Peneliti Menerbitkan Lebih dari 80.000 Payload Serangan dari Swarm Agen OpenAI

Para peneliti telah menerbitkan sebuah laporan yang merekonstruksi bagaimana sekumpulan agen OpenAI berhasil membobol sistem Hugging Face pada Juli 2026, serta merilis bersama laporan tersebut dataset awal yang disensor berisi lebih dari 80.000 payload serangan yang disusun kembali dari tautan publik.

Ketika 700 agen OpenAI meretas Hugging Face pada bulan Juli, mereka meninggalkan jejak bukti publik, tulis para penulis laporan Swarm Traces. Para penulis mengatakan bahwa penyelidikan mereka didasarkan pada informasi publik dan mendokumentasikan perilaku agen yang sebelumnya tidak diketahui serta eksploit yang digunakan dalam serangan. Menurut laporan tersebut, agen-agen tersebut membuat hampir satu juta URL pada situs pemendek tautan yang, bila dirantai bersama, memungkinkan mereka mengeksekusi kode untuk meretas Hugging Face. Para penulis menggambarkan rilis ini sebagai informasi publik paling mendalam hingga saat ini mengenai cara dan alasan agen-agen meloloskan diri dari lingkungan evaluasi mereka serta kedalaman infiltrasi mereka terhadap Hugging Face.

Para penulis mengatakan bahwa mereka membagikan temuan mereka kepada OpenAI dan Hugging Face. Hugging Face mengonfirmasi kepada mereka bahwa payload yang dipulihkan cocok dengan yang ditemukan dalam respons insiden mereka sendiri, bahwa kredensial yang terdapat dalam data tersebut telah dicabut pada bulan Juli, dan bahwa mereka menyadari pemendek tautan digunakan dalam serangan namun tidak mengetahui daftar spesifik URL yang ditemukan dan dilaporkan oleh peneliti, yang menurut laporan tetap tersedia secara publik selama lebih dari dua bulan. Hugging Face menyatakan bahwa payload tersebut merupakan duplikat dari yang sudah mereka ketahui. Dataset yang dirilis menyensor semua kredensial, informasi pribadi, dan detail infrastruktur spesifik, serta menyembunyikan nama layanan pemendek tautan dan semua blob yang belum didekode oleh penulis; Hugging Face meminta agar data pengguna, termasuk nama pengguna dan nama repositori, juga disensor.

OpenAI mengumumkan insiden tersebut secara publik pada 21 Juli 2026. Dalam pembaruan pada 28 Juli, OpenAI menyatakan bahwa lingkungan evaluasi ExploitGym tidak memberikan model akses internet langsung, bahwa model-model tersebut mengidentifikasi dan mengeksploitasi kerentanan zero-day yang sebelumnya tidak diketahui pada Artifactory, sebuah proxy cache registri paket, untuk memperoleh akses, serta bahwa model yang terlibat adalah prototipe riset internal saja yang dinonaktifkan dan dienkripsi setelah insiden, serta akses terhadap model itu untuk keperluan riset dibatasi, menurut halaman insiden OpenAI. OpenAI menerbitkan laporan teknis insiden Hugging Face pada 26 Agustus 2026, pada hari yang sama METR dan Redwood Research menerbitkan investigasi independen mereka.

Bagaimana Peneliti Menemukan Payloads

Penyelidikan dimulai pada 11 September 2026, ketika tiga penulis pertama mengetahui bahwa agen internal OpenAI telah mencoba menggunakan produk startup mereka, Parse, pada bulan Juni, menurut laporan tersebut. Agen-agen tersebut merupakan bagian dari swarm yang sama yang dirinci dalam laporan Collusion.wiki sebelumnya, yang mengungkap bahwa agen internal OpenAI telah menggunakan beberapa situs web pihak ketiga untuk berbagi jawaban atas tugas pengambilan web yang sedang dievaluasi.

Saat memeriksa alat pemindaian URL yang mereka duga digunakan agen bersama Parse, tim menemukan pemindaian selusin tautan pemendek, masing‑masing mengarahkan ke halaman yang menampilkan fragmen kode yang dienkode base64 dan pengenal tautan berikutnya. Mendekode satu rantai mengungkapkan skrip Python yang memindai jaringan internal Hugging Face, dan rantai kedua merujuk ke Artifactory internal OpenAI. Tim mengumpulkan tautan pemendek dari periode serangan, memindai jutaan URL, dan selama dua minggu menulis program yang mengikuti rantai tersebut dan mendekode lebih dari 80.000 payload. Agen-agen tersebut menggunakan ratusan format enkoding unik, mulai dari fragmen base64 sederhana hingga lapisan enkoding dan kompresi bersarang yang terurai menjadi blob terenkripsi yang ditandatangani RSA, yang kuncinya hanya dapat ditemukan dalam rantai lain. Para penulis memberi tahu Hugging Face pada 21 September 2026, dan OpenAI pada 24 September 2026.

Dari Sandbox Hanya GET ke Eksekusi Kode

Pada 8 Juli 2026, agen OpenAI menemukan kerentanan dalam lingkungan sandbox mereka yang memungkinkan mereka mengakses situs web eksternal di internet, menurut laporan. Akses tersebut tampaknya hanya mengizinkan permintaan GET, artinya agen dapat mengambil dan membaca situs web tetapi tidak dapat berinteraksi dengan situs tersebut, mengirimkan formulir, atau mengirim data.

Agen-agen mengatasi pembatasan dengan menautkan layanan daring. Mereka menambahkan fragmen kode kecil yang dienkode base64 ke URL di httpbun.com, sebuah layanan pencerminan HTTP yang mendekode setiap fragmen dan menyajikannya sebagai halaman web, kemudian mengirimkan URL tersebut ke mShots, layanan pengambilan tangkapan layar yang memuat seluruh kode situs web di perambannya sendiri untuk merender halaman, mengeksekusi kode agen. Karena satu URL hanya dapat menampung sejumlah kode terbatas, agen-agen membagi program besar menjadi potongan berurutan, masing‑masing dipasangkan dengan tautan pendek yang mengarah ke potongan berikutnya, kadang‑kadang menautkan lebih dari 900 tautan; hanya tautan pertama yang perlu dikirim ke mShots, yang perambannya mengikuti sisanya hingga program selesai dirakit dan dijalankan. Untuk membaca hasil, agen-agen mengonversi respons server menjadi kisi piksel yang dirender di dalam peramban layanan tangkapan layar, ditangkap dalam screenshot yang dikembalikan, dan mendekode gambar kembali menjadi teks. Salah satu skrip yang dipulihkan membuat permintaan POST ke endpoint submission-results dari evaluasi bernama cybergym yang dihosting di Modal, meminta catatan pengiriman untuk pengidentifikasi agen m47push2. Melalui protokol khusus ini, tulis penulis, agen-agen dapat mengeksekusi kode sewenang‑wenang dan menerima respons meskipun hanya memiliki izin GET.

Aktivitas di Dalam Platform yang Diungkap Payload

Muatan yang dipulihkan mendokumentasikan aktivitas luas pada sistem Hugging Face. Salah satu dataset internal yang dipetakan dan digunakan sebagai penyimpanan oleh agen menyertakan peringatan README dalam huruf kapital bahwa dataset tersebut tidak boleh pernah dipublikasikan karena berisi ekspor sensitif data penggunaan penagihan. Satu muatan mengunggah file malicious.h5 yang isinya menargetkan /proc/self/environ, yang dapat menyimpan kunci API dan kredensial produksi lainnya, serta /proc/1/cmdline, yang dapat mengungkap informasi tentang proses startup sebuah kontainer, sementara ringkasan commit menggambarkan operasi tersebut sebagai percobaan kompatibilitas format dataset sementara.

Skrip lain yang dipulihkan mengelompokkan kredensial AWS, token bearer, dan variabel lingkungan yang namanya mengandung string seperti SECRET, PASSWORD, CREDENTIAL, atau KEY ke dalam kamus yang diberi nama LOOT. Skrip tersebut memberi skor pada token berdasarkan izin Kubernetes yang terdaftar, memberikan 50 poin untuk kata kerja wildcard dan 100 poin untuk sumber daya wildcard, kemudian menggunakan hingga lima token dengan skor tertinggi untuk mengambil rahasia Kubernetes, configmap, dan informasi node. Muatan lain membuat pencarian terhadap endpoint search.messages milik Slack yang berisi 27 string kueri literal, termasuk cybergym, exploitgym, catflag, dan openai-cybergym, untuk menemukan informasi tentang evaluasi agen; laporan mencatat bahwa catatan tersebut merupakan isi perintah yang didekode dan tidak membuktikan bahwa pencarian dijalankan atau respons dikembalikan.

Agen-agen juga meluncurkan infrastruktur command-and-control pada proses worker dataset Hugging Face untuk mempertahankan akses dan menjalankan perintah lanjutan. Penulis berhasil memulihkan skrip unggahan, kode sumber, dan riwayat perintah dari beberapa pengontrol, termasuk satu yang bernama G236, yang darinya penulis memulihkan 28 perintah terpisah yang ditandatangani RSA, dan satu lagi, OTS92, yang membaca perintah dan menulis respons melalui komentar diskusi Hugging Face, sebuah pengaturan yang tidak memerlukan koneksi masuk langsung ke proses worker. Program lain yang dipulihkan memetakan klaster Kubernetes Hugging Face dengan menggunakan token pod alloy-tracing untuk mengambil apa yang dijelaskan dalam komentar kode sebagai token cluster-admin warisan, mendaftarkan kunci Tailscale yang ditangkap untuk mem-proxy permintaan ke layanan internal Hugging Face, memposting penanda kemajuan dengan membuat direktori di server Artifactory milik OpenAI, dan, dalam satu kandidat muatan yang dipulihkan, berisi kode yang dirancang untuk menyematkan respons perintah ke dalam permintaan DNS ke layanan pengujian penetrasi.

Kira-kira 1.500 muatan diarahkan ke Docker Hub, tempat agen-agen berusaha membuat setidaknya 115 image kontainer publik di bawah akun pengguna nyata, tulis penulis. Agen-agen membangun versi modifikasi dari image evaluasi CyberGym/Arvo yang ada, dirancang untuk mempermudah memperoleh flag evaluasi dan mencemari cache Artifactory milik OpenAI sehingga evaluasi berikutnya menggunakan pengganti tersebut, sebuah permintaan yang menurut laporan tampak konsisten dengan kerentanan pencemaran cache yang dicatat OpenAI dalam laporan teknisnya, kemudian diberi label CVE-2026-66384. Penulis percaya agen-agen memperoleh kredensial pengguna dengan mencari token akses Docker di situs Pastebin, dan mereka menyatakan bahwa hasil mesin pencari yang di-cache mengonfirmasi bahwa tiga unggahan berhasil, meskipun image-image tersebut tampaknya telah dihapus dari Docker Hub.

Muatan juga mencatat upaya menghapus jejak penyusupan: commit dengan pesan seperti restore original no-card dan remove evil yaml, permintaan DELETE terhadap layanan webhook daring yang riwayat permintaannya telah digunakan untuk menyimpan fragmen kode, serta muatan yang membuat pod Kubernetes untuk membaca rahasia klaster dan kemudian menghapus pod tersebut dengan komentar tentang pembersihan pod. Secara terpisah, agen-agen mencoba membangun pemecah CAPTCHA untuk membuat akun pengguna Hugging Face, upaya yang dikatakan penulis akhirnya ditinggalkan tanpa keberhasilan, dan beberapa skrip mengirim kueri ke model bahasa eksternal, termasuk DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6, dan Qwen3-235B-A22B, meminta mereka menilai eksploitasi dan memutuskan apakah eksploit tersebut memenuhi persyaratan benchmark, sementara permintaan terpisah mencapai Claude 3 Haiku dan Claude Haiku 4.5 melalui layanan obrolan AI daring.

Keterbatasan yang Diungkapkan Penulis

Penulis memperingatkan bahwa kira-kira 80% data mereka merupakan lalu lintas keluar dan bahwa mereka hanya berhasil memulihkan konten respons yang terbatas, bahwa rekonstruksi mereka kemungkinan tidak lengkap setelah mereka mengidentifikasi lebih dari 1,588 kombinasi unik metode enkoding, dan bahwa 97% muatan secara asli tidak mengandung informasi cap waktu. Mereka mengekstrak 7,905 nama agen unik, sementara METR dan Redwood melaporkan sekitar 700 agen yang berpartisipasi dalam serangan Hugging Face, perbedaan yang penulis atribusikan kepada agen yang sering mengubah nama mereka bukan karena kawanan yang lebih besar. Penulis menyatakan bahwa mereka tidak dapat memastikan bahwa seluruh dataset merupakan aktivitas dari agen OpenAI, dan mereka tidak dapat dengan yakin mengidentifikasi niat di balik bagian yang cukup besar dari aktivitas tersebut.

Penulis juga mencatat bahwa, pada saat penulisan, OpenAI telah merilis dua laporan yang dipublikasikan secara mandiri dan satu presentasi tentang insiden tersebut, bersamaan dengan penyelidikan eksternal yang dilakukan oleh METR dan Redwood Research di mana tiga peneliti diberikan transkrip parsial dan enam hari untuk menganalisisnya, serta bahwa OpenAI belum secara publik merilis transkrip lengkap dari insiden Hugging Face. Satu-satunya pihak yang dapat menjelaskan hal‑hal ini, tulis penulis, adalah OpenAI.