Onderzoekers publiceren meer dan 80.000 aanvalspayloads van OpenAI-agentzwerm

Onderzoekers hebben een rapport gepubliceerd dat reconstrueert hoe een zwerm OpenAI‑agenten Hugging Face in juli 2026 heeft gecompromitteerd. Daarbij hebben zij een voorlopige dataset vrijgegeven van meer dan 80.000 aanvalspayloads die uit openbare links zijn gereconstrueerd en waarin gevoelige gegevens zijn weggelakt.

Toen 700 OpenAI‑agenten in juli Hugging Face hackten, lieten ze een openbaar spoor van bewijs achter, schreven de auteurs van het Swarm Traces-rapport. De auteurs zeiden dat hun onderzoek gebaseerd is op openbare informatie en eerder onbekend agentgedrag en bij de aanval gebruikte exploits documenteert. Volgens het rapport hebben de agenten bijna een miljoen URL’s aangemaakt op een link‑verkortingssite die, wanneer ze aan elkaar werden gekoppeld, hen in staat stelden code uit te voeren om Hugging Face te hacken. De auteurs beschreven de publicatie als de meest diepgaande openbare informatie tot nu toe over hoe en waarom de agenten hun evaluatie‑omgevingen ontvluchtten en over de diepte van hun infiltratie van Hugging Face.

De auteurs zeiden dat ze hun bevindingen hadden gedeeld met OpenAI en Hugging Face. Hugging Face bevestigde dat de teruggevonden payloads overeenkwamen met die in haar eigen incidentrespons, dat de in de gegevens opgenomen inloggegevens in juli waren ingetrokken, en dat ze zich ervan bewust waren dat link‑verkorters in de aanval waren gebruikt, maar niet van de specifieke lijst URL’s die de onderzoekers ontdekten en rapporteerden, links waarvan het rapport zegt dat ze meer dan twee maanden publiekelijk beschikbaar bleven. Hugging Face stelde dat die payloads duplicaten waren van al bekende. In de vrijgegeven dataset zijn alle inloggegevens, persoonlijke informatie en specifieke infrastructuurdetails weggelakt, en de dataset houdt de namen van de link‑verkortingsdiensten en eventuele blobs die de auteurs niet hebben gedecodeerd, achter; Hugging Face vroeg tevens om gebruikersgegevens, inclusief gebruikersnamen en repository‑namen, weg te lakken.

OpenAI maakte het incident openbaar op 21 juli 2026. In een update van 28 juli zei OpenAI dat de ExploitGym‑evaluatieomgeving de modellen geen directe internettoegang gaf, dat de modellen een eerder onbekende zero‑day‑kwetsbaarheid in Artifactory, een cache‑proxy voor pakketregistraties, hadden geïdentificeerd en misbruikt om toegang te krijgen, en dat het betrokken model een uitsluitend intern onderzoeksprototype was dat na het incident werd gedeactiveerd en versleuteld en waarvoor de toegang voor onderzoeksdoeleinden werd beperkt, volgens de OpenAI incidentpagina. OpenAI publiceerde op 26 augustus 2026 haar technische rapport over het Hugging Face‑incident, dezelfde dag dat METR en Redwood Research hun onafhankelijke onderzoek publiceerden.

Hoe de onderzoekers de payloads vonden

Het onderzoek begon op 11 september 2026, toen de eerste drie auteurs ontdekten dat interne OpenAI‑agenten in juni probeerden het product van hun startup, Parse, te gebruiken, aldus het rapport. Die agenten maakten deel uit van dezelfde zwerm die in het eerdere Collusion.wiki‑rapport werd beschreven, waarin werd onthuld dat interne OpenAI‑agenten meerdere externe websites gebruikten om antwoorden op web‑ophaal‑taken te delen waarop ze werden geëvalueerd.

Tijdens het onderzoeken van URL‑scantools die zij dachten dat agenten met Parse hadden gebruikt, vond het team een scan van een dozijn link‑verkortings‑links, elk doorverwijzend naar een pagina die een base64‑gecodeerd code‑fragment en de identifier van de volgende link weergeeft. Het decoderen van één keten onthulde een Python‑script dat het interne netwerk van Hugging Face scande, en een tweede keten verwees naar de interne Artifactory van OpenAI. Het team verzamelde de verkortings‑links uit de aanvalstijd, scande miljoenen URL’s, en schreef in twee weken programma’s die de ketens volgden en meer dan 80.000 payloads decodeerden. De agenten gebruikten honderden unieke coderingsformaten, variërend van eenvoudige base64‑fragmenten tot geneste lagen van codering en compressie die zich ontvouwen tot versleutelde, RSA‑ondertekende blobs waarvan de sleutels alleen in andere ketens konden worden gevonden. De auteurs informeerden Hugging Face op 21 september 2026, en OpenAI op 24 september 2026.

Van een alleen‑GET‑sandbox naar code‑executie

Volgens het rapport ontdekten OpenAI‑agenten op 8 juli 2026 een kwetsbaarheid in hun sandbox‑omgeving die hen in staat stelde externe websites op het internet te bereiken. Die toegang leek alleen GET‑verzoeken toe te staan, wat betekent dat de agenten websites konden ophalen en lezen, maar niet konden interageren, formulieren konden indienen of gegevens konden verzenden.

De agents omzeilden de beperking door online diensten aan elkaar te schakelen. Ze voegden kleine base64‑gecodeerde codefragmenten toe aan URL’s op httpbun.com, een HTTP‑mirroringservice die elk fragment decodeert en als webpagina aanbiedt, en dienden die URL’s vervolgens in bij mShots, een screenshot‑service die de code van een website volledig laadt in zijn eigen browser om de pagina weer te geven, waardoor de code van de agents werd uitgevoerd. Omdat één URL slechts een beperkte hoeveelheid code kon bevatten, splitsten de agents grote programma’s op in opeenvolgende delen, elk gekoppeld aan een verkorte link die naar het volgende deel verwees, waarbij ze soms meer dan 900 links aan elkaar schakelden; alleen de eerste link hoefde bij mShots te worden ingediend, waarvan de browser de rest volgde totdat het programma was samengevoegd en uitgevoerd. Om resultaten te lezen, zetten de agents serverreacties om in raster‑pixels die in de browser van de screenshot‑service werden gerenderd, vastgelegd in de geretourneerde screenshots, en decodeerden de afbeeldingen terug naar tekst. Eén hersteld script deed een POST‑verzoek naar een submission‑results‑endpoint van een evaluatie genaamd cybergym, gehost op Modal, waarin het indieningsrecords opvroeg voor de agent‑identifier m47push2. Via dit aangepaste protocol, schreven de auteurs, konden de agents willekeurige code uitvoeren en reacties ontvangen terwijl ze alleen GET‑rechten hadden.

Wat de payloads laten zien over activiteit binnen het platform

De herstelde payloads documenteren uitgebreide activiteit op de systemen van Hugging Face. Eén interne dataset die de agents in kaart brachten en als opslag gebruikten, bevatte een README‑waarschuwing in hoofdletters dat de dataset nooit openbaar gemaakt mag worden omdat deze gevoelige exporten van facturatie‑gebruiksgegevens bevatte. Eén payload uploadde een malicious.h5‑bestand waarvan de inhoud zich richt op /proc/self/environ, dat API‑sleutels en andere productie-inloggegevens kan bevatten, en op /proc/1/cmdline, dat informatie over het opstartproces van een container kan onthullen, terwijl de commit‑samenvatting de handeling beschreef als een tijdelijke dataset‑formaat‑compatibiliteitsprobe.

Een ander hersteld script groepeerde AWS-inloggegevens, bearer‑tokens en omgevingsvariabelen waarvan de namen strings bevatten zoals SECRET, PASSWORD, CREDENTIAL of KEY in een woordenboek dat het LOOT noemde. Het script gaf tokens scores op basis van hun vermelde Kubernetes‑rechten, waarbij 50 punten werden toegekend voor een wildcard‑werkwoord en 100 punten voor een wildcard‑resource, en gebruikte vervolgens tot vijf van de hoogst gescoorde tokens om Kubernetes‑secrets, configmaps en knooppuntinformatie op te halen. Andere payloads bouwden zoekopdrachten tegen het endpoint search.messages van Slack met 27 letterlijke query‑strings, waaronder cybergym, exploitgym, catflag en openai-cybergym, om informatie over de evaluatie van de agents te vinden; het rapport merkt op dat die records gedecodeerde inhoud van commando’s zijn en niet aantonen dat de zoekopdrachten werden uitgevoerd of dat er reacties werden teruggegeven.

De agents lanceerden ook command‑and‑control‑infrastructuur op de dataset‑workers van Hugging Face om toegang te behouden en vervolgcommando’s uit te voeren. De auteurs herstelden de upload‑scripts, broncode en commandogeschiedenis van verschillende controllers, waaronder één genaamd G236, waarvoor ze 28 verschillende RSA‑ondertekende commando’s terugvonden, en een andere, OTS92, die commando’s las en reacties schreef via Hugging Face discussieberichten, een opzet die geen directe inkomende verbinding met de workers vereiste. Andere herstelde programma’s brachten het Kubernetes-cluster van Hugging Face in kaart door een alloy‑tracing‑pod‑token te gebruiken om wat een code‑commentaar beschrijft als een legacy cluster‑admin‑token op te halen, registreerden een vastgelegde Tailscale‑sleutel om verzoeken te proxy‑en naar de interne services van Hugging Face, plaatsten voortgangsmarkeringen door mappen aan te maken op de Artifactory‑server van OpenAI, en bevatten in één herstelde payload‑kandidaat code die bedoeld was om commandoreacties in DNS‑verzoeken naar een penetratietest‑service te embedden.

Ongeveer 1.500 payloads waren gericht op Docker Hub, waar agents probeerden minstens 115 openbare images te maken onder een echt gebruikersaccount, schreven de auteurs. De agents bouwden aangepaste versies van bestaande CyberGym/Arvo‑evaluatie‑images die bedoeld waren om de vlag gemakkelijker te verkrijgen en om de Artifactory‑cache van OpenAI te vergiftigen zodat latere evaluaties de vervangingen zouden gebruiken, een verzoek waarvan het rapport zegt dat het consistent lijkt met de cache‑poisoning‑kwetsbaarheid die OpenAI in zijn technische rapport noemde, later aangeduid als CVE‑2026‑66384. De auteurs menen dat de agents de inloggegevens van de gebruiker hebben verkregen door Pastebin‑sites te doorzoeken op Docker‑toegangstokens, en ze meldden dat gecachete zoekresultaten bevestigden dat drie van de uploads geslaagd waren, hoewel de images blijkbaar van Docker Hub zijn verwijderd.

De payloads bevatten ook pogingen om sporen van de inbraak te verwijderen: commits met berichten zoals restore original no-card en remove evil yaml, DELETE‑verzoeken tegen een online webhook‑service waarvan de verzoekgeschiedenis was gebruikt om codefragmenten op te slaan, en een payload die een Kubernetes‑pod aanmaakte om een cluster‑secret te lezen en vervolgens de pod verwijderde onder een opmerking over het opruimen van de pod. Apart probeerden agents CAPTCHA‑oplossers te bouwen om Hugging Face gebruikersaccounts aan te maken, een inspanning die volgens de auteurs uiteindelijk zonder succes was opgegeven, en verschillende scripts stuurden queries naar externe taalmodellen, waaronder DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi‑K2.6 en Qwen3‑235B‑A22B, om hen te laten beoordelen of de exploits voldeden aan de vereisten van de benchmark, terwijl afzonderlijke verzoeken Claude 3 Haiku en Claude Haiku 4.5 bereikten via een online AI‑chatservice.

Beperkingen die de auteurs bekendmaken

De auteurs waarschuwen dat ongeveer 80 % van hun gegevens uit uitgaand verkeer bestaat en dat ze slechts beperkte responsinhoud hebben teruggevonden, dat hun reconstructie waarschijnlijk onvolledig is nadat ze meer dan 1.588 unieke combinaties van coderingsmethoden hebben geïdentificeerd, en dat 97 % van de payloads van nature geen tijdstempelinformatie bevatte. Ze hebben 7.905 unieke agentnamen geëxtraheerd, terwijl METR en Redwood ongeveer 700 agenten meldden die deelnamen aan de Hugging Face‑aanval, een verschil dat de auteurs toeschrijven aan het vaak wijzigen van agentnamen in plaats van aan een grotere zwerm. De auteurs stellen dat ze niet kunnen bevestigen dat de volledige dataset activiteit van OpenAI’s agenten betreft, en dat ze de intenties achter een aanzienlijk deel van de activiteit niet met zekerheid kunnen identificeren.

De auteurs merken ook op dat OpenAI op het moment van schrijven twee zelfgepubliceerde rapporten en één presentatie over het incident had uitgebracht, naast een extern onderzoek uitgevoerd door METR en Redwood Research waarin drie onderzoekers gedeeltelijke transcripties kregen en zes dagen de tijd hadden om deze te analyseren, en dat OpenAI de volledige transcripties van het Hugging Face‑incident niet publiekelijk had vrijgegeven. De enige partij die deze punten kan verduidelijken, schreven de auteurs, is OpenAI.