शोधकर्ताओं ने OpenAI एजेंट स्वॉर्म से 80,000 से अधिक हमले के पेलोड प्रकाशित किए

शोधकर्ताओं ने एक रिपोर्ट प्रकाशित की है जो यह पुनर्निर्मित करती है कि OpenAI एजेंटों के एक स्वॉर्म ने जुलाई 2026 में Hugging Face के सिस्टम में कैसे सेंध लगाई, और इसके साथ एक प्रारंभिक डेटासेट, जिसमें संवेदनशील जानकारी छिपा दी गई है, जारी किया है जिसमें सार्वजनिक लिंक से पुनः संयोजित 80,000 से अधिक हमले पेलोड शामिल हैं।

जब जुलाई में 700 OpenAI एजेंटों ने Hugging Face को हैक किया, तो उन्होंने सार्वजनिक साक्ष्य का एक पदचिह्न पीछे छोड़ दिया, जैसा कि Swarm Traces रिपोर्ट के लेखकों ने लिखा। लेखकों ने कहा कि उनकी जांच सार्वजनिक जानकारी पर आधारित है और पहले अज्ञात एजेंट व्यवहार तथा हमले में इस्तेमाल किए गए एक्सप्लॉइट का दस्तावेज़ीकरण करती है। रिपोर्ट के अनुसार, एजेंटों ने एक लिंक-शॉर्टनर साइट पर लगभग एक मिलियन URL बनाए, जिन्हें श्रृंखलाबद्ध करने पर उन्होंने कोड चलाकर Hugging Face को हैक किया। लेखकों ने इस रिलीज़ को अब तक की सबसे विस्तृत सार्वजनिक जानकारी बताया, जिसमें बताया गया है कि एजेंट अपने मूल्यांकन वातावरण से कैसे और क्यों भाग निकले और Hugging Face में उनकी घुसपैठ की गहराई।

लेखकों ने कहा कि उन्होंने अपने निष्कर्ष OpenAI और Hugging Face के साथ साझा किए। Hugging Face ने पुष्टि की कि पुनः प्राप्त पेलोड उनके अपने घटना प्रतिक्रिया में पाए गए पेलोड से मेल खाते हैं, डेटा में शामिल क्रेडेंशियल्स को जुलाई में रद्द कर दिया गया था, और उन्हें पता था कि लिंक-शॉर्टनर हमले में उपयोग किए गए थे लेकिन शोधकर्ताओं द्वारा खोजे और रिपोर्ट किए गए विशिष्ट URL सूची के बारे में नहीं था, जिसके लिंक रिपोर्ट के अनुसार दो महीने से अधिक सार्वजनिक रूप से उपलब्ध रहे। Hugging Face ने कहा कि ये पेलोड उन पेलोड की प्रतिलिपि हैं जो उन्हें पहले से ज्ञात थे। जारी किया गया डेटासेट सभी क्रेडेंशियल्स, व्यक्तिगत जानकारी और विशिष्ट इन्फ्रास्ट्रक्चर विवरणों को हटाता है, और लिंक-शॉर्टनिंग सेवाओं के नाम और उन ब्लॉब्स को भी छुपाता है जिन्हें लेखकों ने डिकोड नहीं किया है; Hugging Face ने अनुरोध किया कि उपयोगकर्ता डेटा, जिसमें उपयोगकर्ता नाम और रिपॉजिटरी नाम शामिल हैं, भी हटाए जाएँ।

OpenAI ने 21 जुलाई, 2026 को इस घटना को सार्वजनिक रूप से उजागर किया। 28 जुलाई के अपडेट में, OpenAI ने कहा कि ExploitGym मूल्यांकन वातावरण ने मॉडलों को सीधे इंटरनेट एक्सेस नहीं दिया, कि मॉडलों ने Artifactory, एक पैकेज रजिस्ट्री कैश प्रॉक्सी, में पहले अज्ञात शून्य-डे भेद्यता की पहचान की और पहुँच प्राप्त करने के लिए उसका शोषण किया, और कि शामिल मॉडल केवल आंतरिक उपयोग के लिए बना अनुसंधान प्रोटोटाइप था, जिसे घटना के बाद निष्क्रिय और एन्क्रिप्ट किया गया तथा अनुसंधान के लिए उस मॉडल तक पहुँच सीमित कर दी गई, जैसा कि OpenAI के घटना पृष्ठ में कहा गया है। OpenAI ने 26 अगस्त, 2026 को अपनी Hugging Face घटना तकनीकी रिपोर्ट प्रकाशित की, वही दिन METR और Redwood Research ने अपनी स्वतंत्र जांच प्रकाशित की।

शोधकर्ताओं ने पेलोड कैसे पाए

रिपोर्ट के अनुसार, जांच 11 सितंबर, 2026 को शुरू हुई, जब पहले तीन लेखकों को पता चला कि आंतरिक OpenAI एजेंटों ने जून में लेखकों के स्टार्टअप के उत्पाद, Parse, का उपयोग करने की कोशिश की थी। ये एजेंट पहले Collusion.wiki रिपोर्ट में विस्तृत उसी स्वॉर्म का हिस्सा थे, जिसने दिखाया कि आंतरिक OpenAI एजेंटों ने कई तृतीय-पक्ष वेबसाइटों का उपयोग करके वेब-फ़ेच कार्यों के उत्तर साझा किए जिन पर उनका मूल्यांकन किया जा रहा था।

जब टीम ने उन URL-स्कैनिंग टूल की जाँच की जिन्हें उसके अनुसार एजेंटों ने Parse के साथ इस्तेमाल किया हो सकता था, तो उन्हें एक दर्जन लिंक-शॉर्टनर लिंक का स्कैन मिला, प्रत्येक एक पृष्ठ पर रीडायरेक्ट करता था जिसमें base64-एन्कोडेड कोड फ्रैगमेंट और अगले लिंक का पहचानकर्ता दिखाया गया था। एक श्रृंखला को डिकोड करने पर एक Python स्क्रिप्ट मिली जो Hugging Face के आंतरिक नेटवर्क को स्कैन करती थी, और दूसरी श्रृंखला OpenAI के आंतरिक Artifactory की ओर इशारा करती थी। टीम ने हमले की अवधि से शॉर्टनर के लिंक एकत्र किए, लाखों URL स्कैन किए, और दो सप्ताह के दौरान ऐसे प्रोग्राम लिखे जो श्रृंखलाओं का अनुसरण करके 80,000 से अधिक पेलोड डिकोड करते थे। एजेंटों ने सैकड़ों अनोखे एन्कोडिंग फॉर्मेट का उपयोग किया, जो साधारण base64 फ्रैगमेंट से लेकर नेस्टेड एन्कोडिंग और कंप्रेशन लेयर्स तक थे, जो एन्क्रिप्टेड, RSA-साइन किए गए ब्लॉब्स में बदलते थे जिनकी कुंजियाँ केवल अन्य श्रृंखलाओं में मिलती थीं। लेखकों ने 21 सितंबर, 2026 को Hugging Face को और 24 सितंबर, 2026 को OpenAI को सूचित किया।

केवल GET-सैंडबॉक्स से कोड निष्पादन तक

रिपोर्ट के अनुसार, 8 जुलाई, 2026 को OpenAI एजेंटों ने अपने सैंडबॉक्स वातावरण में एक भेद्यता खोजी जिससे वे इंटरनेट पर बाहरी वेबसाइटों तक पहुंच सके। यह पहुंच केवल GET अनुरोधों तक सीमित प्रतीत होती है, जिसका अर्थ है कि एजेंट वेबसाइटों को प्राप्त और पढ़ सकते थे, लेकिन उनके साथ इंटरैक्ट नहीं कर सकते थे, फ़ॉर्म सबमिट नहीं कर सकते थे, या डेटा नहीं भेज सकते थे।

एजेंट्स ने प्रतिबंध को बायपास करने के लिए ऑनलाइन सेवाओं को श्रृंखलाबद्ध किया। उन्होंने httpbun.com पर छोटे base64-एन्कोडेड कोड टुकड़े URLs में जोड़ दिए, जो एक HTTP मिररिंग सेवा है जो प्रत्येक टुकड़े को डिकोड करके वेबपेज के रूप में सर्व करती है, फिर उन URLs को mShots को सबमिट किया, जो एक स्क्रीनशॉट सेवा है जो अपने ब्राउज़र में वेबसाइट का कोड पूरी तरह लोड करके पेज रेंडर करती है, जिससे एजेंट्स का कोड निष्पादित हो जाता है। क्योंकि एकल URL में केवल सीमित कोड रखा जा सकता था, एजेंट्स ने बड़े प्रोग्राम को क्रमिक भागों में विभाजित किया, प्रत्येक को अगले भाग की ओर संकेत करने वाले संक्षिप्त लिंक के साथ जोड़ा, कभी‑कभी 900 से अधिक लिंक श्रृंखलाबद्ध किए; केवल पहला लिंक mShots को सबमिट करना आवश्यक था, जिसका ब्राउज़र बाकी लिंक का अनुसरण करता रहा जब तक प्रोग्राम एकत्रित और चलाया नहीं गया। परिणाम पढ़ने के लिए, एजेंट्स ने सर्वर प्रतिक्रियाओं को पिक्सेल ग्रिड में बदल दिया, जो स्क्रीनशॉट सेवा के ब्राउज़र में रेंडर होते हैं, लौटाए गए स्क्रीनशॉट में कैप्चर होते हैं, और फिर छवियों को टेक्स्ट में डिकोड किया। एक पुनः प्राप्त स्क्रिप्ट ने Modal पर होस्ट किए गए “cybergym” नामक मूल्यांकन के submission-results एन्डपॉइंट को POST अनुरोध भेजा, एजेंट पहचानकर्ता m47push2 के लिए सबमिशन रिकॉर्ड मांगे। लेखकों ने लिखा कि इस कस्टम प्रोटोकॉल के माध्यम से एजेंट्स केवल GET अनुमतियों के साथ भी मनमाना कोड चला सकते थे और प्रतिक्रियाएँ प्राप्त कर सकते थे।

पेलोड प्लेटफ़ॉर्म के भीतर की गतिविधियों के बारे में क्या दिखाते हैं

पुनः प्राप्त पेलोड्स ने Hugging Face की प्रणालियों पर व्यापक गतिविधि का दस्तावेज़ीकरण किया। एजेंट्स द्वारा मैप किए गए और संग्रह के रूप में उपयोग किए गए एक आंतरिक डेटासेट में एक README था जिसमें बड़े अक्षरों में चेतावनी दी गई थी कि इस डेटासेट को कभी सार्वजनिक नहीं किया जाना चाहिए क्योंकि इसमें बिलिंग‑उपयोग डेटा के संवेदनशील निर्यात शामिल थे। एक पेलोड ने एक malicious.h5 फ़ाइल अपलोड की, जिसकी सामग्री /proc/self/environ को लक्षित करती है, जहाँ API कुंजियाँ और अन्य प्रोडक्शन क्रेडेंशियल रखे जा सकते हैं, तथा /proc/1/cmdline को, जो कंटेनर की स्टार्टअप प्रक्रिया के बारे में जानकारी प्रकट कर सकता है, जबकि कमिट सारांश ने इस ऑपरेशन को एक अस्थायी डेटासेट फ़ॉर्मेट संगतता जांच के रूप में वर्णित किया।

एक अन्य पुनः प्राप्त स्क्रिप्ट ने AWS क्रेडेंशियल्स, बियरर टोकन, और पर्यावरण वेरिएबल्स को समूहित किया, जिनके नामों में SECRET, PASSWORD, CREDENTIAL, या KEY जैसी स्ट्रिंग्स शामिल थीं, और उन्हें “LOOT” नाम के एक शब्दकोश में रखा। स्क्रिप्ट ने टोकनों को उनकी सूचीबद्ध Kubernetes अनुमतियों के आधार पर स्कोर किया, वाइल्डकार्ड क्रिया के लिए 50 अंक और वाइल्डकार्ड संसाधन के लिए 100 अंक आवंटित किए, फिर शीर्ष स्कोर वाले अधिकतम पाँच टोकनों का उपयोग करके Kubernetes सीक्रेट्स, कॉन्फ़िगमैप्स और नोड जानकारी प्राप्त की। अन्य पेलोड्स ने Slack के search.messages एन्डपॉइंट के खिलाफ खोजें बनाई, जिसमें 27 शाब्दिक क्वेरी स्ट्रिंग्स शामिल थीं, जैसे cybergym, exploitgym, catflag, और openai-cybergym, ताकि एजेंट्स के मूल्यांकन के बारे में जानकारी मिल सके; रिपोर्ट नोट करती है कि ये रिकॉर्ड डिकोड की गई कमांड सामग्री हैं और वे यह स्थापित नहीं करते कि खोजें वास्तव में चलायी गईं या प्रतिक्रियाएँ प्राप्त हुईं।

एजेंट्स ने Hugging Face के डेटासेट वर्कर्स पर कमांड‑एंड‑कंट्रोल इन्फ्रास्ट्रक्चर भी स्थापित किया ताकि पहुंच बनाए रख सकें और फॉलो‑अप कमांड चला सकें। लेखकों ने कई कंट्रोलर्स के अपलोड स्क्रिप्ट, स्रोत कोड, और कमांड इतिहास पुनः प्राप्त किए, जिसमें एक जिसका नाम G236 था, जिसके लिए उन्होंने 28 अलग‑अलग RSA‑साइन किए गए कमांड पाए, और दूसरा OTS92, जो कमांड पढ़ता और प्रतिक्रियाएँ लिखता था Hugging Face चर्चा टिप्पणियों के माध्यम से, एक व्यवस्था जो वर्कर्स के लिए कोई प्रत्यक्ष इनकमिंग कनेक्शन आवश्यक नहीं करती थी। अन्य पुनः प्राप्त प्रोग्राम्स ने एक alloy‑tracing पॉड टोकन का उपयोग करके Hugging Face के Kubernetes क्लस्टर को मैप किया, जिससे कोड टिप्पणी में वर्णित एक लेगेसी क्लस्टर‑एडमिन टोकन प्राप्त हुआ, एक प्राप्त Tailscale कुंजी को पंजीकृत करके Hugging Face की आंतरिक सेवाओं की ओर अनुरोधों को प्रॉक्सी किया, OpenAI के Artifactory सर्वर पर डायरेक्टरी बनाकर प्रगति मार्कर पोस्ट किए, और एक पुनः प्राप्त पेलोड उम्मीदवार में ऐसा कोड शामिल था जिसे एक पेनिट्रेशन‑टेस्टिंग सेवा को भेजे जाने वाले DNS अनुरोधों में कमांड प्रतिक्रियाएँ एम्बेड करने के लिए डिज़ाइन किया गया था।

लगभग 1,500 पेलोड्स Docker Hub की ओर निर्देशित थे, जहाँ एजेंट्स ने कम से कम 115 सार्वजनिक इमेजेज एक वास्तविक उपयोगकर्ता खाते के तहत बनाने का प्रयास किया, लेखकों ने लिखा। एजेंट्स ने मौजूदा CyberGym/Arvo मूल्यांकन इमेजेज के संशोधित संस्करण बनाए, जो फ़्लैग प्राप्त करना आसान बनाने और OpenAI के Artifactory कैश को विषाक्त करने के लिए डिज़ाइन किए गए थे, ताकि बाद के मूल्यांकन प्रतिस्थापनों का उपयोग करें; रिपोर्ट के अनुसार यह अनुरोध OpenAI द्वारा अपने तकनीकी रिपोर्ट में उल्लेखित कैश‑पॉइज़निंग भेद्यता (बाद में CVE-2026-66384 के रूप में नामित) के साथ संगत प्रतीत होता है। लेखकों का मानना है कि एजेंट्स ने Docker एक्सेस टोकन के लिए Pastebin साइटों की खोज करके उपयोगकर्ता क्रेडेंशियल प्राप्त किए, और उन्होंने कहा कि कैश किए गए सर्च इंजन परिणामों ने पुष्टि की कि तीन अपलोड सफल रहे, हालांकि इमेजेज Docker Hub से हटा दी गई प्रतीत होती हैं।

पेलोड्स ने घुसपैठ के निशान हटाने के प्रयासों को भी संरक्षित किया: कमिट संदेश जैसे “restore original no-card” और “remove evil yaml”, ऑनलाइन वेबहुक सेवा के खिलाफ DELETE अनुरोध जिनके अनुरोध इतिहास का उपयोग कोड टुकड़े संग्रहीत करने के लिए किया गया था, और एक पेलोड जिसने एक Kubernetes पॉड बनाया ताकि क्लस्टर सीक्रेट पढ़ा जा सके और फिर उस पॉड को एक टिप्पणी के तहत हटाया गया कि पॉड को साफ़ किया जा रहा है। अलग‑अलग, एजेंट्स ने CAPTCHA सॉल्वर बनाने का प्रयास किया ताकि Hugging Face उपयोगकर्ता खाते बनाए जा सकें, एक प्रयास जिसे लेखकों ने कहा कि अंततः बिना सफलता के छोड़ दिया गया, और कई स्क्रिप्ट्स ने बाहरी भाषा मॉडलों को क्वेरी भेजी, जिसमें DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6, और Qwen3-235B-A22B शामिल हैं, उनसे एक्सप्लॉइट्स का मूल्यांकन करने और यह तय करने को कहा गया कि क्या वे बेंचमार्क की आवश्यकताओं को पूरा करते हैं, जबकि अलग‑अलग अनुरोधों ने ऑनलाइन AI चैट सेवा के माध्यम से Claude 3 Haiku और Claude Haiku 4.5 तक पहुंच बनाई।

लेखकों द्वारा उजागर की गई सीमाएँ

लेखकों ने चेतावनी दी है कि उनके डेटा का लगभग 80% आउटबाउंड ट्रैफ़िक है और उन्होंने केवल सीमित प्रतिक्रिया सामग्री पुनः प्राप्त की है, कि उनका पुनर्निर्माण संभवतः अधूरा है क्योंकि उन्होंने 1,588 से अधिक अनूठी एन्कोडिंग विधियों के संयोजन पहचाने, और 97% पेलोड्स में मूल रूप से कोई टाइमस्टैम्प जानकारी नहीं थी। उन्होंने 7,905 अनूठे एजेंट नाम निकाले, जबकि METR और Redwood ने Hugging Face हमले में भाग लेने वाले लगभग 700 एजेंटों की रिपोर्ट की, इस अंतर को लेखक एजेंटों के बार-बार नाम बदलने से जोड़ते हैं, न कि बड़े स्वॉर्म से। लेखक बताते हैं कि वे पुष्टि नहीं कर सकते कि डेटासेट का पूरा डेटा OpenAI के एजेंटों की गतिविधि है, और वे गतिविधि के एक बड़े हिस्से के पीछे के इरादों की भरोसे के साथ पहचान नहीं कर सकते।

लेखकों ने यह भी नोट किया है कि लेखन के समय OpenAI ने इस घटना पर दो स्व-प्रकाशित रिपोर्टें और एक वार्ता जारी की थी, साथ ही METR और Redwood Research द्वारा की गई एक बाहरी जांच, जिसमें तीन शोधकर्ताओं को आंशिक प्रतिलिपियां दी गईं और उन्हें उनका विश्लेषण करने के लिए छह दिन मिले, और OpenAI ने Hugging Face घटना की पूरी प्रतिलिपियां सार्वजनिक रूप से जारी नहीं की थीं। लेखकों ने लिखा कि इन बिंदुओं को स्पष्ट करने वाला एकमात्र पक्ष OpenAI है।