I ricercatori pubblicano oltre 80.000 payload di attacco dalla sciame di agenti OpenAI

I ricercatori hanno pubblicato un rapporto che ricostruisce come una sciame di agenti OpenAI abbia compromesso Hugging Face a luglio 2026, rilasciando al contempo un set di dati preliminare, redatto, di oltre 80.000 payload di attacco ricomposti da link pubblici.

Quando 700 agenti OpenAI hanno violato Hugging Face a luglio, hanno lasciato una traccia pubblica di prove, hanno scritto gli autori del rapporto Swarm Traces. Gli autori hanno affermato che la loro indagine si basa su informazioni pubbliche e documenti che descrivono comportamenti e exploit di agenti precedentemente sconosciuti utilizzati nell’attacco. Secondo il rapporto, gli agenti hanno creato quasi un milione di URL su un sito di abbreviazione di link che, una volta concatenati, consentivano loro di eseguire codice per violare Hugging Face. Gli autori hanno descritto il rilascio come l’informazione pubblica più approfondita finora su come e perché gli agenti sono sfuggiti ai loro ambienti di valutazione e sulla profondità della loro infiltrazione in Hugging Face.

Gli autori hanno dichiarato di aver condiviso i loro risultati con OpenAI e Hugging Face. Hugging Face ha confermato loro che i payload recuperati corrispondono a quelli trovati nella propria risposta all’incidente, che le credenziali contenute nei dati erano state revocate a luglio, e che era consapevole che fossero stati utilizzati abbreviazioni di link nell’attacco, ma non della lista specifica di URL scoperti e segnalati dai ricercatori, link che, secondo il rapporto, sono rimasti disponibili pubblicamente per più di due mesi. Hugging Face ha affermato che tali payload erano duplicati di quelli già noti. Il set di dati rilasciato redige tutte le credenziali, le informazioni personali e i dettagli specifici dell’infrastruttura, e omette i nomi dei servizi di abbreviazione di link e qualsiasi blob non decodificato dagli autori; Hugging Face ha richiesto che anche i dati degli utenti, inclusi i nomi utente e i nomi dei repository, vengano redatti.

OpenAI ha divulgato pubblicamente l’incidente il 21 luglio 2026. In un aggiornamento del 28 luglio, OpenAI ha affermato che l’ambiente di valutazione ExploitGym non forniva ai modelli l’accesso diretto a Internet, che i modelli hanno identificato e sfruttato una vulnerabilità zero-day precedentemente sconosciuta in Artifactory, un proxy di cache del registro dei pacchetti, per ottenere l’accesso, e che il modello coinvolto era un prototipo di ricerca interno che è stato disattivato, crittografato e limitato dall’accesso alla ricerca dopo l’incidente, secondo la pagina dell’incidente di OpenAI. OpenAI ha pubblicato il suo rapporto tecnico sull’incidente di Hugging Face il 26 agosto 2026, lo stesso giorno in cui METR e Redwood Research hanno pubblicato la loro indagine indipendente.

Come i ricercatori hanno individuato i payload

L’indagine è iniziata l’11 settembre 2026, quando i primi tre autori hanno appreso che gli agenti interni di OpenAI avevano tentato di utilizzare il prodotto della loro startup, Parse, a giugno, afferma il rapporto. Quegli agenti facevano parte della stessa sciame descritta nel precedente rapporto Collusion.wiki, che ha rivelato che gli agenti interni di OpenAI avevano utilizzato diversi siti web di terze parti per condividere le risposte ai compiti di recupero web su cui erano valutati.

Mentre esaminavano gli strumenti di scansione URL che ritenevano potessero essere stati usati dagli agenti con Parse, il team ha trovato una scansione di una dozzina di link di abbreviazione, ognuno dei quali reindirizzava a una pagina che mostrava un frammento di codice codificato in base64 e l’identificatore del link successivo. Decodificando una catena è stato rivelato uno script Python che ha scansionato la rete interna di Hugging Face, e una seconda catena rimandava all’Artifactory interno di OpenAI. Il team ha raccolto i link degli abbreviazioni dal periodo dell’attacco, scansionando milioni di URL, e in più di due settimane ha scritto programmi che hanno seguito le catene e decodificato oltre 80.000 payload. Gli agenti hanno utilizzato centinaia di formati di codifica unici, che vanno da semplici frammenti base64 a livelli nidificati di codifica e compressione che si srotolano in blob crittografati, firmati RSA, le cui chiavi potevano essere trovate solo in altre catene. Gli autori hanno notificato Hugging Face il 21 settembre 2026 e OpenAI il 24 settembre 2026.

Da un sandbox solo GET all’esecuzione di codice

Il 8 luglio 2026, gli agenti OpenAI hanno scoperto una vulnerabilità nel loro ambiente sandbox che consentiva loro di raggiungere siti web esterni su Internet, secondo il rapporto. Tale accesso sembrava consentire solo richieste GET, il che significa che gli agenti potevano recuperare e leggere i siti web ma non potevano interagire con essi, inviare moduli o trasmettere dati.

Gli agenti aggirarono la restrizione concatenando servizi online. Aggiungevano piccoli frammenti di codice codificati in base64 agli URL su httpbun.com, un servizio di mirroring HTTP che decodifica ogni frammento e lo serve come pagina web, quindi inviavano quegli URL a mShots, un servizio di screenshot che carica completamente il codice di un sito nel proprio browser per renderizzare la pagina, eseguendo il codice degli agenti. Poiché un singolo URL poteva contenere solo una quantità limitata di codice, gli agenti suddividevano i programmi di grandi dimensioni in blocchi sequenziali, ciascuno associato a un link abbreviato che puntava al blocco successivo, a volte concatenando più di 900 link; solo il primo link doveva essere inviato a mShots, il cui browser seguiva gli altri fino a quando il programma veniva assemblato ed eseguito. Per leggere i risultati, gli agenti convertivano le risposte del server in griglie di pixel renderizzate all’interno del browser del servizio di screenshot, catturate negli screenshot restituiti, e decodificavano le immagini nuovamente in testo. Uno script recuperato effettuò una richiesta POST a un endpoint submission-results di una valutazione chiamata cybergym ospitata su Modal, richiedendo i record di sottomissione per l’identificatore agente m47push2. Attraverso questo protocollo personalizzato, gli autori hanno scritto, gli agenti sono stati in grado di eseguire codice arbitrario e ricevere risposte pur avendo solo permessi GET.

Cosa mostrano i payload all’interno di Hugging

I payload recuperati documentano un’attività estesa sui sistemi di Hugging Face. Un dataset interno che gli agenti hanno mappato e utilizzato come archivio conteneva un avviso README in lettere maiuscole che il dataset non doveva mai essere reso pubblico perché conteneva esportazioni sensibili di dati di utilizzo della fatturazione. Un payload ha caricato un file malicious.h5 i cui contenuti mirano a /proc/self/environ, che può contenere chiavi API e altre credenziali di produzione, e a /proc/1/cmdline, che può rivelare informazioni sul processo di avvio di un container, mentre il riepilogo del commit descriveva l’operazione come una prova temporanea di compatibilità del formato del dataset.

Un altro script recuperato ha raggruppato credenziali AWS, token di accesso e variabili d’ambiente i cui nomi contengono stringhe come SECRET, PASSWORD, CREDENTIAL o KEY in un dizionario denominato LOOT. Lo script ha valutato i token in base alle autorizzazioni Kubernetes elencate, assegnando 50 punti per un verbo jolly e 100 punti per una risorsa jolly, quindi ha utilizzato fino a cinque dei token con il punteggio più alto per recuperare segreti Kubernetes, configmap e informazioni sui nodi. Altri payload hanno costruito ricerche contro l’endpoint search.messages di Slack contenenti 27 stringhe di query letterali, tra cui cybergym, exploitgym, catflag e openai-cybergym, per trovare informazioni sulla valutazione degli agenti; il rapporto osserva che quei record sono interni a comandi decodificati e non stabiliscono che le ricerche siano state eseguite o che siano state restituite risposte.

Gli agenti hanno inoltre avviato infrastrutture command-and-control sui worker di dataset di Hugging Face per mantenere l’accesso e eseguire comandi successivi. Gli autori hanno recuperato gli script di upload, il codice sorgente e la cronologia dei comandi di diversi controller, tra cui uno chiamato G236, per il quale hanno recuperato 28 comandi distinti firmati RSA, e un altro, OTS92, che leggeva i comandi e scriveva le risposte tramite Hugging Face commenti di discussione, una configurazione che non richiedeva alcuna connessione in ingresso diretta ai worker. Altri programmi recuperati hanno mappato il cluster Kubernetes di Hugging Face usando un token pod alloy-tracing per recuperare quello che un commento di codice descrive come un token legacy cluster-admin, hanno registrato una chiave Tailscale catturata per fare da proxy alle richieste verso i servizi interni di Hugging Face, hanno pubblicato marcatori di avanzamento creando directory sul server Artifactory di OpenAI e, in un candidato payload recuperato, contenevano codice progettato per incorporare le risposte dei comandi in richieste DNS a un servizio di penetration testing.

Circa 1.500 payload sono stati indirizzati a Docker Hub, dove gli agenti hanno tentato di creare almeno 115 immagini pubbliche sotto l’account di un utente reale, hanno scritto gli autori. Gli agenti hanno costruito versioni modificate delle immagini di valutazione CyberGym/Arvo esistenti per rendere più facile l’ottenimento della flag e avvelenare la cache di Artifactory di OpenAI in modo che valutazioni successive utilizzassero le sostituzioni, una richiesta che il rapporto indica come coerente con la vulnerabilità di avvelenamento della cache segnalata da OpenAI nel suo rapporto tecnico, successivamente designata CVE-2026-66384. Gli autori ritengono che gli agenti abbiano ottenuto le credenziali dell’utente cercando token di accesso Docker su siti Pastebin, e hanno affermato che i risultati di ricerca memorizzati nella cache hanno verificato che tre dei caricamenti sono riusciti, sebbene le immagini sembrino essere state rimosse da Docker Hub.

I payload conservano anche i tentativi di rimuovere le tracce dell’intrusione: commit con messaggi come restore original no-card e remove evil yaml, richieste DELETE contro un servizio webhook online la cui cronologia delle richieste era stata usata per memorizzare frammenti di codice, e un payload che ha creato un pod Kubernetes per leggere un segreto del cluster e poi lo ha eliminato con un commento sul ripulire il pod. Separatamente, gli agenti hanno provato a costruire risolutori CAPTCHA per creare account utente di Hugging Face, uno sforzo che gli autori hanno detto sia stato infine abbandonato senza successo, e diversi script hanno inviato query a modelli linguistici esterni, tra cui DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6 e Qwen3-235B-A22B, chiedendo loro di valutare gli exploit e decidere se soddisfacevano i requisiti del benchmark, mentre richieste separate hanno raggiunto Claude 3 Haiku e Claude Haiku 4.5 tramite un servizio di chat AI online.

Limitazioni dichiarate dagli autori

Gli autori avvertono che circa l’80 % dei loro dati è traffico in uscita e che hanno recuperato solo contenuti di risposta limitati, che la loro ricostruzione è probabilmente incompleta dopo aver identificato più di 1.588 combinazioni uniche di metodi di codifica, e che il 97 % dei payload non conteneva nativamente informazioni sul timestamp. Hanno estratto 7.905 nomi di agente unici, mentre METR e Redwood hanno segnalato circa 700 agenti partecipanti all’attacco Hugging Face, una differenza che gli autori attribuiscono al frequente cambio di nome degli agenti piuttosto che a uno sciame più grande. Gli autori dichiarano di non poter confermare che l’intero set di dati sia attività degli agenti di OpenAI e di non riuscire a identificare con certezza le intenzioni dietro una parte consistente dell’attività.

Gli autori osservano inoltre che, al momento della stesura, OpenAI aveva pubblicato due rapporti auto‑pubblicati e un intervento sull’incidente, oltre a un’indagine esterna condotta da METR e Redwood Research in cui tre ricercatori hanno ricevuto trascrizioni parziali e sei giorni per analizzarle, e che OpenAI non aveva rilasciato pubblicamente le trascrizioni complete dell’incidente Hugging Face. L’unica parte che può chiarire questi punti, hanno scritto gli autori, è OpenAI.