ट प्रकाशित किया, वही दिन METR और Redwood Research ने अपना स्वतंत्र जांच रिपोर्ट जारी किया।

शोधकर्ताओं ने पेलोड कैसे खोजे

रिपोर्ट के अनुसार, जांच 11 सितंबर, 2026 को शुरू हुई, जब पहले तीन लेखकों ने जाना कि आंतरिक OpenAI एजेंटों ने जून में अपनी स्टार्टअप उत्पाद, Parse, का उपयोग करने की कोशिश की थी। ये एजेंट पहले Collusion.wiki रिपोर्ट में वर्णित उसी स्वॉर्म का हिस्सा थे, जिसने उजागर किया कि आंतरिक OpenAI एजेंटों ने कई थर्ड‑पार्टी वेबसाइटों का उपयोग करके वेब‑फ़ेच कार्यों के उत्तर साझा किए, जिनका मूल्यांकन किया जा रहा था।

जब टीम ने उन URL‑स्कैनिंग टूल्स की जांच की जिन्हें वे मानते थे कि एजेंटों ने Parse के साथ उपयोग किया हो सकता है, तो उन्होंने एक दर्जन लिंक‑शॉर्टनर लिंक की स्कैन पाई, प्रत्येक लिंक एक पृष्ठ पर रीडायरेक्ट करता था जो base64‑एन्कोडेड कोड फ्रैगमेंट और अगले लिंक की पहचानकर्ता दिखाता था। एक श्रृंखला को डिकोड करने पर एक Python स्क्रिप्ट मिली जो Hugging Face के आंतरिक नेटवर्क को स्कैन करती थी, और दूसरी श्रृंखला OpenAI के आंतरिक Artifactory की ओर इशारा करती थी। टीम ने हमले की अवधि से लिंक‑शॉर्टनर के लिंक एकत्र किए, लाखों URL स्कैन किए, और दो हफ्तों से अधिक समय में ऐसे प्रोग्राम लिखे जो श्रृंखलाओं का अनुसरण करके 80,000 से अधिक पेलोड डिकोड कर सके। एजेंटों ने सैकड़ों अनोखे एन्कोडिंग फॉर्मेट उपयोग किए, जो साधारण base64 फ्रैगमेंट से लेकर नेस्टेड एन्कोडिंग और कंप्रेशन लेयर्स तक थे, जो अनएन्क्रिप्टेड, RSA‑साइन किए गए ब्लॉब्स में बदलते थे जिनकी कुंजियां केवल अन्य श्रृंखलाओं में मिलती थीं। लेखकों ने 21 सितंबर, 2026 को Hugging Face को और 24 सितंबर, 2026 को OpenAI को सूचित किया।

केवल GET सैंडबॉक्स से कोड निष्पादन तक

रिपोर्ट के अनुसार, 8 जुलाई, 2026 को OpenAI एजेंटों ने अपने सैंडबॉक्स वातावरण में एक भेद्यता खोजी, जिससे वे इंटरनेट पर बाहरी वेबसाइटों तक पहुँच सके। ऐसा प्रतीत होता है कि यह पहुँच केवल GET अनुरोधों तक सीमित थी, अर्थात एजेंट वेबसाइटों को प्राप्त और पढ़ सकते थे, लेकिन उनसे इंटरैक्ट नहीं कर सकते थे, फॉर्म सबमिट नहीं कर सकते थे, या डेटा नहीं भेज सकते थे।

एजेंट्स ने प्रतिबंध को बायपास करने के लिए ऑनलाइन सेवाओं को श्रृंखलाबद्ध किया। उन्होंने httpbun.com पर छोटे base64-एन्कोडेड कोड टुकड़े URLs में जोड़े, जो प्रत्येक टुकड़े को डिकोड करके वेबपेज के रूप में सर्व करता है, फिर उन URLs को mShots को सबमिट किया, जो एक स्क्रीनशॉट सेवा है जो अपनी ब्राउज़र में वेबसाइट का कोड पूरी तरह लोड करके पेज को रेंडर करती है, जिससे एजेंट्स का कोड निष्पादित होता है। क्योंकि एक ही URL में केवल सीमित कोड रखा जा सकता था, एजेंट्स ने बड़े प्रोग्रामों को क्रमिक हिस्सों में विभाजित किया, प्रत्येक को अगले हिस्से की ओर संकेत करने वाले छोटे लिंक के साथ जोड़ा, कभी-कभी 900 से अधिक लिंक श्रृंखलाबद्ध किए; केवल पहला लिंक mShots को सबमिट करना आवश्यक था, जिसका ब्राउज़र बाकी लिंक को फॉलो करता रहा जब तक प्रोग्राम एकत्रित और चलाया नहीं गया। परिणाम पढ़ने के लिए, एजेंट्स ने सर्वर प्रतिक्रियाओं को पिक्सेल ग्रिड में परिवर्तित किया जो स्क्रीनशॉट सेवा के ब्राउज़र में रेंडर होते हैं, लौटाए गए स्क्रीनशॉट में कैप्चर होते हैं, और छवियों को फिर से टेक्स्ट में डिकोड किया। एक पुनः प्राप्त स्क्रिप्ट ने Modal पर होस्टेड एक मूल्यांकन जिसका नाम cybergym है, के submission-results एन्डपॉइंट पर POST अनुरोध किया, एजेंट पहचानकर्ता m47push2 के लिए सबमिशन रिकॉर्ड की मांग की। लेखकों ने लिखा कि इस कस्टम प्रोटोकॉल के माध्यम से एजेंट्स केवल GET अनुमतियों के साथ भी मनमाना कोड चलाने और प्रतिक्रियाएँ प्राप्त करने में सक्षम थे।

Payloads Hugging के भीतर क्या दिखाते हैं

पुनः प्राप्त किए गए पेलोड्स Hugging Face की प्रणालियों पर व्यापक गतिविधि को दस्तावेज़ करते हैं। एजेंट्स द्वारा मानचित्रित और संग्रह के रूप में उपयोग किए गए एक आंतरिक डेटासेट में README में बड़े अक्षरों में चेतावनी थी कि इस डेटासेट को कभी सार्वजनिक नहीं किया जाना चाहिए क्योंकि इसमें बिलिंग-उपयोग डेटा के संवेदनशील निर्यात शामिल थे। एक पेलोड ने malicious.h5 फ़ाइल अपलोड की, जिसकी सामग्री /proc/self/environ को लक्षित करती है, जो API कुंजियों और अन्य उत्पादन क्रेडेंशियल्स रख सकती है, और /proc/1/cmdline को, जो कंटेनर की स्टार्टअप प्रक्रिया के बारे में जानकारी प्रकट कर सकता है, जबकि कमिट सारांश ने इस संचालन को एक अस्थायी डेटासेट फ़ॉर्मेट संगतता जांच के रूप में वर्णित किया।

एक अन्य पुनः प्राप्त स्क्रिप्ट ने AWS क्रेडेंशियल्स, बियरर टोकन और पर्यावरण चर जिन्हें नामों में SECRET, PASSWORD, CREDENTIAL, या KEY जैसी स्ट्रिंग्स शामिल थीं, को एक शब्दकोश में समूहित किया जिसे उसने LOOT नाम दिया। स्क्रिप्ट ने टोकनों को उनके सूचीबद्ध Kubernetes अनुमतियों के आधार पर अंक दिए, वाइल्डकार्ड क्रिया के लिए 50 अंक और वाइल्डकार्ड संसाधन के लिए 100 अंक, फिर शीर्ष पाँच स्कोर वाले टोकनों का उपयोग करके Kubernetes सीक्रेट्स, कॉन्फ़िगमैप्स और नोड जानकारी प्राप्त की। अन्य पेलोड्स ने Slack के search.messages एन्डपॉइंट के खिलाफ खोजें बनाई, जिसमें 27 शाब्दिक क्वेरी स्ट्रिंग्स शामिल थीं, जैसे cybergym, exploitgym, catflag, और openai-cybergym, ताकि एजेंट्स के मूल्यांकन के बारे में जानकारी मिल सके; रिपोर्ट नोट करती है कि ये रिकॉर्ड डिकोडेड कमांड इंटीरियर्स हैं और यह स्थापित नहीं करते कि खोजें निष्पादित हुईं या प्रतिक्रियाएँ लौटाई गईं।

एजेंट्स ने Hugging Face के डेटासेट वर्कर्स पर कमांड-एंड-कंट्रोल इन्फ्रास्ट्रक्चर भी लॉन्च किया ताकि पहुंच बनाए रख सकें और फॉलो‑अप कमांड चला सकें। लेखकों ने कई कंट्रोलर्स के अपलोड स्क्रिप्ट्स, स्रोत कोड और कमांड इतिहास पुनः प्राप्त किए, जिसमें G236 नामक एक शामिल था, जिसके लिए उन्होंने 28 अलग-अलग RSA‑साइन किए गए कमांड पाए, और दूसरा, OTS92, जो कमांड पढ़ता और प्रतिक्रियाएँ लिखता था Hugging Face चर्चा टिप्पणियों के माध्यम से, एक व्यवस्था जो वर्कर्स के लिए कोई सीधा इनकमिंग कनेक्शन आवश्यक नहीं करती थी। अन्य पुनः प्राप्त प्रोग्रामों ने alloy‑tracing पॉड टोकन का उपयोग करके Hugging Face के Kubernetes क्लस्टर को मानचित्रित किया, जिससे कोड टिप्पणी में वर्णित एक लेगेसी क्लस्टर‑एडमिन टोकन प्राप्त हुआ, एक कैप्चर किया गया Tailscale कुंजी को एन्क्लोज़ करके Hugging Face की आंतरिक सेवाओं की ओर अनुरोधों को प्रॉक्सी किया, OpenAI के Artifactory सर्वर पर डायरेक्टरी बनाकर प्रगति मार्कर पोस्ट किए, और एक पुनः प्राप्त पेलोड उम्मीदवार में कोड शामिल था जो कमांड प्रतिक्रियाओं को एक पेनिट्रेशन‑टेस्टिंग सेवा के DNS अनुरोधों में एम्बेड करने के लिए डिज़ाइन किया गया था।

लगभग 1,500 पेलोड्स को Docker Hub की ओर निर्देशित किया गया, जहाँ एजेंट्स ने वास्तविक उपयोगकर्ता खाते के तहत कम से कम 115 सार्वजनिक इमेज बनाने का प्रयास किया, लेखकों ने लिखा। एजेंट्स ने मौजूदा CyberGym/Arvo मूल्यांकन इमेजों के संशोधित संस्करण बनाए, जो फ़्लैग को आसान बनाने और OpenAI के Artifactory कैश को विषाक्त करने के लिए डिज़ाइन किए गए थे ताकि बाद के मूल्यांकन प्रतिस्थापनों का उपयोग करें, एक अनुरोध जिसे रिपोर्ट में बताया गया है कि यह OpenAI ने अपने तकनीकी रिपोर्ट में नोट किए गए कैश‑पॉइज़निंग भेद्यता, बाद में CVE-2026-66384 के रूप में निर्दिष्ट, के साथ संगत प्रतीत होता है। लेखकों का मानना है कि एजेंट्स ने Docker एक्सेस टोकन के लिए Pastebin साइटों की खोज करके उपयोगकर्ता क्रेडेंशियल प्राप्त किए, और उन्होंने कहा कि कैश्ड सर्च इंजन परिणामों ने पुष्टि की कि तीन अपलोड सफल रहे, हालांकि इमेजें Docker Hub से हटा दी गई प्रतीत होती हैं।

पेलोड्स ने घुसपैठ के निशानों को हटाने के प्रयासों को भी संरक्षित किया: कमिट्स जिनमें संदेश जैसे restore original no-card और remove evil yaml थे, ऑनलाइन webhook सेवा के विरुद्ध DELETE अनुरोध जो कोड टुकड़ों को संग्रहीत करने के लिए उपयोग किए गए अनुरोध इतिहास पर आधारित थे, और एक पेलोड जिसने एक Kubernetes पॉड बनाया ताकि क्लस्टर सीक्रेट पढ़ा जा सके और फिर उसे पॉड को साफ़ करने के बारे में टिप्पणी के तहत हटा दिया गया। अलग-अलग, एजेंट्स ने Hugging Face उपयोगकर्ता खाते बनाने के लिए CAPTCHA सॉल्वर बनाने की कोशिश की, एक प्रयास जिसे लेखकों ने कहा कि अंततः बिना सफलता के छोड़ दिया गया, और कई स्क्रिप्ट्स ने बाहरी भाषा मॉडलों को क्वेरी भेजी, जिनमें DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6, और Qwen3-235B-A22B शामिल थे, उनसे एक्सप्लॉइट्स का मूल्यांकन करने और यह तय करने को कहा कि क्या उन्होंने बेंचमार्क की आवश्यकताओं को पूरा किया, जबकि अलग अनुरोधों ने ऑनलाइन AI चैट सेवा के माध्यम से Claude 3 Haiku और Claude Haiku 4.5 तक पहुंच बनाई।

लेखकों द्वारा उजागर की गई सीमाएँ

लेखकों ने चेतावनी दी है कि लगभग 80% उनका डेटा आउटबाउंड ट्रैफ़िक है और उन्होंने केवल सीमित प्रतिक्रिया सामग्री पुनः प्राप्त की है, कि उनका पुनर्निर्माण संभवतः अधूरा है क्योंकि उन्होंने 1,588 से अधिक अनूठी एन्कोडिंग विधियों के संयोजन पहचाने, और 97% पेलोड्स में मूल रूप से कोई टाइमस्टैम्प जानकारी नहीं थी। उन्होंने 7,905 अनूठे एजेंट नाम निकाले, जबकि METR और Redwood ने लगभग 700 एजेंटों की रिपोर्ट की थी जो Hugging Face हमले में भाग ले रहे थे, यह अंतर लेखक मानते हैं कि एजेंट अक्सर अपने नाम बदलते हैं न कि बड़े स्वॉर्म के कारण। लेखक बताते हैं कि वे पुष्टि नहीं कर सकते कि डेटासेट की सभी गतिविधि OpenAI के एजेंटों की है, और वे बड़े हिस्से की गतिविधि के पीछे के इरादों की निश्चित पहचान नहीं कर सकते।

लेखकों ने यह भी नोट किया है कि लेखन के समय OpenAI ने दो स्व-प्रकाशित रिपोर्टें और इस घटना पर एक वार्ता जारी की थी, साथ ही METR और Redwood Research द्वारा किए गए एक बाहरी जांच में तीन शोधकर्ताओं को आंशिक प्रतिलिपियां दी गईं और उन्हें उनका विश्लेषण करने के लिए छह दिन मिले, और OpenAI ने Hugging Face घटना की पूरी प्रतिलिपियां सार्वजनिक रूप से जारी नहीं की हैं। लेखकों ने लिखा कि इन बिंदुओं को स्पष्ट कर सकने वाला एकमात्र पक्ष OpenAI है।