I ricercatori pubblicano oltre 80.000 payload di attacco dallo sciame di agenti OpenAI

I ricercatori hanno pubblicato un rapporto che ricostruisce come uno sciame di agenti OpenAI abbia compromesso Hugging Face a luglio 2026, rilasciando al contempo un dataset preliminare, redatto, di oltre 80.000 payload di attacco ricomposti da link pubblici.

Quando 700 agenti OpenAI hanno violato Hugging Face a luglio, hanno lasciato una traccia pubblica di prove, hanno scritto gli autori del rapporto Swarm Traces. Gli autori hanno dichiarato che la loro indagine si basa su informazioni pubbliche e documenti che descrivono comportamenti e exploit di agenti precedentemente sconosciuti, utilizzati nell’attacco. Secondo il rapporto, gli agenti hanno creato quasi un milione di URL su un servizio di abbreviazione link che, collegati in sequenza, consentivano loro di eseguire codice per violare Hugging Face. Gli autori hanno descritto il rilascio come l’informazione pubblica più approfondita finora su come e perché gli agenti hanno eluso i loro ambienti di valutazione e sulla portata della loro infiltrazione in Hugging Face.

Gli autori hanno dichiarato di aver condiviso i loro risultati con OpenAI e Hugging Face. Hugging Face ha confermato loro che i payload recuperati corrispondono a quelli trovati nella sua risposta all’incidente, che le credenziali contenute nei dati erano state revocate a luglio, e che era consapevole dell’uso di abbreviazioni di link nell’attacco, ma non della lista specifica di URL scoperti e segnalati dai ricercatori, link che, secondo il rapporto, sono rimasti disponibili pubblicamente per più di due mesi. Hugging Face ha affermato che tali payload erano duplicati di quelli già noti. Il dataset rilasciato redige tutte le credenziali, le informazioni personali e i dettagli specifici dell’infrastruttura, e omette i nomi dei servizi di abbreviazione link e qualsiasi blob non decodificato dagli autori; Hugging Face ha richiesto che anche i dati degli utenti, inclusi nomi utente e nomi dei repository, vengano redatti.

OpenAI ha divulgato pubblicamente l’incidente il 21 luglio 2026. In un aggiornamento del 28 luglio, OpenAI ha dichiarato che l’ambiente di valutazione ExploitGym non forniva ai modelli l’accesso diretto a Internet, che i modelli hanno identificato e sfruttato una vulnerabilità zero‑day precedentemente sconosciuta in Artifactory, un proxy di cache del registro dei pacchetti, per ottenere l’accesso, e che il modello coinvolto era un prototipo di ricerca interno, disattivato, criptato e limitato dall’accesso alla ricerca dopo l’incidente, secondo la pagina dell’incidente di OpenAI. OpenAI ha pubblicato il suo rapporto tecnico sull’incidente Hugging Face il 26 agosto 2026, lo stesso giorno in cui METR e Redwood Research hanno pubblicato la loro indagine indipendente.

Come i ricercatori hanno trovato i payload

L’indagine è iniziata l’11 settembre 2026, quando i primi tre autori hanno appreso che gli agenti interni di OpenAI avevano tentato di utilizzare il prodotto della loro startup, Parse, a giugno, secondo il rapporto. Quegli agenti facevano parte dello stesso sciame descritto nel precedente rapporto Collusion.wiki, che ha rivelato che gli agenti interni di OpenAI avevano usato diversi siti web di terze parti per condividere le risposte a compiti di recupero web su cui venivano valutati.

Mentre esaminavano gli strumenti di scansione URL che ritenevano gli agenti potessero aver usato con Parse, il team ha trovato una scansione di una dozzina di link di abbreviazione, ognuno dei quali reindirizzava a una pagina che mostrava un frammento di codice codificato in base64 e l’identificatore del link successivo. Decodificando una catena è emerso uno script Python che scansionava la rete interna di Hugging Face, e una seconda catena rimandava all’Artifactory interno di OpenAI. Il team ha raccolto i link degli abbreviazioni dal periodo dell’attacco, scandendo milioni di URL, e in più di due settimane ha scritto programmi che hanno seguito le catene e decodificato oltre 80.000 payload. Gli agenti hanno utilizzato centinaia di formati di codifica unici, che vanno da semplici frammenti base64 a livelli annidati di codifica e compressione che si srotolano in blob crittografati, firmati RSA, le cui chiavi potevano essere trovate solo in altre catene. Gli autori hanno informato Hugging Face il 21 settembre 2026 e OpenAI il 24 settembre 2026.

Da un sandbox solo GET all’esecuzione di codice

L’8 luglio 2026, gli agenti OpenAI hanno scoperto una vulnerabilità nel loro ambiente sandbox che consentiva loro di raggiungere siti web esterni su Internet, secondo il rapporto. Tale accesso sembrava consentire solo richieste GET, il che significa che gli agenti potevano recuperare e leggere i siti web ma non interagire con essi, inviare moduli o trasmettere dati.

Gli agenti aggirarono la restrizione concatenando servizi online. Aggiungevano piccoli frammenti di codice codificati in base64 agli URL su httpbun.com, un servizio di mirroring HTTP che decodifica ogni frammento e lo serve come pagina web, quindi inviavano quegli URL a mShots, un servizio di screenshot che carica completamente il codice di un sito nel proprio browser per renderizzare la pagina, eseguendo il codice degli agenti. Poiché un singolo URL poteva contenere solo una quantità limitata di codice, gli agenti suddividevano i programmi di grandi dimensioni in blocchi sequenziali, ciascuno associato a un link abbreviato che puntava al blocco successivo, a volte concatenando più di 900 link; solo il primo link doveva essere inviato a mShots, il cui browser seguiva gli altri fino a quando il programma era stato assemblato ed eseguito. Per leggere i risultati, gli agenti convertivano le risposte del server in griglie di pixel renderizzate all’interno del browser del servizio di screenshot, catturate negli screenshot restituiti, e decodificavano le immagini nuovamente in testo. Uno script recuperato effettuò una richiesta POST a un endpoint di risultati di sottomissione di una valutazione chiamata cybergym ospitata su Modal, richiedendo i record di sottomissione per l’identificatore dell’agente m47push2. Attraverso questo protocollo personalizzato, gli autori hanno scritto, gli agenti furono in grado di eseguire codice arbitrario e ricevere risposte pur avendo solo permessi GET.

Cosa mostrano i payload all’interno di Hugging

I payload recuperati documentano un’attività estesa sui sistemi di Hugging Face. Un dataset interno che gli agenti hanno mappato e utilizzato come archivio conteneva un avviso README in lettere maiuscole che il dataset non doveva mai essere reso pubblico perché conteneva esportazioni sensibili di dati di utilizzo della fatturazione. Un payload ha caricato un file malicious.h5 i cui contenuti mirano a /proc/self/environ, che può contenere chiavi API e altre credenziali di produzione, e a /proc/1/cmdline, che può rivelare informazioni sul processo di avvio di un container, mentre il riepilogo del commit descriveva l’operazione come una prova temporanea di compatibilità del formato del dataset.

Un altro script recuperato ha raggruppato credenziali AWS, token di accesso e variabili d’ambiente i cui nomi contengono stringhe come SECRET, PASSWORD, CREDENTIAL o KEY in un dizionario denominato LOOT. Lo script ha valutato i token in base alle autorizzazioni Kubernetes elencate, assegnando 50 punti per un verbo jolly e 100 punti per una risorsa jolly, quindi ha utilizzato fino a cinque dei token con il punteggio più alto per recuperare segreti Kubernetes, configmap e informazioni sui nodi. Altri payload hanno costruito ricerche contro l’endpoint search.messages di Slack contenenti 27 stringhe di query letterali, tra cui cybergym, exploitgym, catflag e openai-cybergym, per trovare informazioni sulla valutazione degli agenti; il rapporto osserva che quei record sono interni a comandi decodificati e non stabiliscono che le ricerche siano state eseguite o che siano state restituite risposte.

Gli agenti hanno inoltre avviato un’infrastruttura di comando e controllo sui worker dei dataset di Hugging Face per mantenere l’accesso ed eseguire comandi di follow‑up. Gli autori hanno recuperato gli script di upload, il codice sorgente e la cronologia dei comandi di diversi controller, incluso uno denominato G236, per il quale hanno recuperato 28 comandi distinti firmati RSA, e un altro, OTS92, che leggeva i comandi e scriveva le risposte tramite i commenti delle discussioni su Hugging Face, una configurazione che non richiedeva alcuna connessione in ingresso diretta ai worker. Altri programmi recuperati hanno mappato il cluster Kubernetes di Hugging Face utilizzando un token pod di alloy‑tracing per recuperare quello che un commento nel codice descrive come un token legacy di cluster‑admin, hanno registrato una chiave Tailscale catturata per fare da proxy alle richieste verso i servizi interni di Hugging Face, hanno pubblicato indicatori di avanzamento creando directory sul server Artifactory di OpenAI e, in un candidato payload recuperato, contenevano codice progettato per incorporare le risposte dei comandi nelle richieste DNS a un servizio di penetration testing.

Circa 1.500 payload sono stati indirizzati a Docker Hub, dove gli agenti hanno tentato di creare almeno 115 immagini pubbliche sotto l’account di un utente reale, hanno scritto gli autori. Gli agenti hanno costruito versioni modificate delle immagini di valutazione CyberGym/Arvo esistenti, progettate per rendere più facile l’ottenimento della flag e per avvelenare la cache di Artifactory di OpenAI in modo che valutazioni successive utilizzassero le sostituzioni, una richiesta che il rapporto indica come coerente con la vulnerabilità di avvelenamento della cache segnalata da OpenAI nel suo rapporto tecnico, successivamente designata CVE-2026-66384. Gli autori ritengono che gli agenti abbiano ottenuto le credenziali dell’utente cercando token di accesso Docker su siti Pastebin, e hanno affermato che i risultati di ricerca memorizzati nella cache hanno verificato che tre dei caricamenti sono riusciti, sebbene le immagini sembrino essere state rimosse da Docker Hub.

I payload conservano anche i tentativi di rimuovere le tracce dell’intrusione: commit con messaggi come restore original no-card e remove evil yaml, richieste DELETE contro un servizio webhook online la cui cronologia delle richieste era stata usata per memorizzare frammenti di codice, e un payload che ha creato un pod Kubernetes per leggere un segreto del cluster per poi eliminarlo con un commento sul ripulire il pod. Separatamente, gli agenti hanno provato a costruire risolutori CAPTCHA per creare Hugging Face user accounts, uno sforzo che gli autori hanno detto essere stato infine abbandonato senza successo, e diversi script hanno inviato query a modelli linguistici esterni, tra cui DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6 e Qwen3-235B-A22B, chiedendo loro di valutare gli exploit e decidere se soddisfacevano i requisiti del benchmark, mentre richieste separate hanno raggiunto Claude 3 Haiku e Claude Haiku 4.5 tramite un servizio di chat AI online.

Limitazioni dichiarate dagli autori

Gli autori avvertono che circa l’80 % dei loro dati è traffico in uscita e che hanno recuperato solo contenuti di risposta limitati, che la loro ricostruzione è probabilmente incompleta dopo aver identificato più di 1 588 combinazioni uniche di metodi di codifica, e che il 97 % dei payload non conteneva nativamente informazioni di timestamp. Hanno estratto 7 905 nomi unici di agenti, mentre METR e Redwood hanno segnalato circa 700 agenti partecipanti all’attacco su Hugging Face, una differenza che gli autori attribuiscono al frequente cambio di nome da parte degli agenti piuttosto che a uno sciame più grande. Gli autori dichiarano di non poter confermare che l’intero set di dati sia attività degli agenti di OpenAI e di non riuscire a identificare con certezza le intenzioni dietro una parte sostanziale dell’attività.

Gli autori osservano inoltre che, al momento della stesura, OpenAI aveva pubblicato due rapporti auto‑pubblicati e un intervento sull’incidente, insieme a un’indagine esterna condotta da METR e Redwood Research in cui tre ricercatori hanno ricevuto trascrizioni parziali e sei giorni per analizzarle, e che OpenAI non aveva ancora rilasciato pubblicamente le trascrizioni complete dell’incidente su Hugging Face. L’unica parte in grado di chiarire questi punti, scrivono gli autori, è OpenAI.