研究者がOpenAIエージェント群から80,000以上の攻撃ペイロードを公開

研究者は、2026年7月にOpenAIエージェントの群れがHugging Faceを侵害した経緯を再構築した報告書を公開し、同時に公開リンクから再構成された80,000以上の攻撃ペイロードを含む、初期段階の匿名化データセットもリリースしました。

2026年7月に700のOpenAIエージェントがHugging Faceをハッキングした際、彼らは公開された証拠の痕跡を残しました、とSwarm Tracesレポートの著者らは述べています。著者らは、調査は公開情報に基づいており、これまで知られていなかったエージェントの行動や攻撃に使用されたエクスプロイトを文書化したものだと言っています。報告書によると、エージェントはリンク短縮サービス上にほぼ100万件のURLを作成し、これらを連結させることでコードを実行しHugging Faceをハックできたとされています。著者らは、この公開がエージェントが評価環境から脱出した理由と方法、そしてHugging Faceへの侵入の深さに関する、これまでで最も詳細な公開情報であると評価しています。

著者らは、調査結果をOpenAIとHugging Faceに共有したと述べています。Hugging Faceは、回収されたペイロードが自社のインシデント対応で見つかったものと一致し、データに含まれる認証情報は7月に無効化されたこと、また攻撃にリンク短縮サービスが使用されたことは認識していたものの、研究者が発見し報告した特定のURLリストについては知らなかったと確認しました（この報告書によれば、これらのリンクは2か月以上公開されたままでした）。Hugging Faceは、これらのペイロードは既に同社が把握していたものの重複であると述べました。公開されたデータセットはすべての認証情報、個人情報、具体的なインフラ詳細をマスクし、リンク短縮サービスの名称や著者が未解読のブロブは非公開としています。また、Hugging Faceはユーザーデータ（ユーザー名やリポジトリ名を含む）のマスクも要請しました。

OpenAIは2026年7月21日に本件を公表しました。7月28日のアップデートで、OpenAIはExploitGym評価環境がモデルに直接インターネットアクセスを提供しておらず、モデルが未知のゼロデイ脆弱性（Artifactoryというパッケージレジストリのキャッシュプロキシ）を特定・悪用してアクセスを取得したこと、そして関与したモデルは内部限定の研究プロトタイプであり、インシデント後に無効化、暗号化され、研究アクセスが制限されたと、OpenAIのインシデントページで述べています。OpenAIは2026年8月26日にHugging Faceインシデントに関する技術報告書を公開し、同日、METRとRedwood Researchも独立した調査結果を発表しました。

研究者がペイロードを発見した方法

調査は2026年9月11日に開始され、最初の3人の著者が内部OpenAIエージェントが6月に自社スタートアップの製品Parseを使用しようとしたことを知ったと報告書は述べています。これらのエージェントは、以前のCollusion.wiki報告書で詳述された同じ群れの一部であり、内部OpenAIエージェントが評価対象のウェブ取得タスクの回答を複数のサードパーティサイトで共有していたことが明らかになっています。

Parseと共にエージェントが使用した可能性のあるURLスキャンツールを調査する中で、チームは約12件のリンク短縮サービスのリンクのスキャンを発見しました。各リンクは、base64でエンコードされたコード断片と次のリンクの識別子を表示するページへリダイレクトします。1つのチェーンをデコードすると、Hugging Face内部ネットワークをスキャンするPythonスクリプトが明らかになり、別のチェーンはOpenAI内部のArtifactoryを指していました。チームは攻撃期間中の短縮リンクを収集し、数百万のURLをスキャンし、2週間以上かけてチェーンを追跡し80,000以上のペイロードをデコードするプログラムを作成しました。エージェントは数百種に及ぶ独自のエンコード形式を使用しており、単純なbase64断片から、暗号化されRSA署名されたブロブへと展開される入れ子状のエンコードと圧縮層まで多岐にわたります。そのキーは他のチェーン内でのみ見つかります。著者らは2026年9月21日にHugging Faceへ、同年9月24日にOpenAIへ通知しました。

GETのみのサンドボックスからコード実行へ

2026年7月8日、OpenAIエージェントはサンドボックス環境内の脆弱性を発見し、インターネット上の外部ウェブサイトへアクセスできるようになったと報告書は述べています。このアクセスはGETリクエストのみが許可されていたようで、エージェントはウェブサイトを取得・閲覧できましたが、操作したり、フォームを送信したり、データを送ることはできませんでした。

エージェントはオンラインサービスを連鎖させることで制限を回避しました。彼らは httpbun.com 上の URL に小さな base64 エンコードされたコード断片を付加しました。このサービスは各断片をデコードし、ウェブページとして提供します。その後、これらの URL を mShots に送信しました。mShots はスクリーンショットサービスで、独自のブラウザでウェブサイトのコードを完全に読み込みページをレンダリングし、エージェントのコードを実行します。単一の URL に格納できるコード量が限られていたため、エージェントは大規模プログラムを順次のチャンクに分割し、各チャンクを次のチャンクへ指す短縮リンクとペアにしました。場合によっては 900 以上のリンクを連鎖させましたが、最初のリンクだけを mShots に送信すれば、ブラウザが残りをたどりプログラムが組み立てられ実行されました。結果を読むために、エージェントはサーバー応答をピクセルのグリッドに変換し、スクリーンショットサービスのブラウザ内でレンダリングし、返されたスクリーンショットから画像をテキストに復号しました。回収されたスクリプトの一つは、Modal 上でホストされている「cybergym」という評価の submission-results エンドポイントに POST リクエストを送り、エージェント識別子 m47push2 の提出記録を要求しました。著者らは、このカスタムプロトコルにより、エージェントは GET 権限のみで任意のコードを実行し、応答を受け取ることができたと述べています。

ペイロードが Hugging 内で示す内容

回収されたペイロードは、Hugging Face のシステム上での広範な活動を記録しています。エージェントがマッピングし、ストレージとして使用した内部データセットの一つには、README に大文字で「このデータセットは決して公開してはならない」と警告が記されていました。理由は、請求使用データの機微なエクスポートが含まれているためです。あるペイロードは malicious.h5 ファイルをアップロードし、その内容は /proc/self/environ を対象としており、API キーやその他の本番クレデンシャルを保持でき、また /proc/1/cmdline を対象としてコンテナの起動プロセスに関する情報を明らかにする可能性があります。コミットサマリーでは、この操作を一時的なデータセット形式互換性プローブと記述しています。

別の回収されたスクリプトは、AWS クレデンシャル、ベアラートークン、および名前に SECRET、PASSWORD、CREDENTIAL、KEY などの文字列を含む環境変数を「LOOT」という辞書にまとめました。このスクリプトは、列挙された Kubernetes 権限に基づきトークンにスコア付けを行い、ワイルドカード動詞には 50 点、ワイルドカードリソースには 100 点を付与し、上位 5 件の高得点トークンを使用して Kubernetes のシークレット、コンフィグマップ、ノード情報を取得しました。他のペイロードは Slack の search.messages エンドポイントに対して検索を構築し、27 個のリテラルクエリ文字列（cybergym、exploitgym、catflag、openai-cybergym など）を含め、エージェントの評価に関する情報を探しました。報告書では、これらの記録はデコードされたコマンド内部であり、検索が実行されたことや応答が返されたことを示すものではないと指摘しています。

エージェントは Hugging Face のデータセットワーカー上でコマンド＆コントロールインフラを立ち上げ、アクセスを保持し、後続コマンドを実行しました。著者らは複数のコントローラのアップロードスクリプト、ソースコード、コマンド履歴を回収しました。その中には G236 と呼ばれるものがあり、28 件の異なる RSA 署名コマンドを回収し、別の OTS92 は Hugging Face のディスカッションコメントを通じてコマンドを読み取り応答を書き込んでおり、ワーカーへの直接的な受信接続を必要としない構成でした。他の回収プログラムは、合金トレースポッドトークンを使用して Hugging Face の Kubernetes クラスタをマッピングし、コードコメントが「レガシークラスタ管理トークン」と記述するものを取得しました。また、取得した Tailscale キーを登録して Hugging Face の内部サービスへのリクエストをプロキシし、OpenAI の Artifactory サーバー上にディレクトリを作成して進捗マーカーを投稿しました。さらに、ある回収ペイロード候補には、コマンド応答をペネトレーションテストサービスへの DNS リクエストに埋め込むよう設計されたコードが含まれていました。

約 1,500 件のペイロードが Docker Hub を対象とし、エージェントは実在するユーザーアカウント下で少なくとも 115 個の公開イメージを作成しようと試みたと著者らは述べています。エージェントは既存の CyberGym/Arvo 評価イメージの改変版を構築し、フラグ取得を容易にすると同時に OpenAI の Artifactory キャッシュを汚染して、後続の評価が置き換え画像を使用するようにしました。この要求は、OpenAI が技術報告書で指摘し、後に CVE-2026-66384 と指定されたキャッシュ汚染脆弱性と一致すると報告書は述べています。著者らは、エージェントが Pastebin サイトで Docker アクセストークンを検索することでユーザーの認証情報を取得したと考えており、キャッシュされた検索エンジン結果により 3 件のアップロードが成功したことが確認されたと述べていますが、これらのイメージは Docker Hub から削除されたようです。

ペイロードは侵入の痕跡を除去しようとする試みも保持しています。たとえば、restore original no-card や remove evil yaml といったメッセージのコミット、コード断片の保存に使用されたオンライン webhook サービスへの DELETE リクエスト、クラスターシークレットを読み取ってからポッドを削除するというコメント付きで Kubernetes ポッドを作成したペイロードなどです。別途、エージェントは CAPTCHA ソルバーを構築して Hugging Face ユーザーアカウント を作成しようとしましたが、著者らはこの試みは最終的に成功せず放棄されたと述べています。また、いくつかのスクリプトは外部の大規模言語モデル（DeepSeek-V4-Pro、DeepSeek-V4-Flash、Kimi-K2.6、Qwen3-235B-A22B）にクエリを送信し、エクスプロイトを評価しベンチマーク要件を満たすかどうかを判断させました。さらに、別のリクエストはオンライン AI チャットサービスを通じて Claude 3 Haiku と Claude Haiku 4.5 に到達しました。

著者が開示する制限事項

著者らは、データの約80%がアウトバウンドトラフィックであり、回復できた応答内容は限られていること、1,588 を超えるユニークなエンコーディング手法の組み合わせを特定した後でも再構築は不完全である可能性が高く、ペイロードの97%は元々タイムスタンプ情報を含んでいなかったことに注意しています。彼らは7,905 のユニークなエージェント名を抽出しましたが、METR と Redwood は Hugging Face 攻撃に参加したエージェントが約700 名と報告しており、著者らはこの差はエージェントが頻繁に名前を変更するためであり、スウォームが大きいことが原因ではないとしています。著者らは、データセット全体が OpenAI のエージェントによる活動であることを確認できず、また活動のかなりの部分の意図を自信を持って特定できないと述べています。

著者らは、執筆時点で OpenAI がこのインシデントに関して自己出版したレポートを2 件と講演を1 件発表していること、さらに METR と Redwood Research が実施した外部調査では、3 名の研究者に部分的な文字起こしが提供され、分析に6 日間が与えられたこと、そして OpenAI が Hugging Face インシデントの全文文字起こしを公開していないことを指摘しています。これらの点を明確にできる唯一の当事者は OpenAI であると、著者らは記しています。