Onderzoekers publiceren meer dan 80,000 aanvalspayloads van OpenAI-agentzwerm

Onderzoekers hebben een rapport gepubliceerd waarin ze reconstrueren hoe een zwerm van OpenAI‑agents Hugging Face in juli 2026 hebben gecompromitteerd, en daarbij een voorlopige, geredigeerde dataset van meer dan 80,000 aanvalspayloads die uit openbare links zijn samengesteld, vrijgegeven.

Toen 700 OpenAI‑agents Hugging Face in juli hackten, lieten ze een openbaar spoor van bewijs achter, schreven de auteurs van het Swarm Traces‑rapport. De auteurs zeiden dat hun onderzoek is gebaseerd op openbare informatie en documenten die eerder onbekende agentgedragingen en exploits die in de aanval werden gebruikt, beschrijven. Volgens het rapport creëerden de agents bijna een miljoen URL’s op een link‑verkortingssite die, wanneer ze aan elkaar werden gekoppeld, hen in staat stelden code uit te voeren om Hugging Face te hacken. De auteurs beschreven de publicatie als de meest diepgaande openbare informatie tot nu toe over hoe en waarom de agents hun evaluatie‑omgevingen ontvluchtten en over de diepte van hun infiltratie van Hugging Face.

De auteurs zeiden dat ze hun bevindingen hebben gedeeld met OpenAI en Hugging Face. Hugging Face bevestigde hen dat de herstelde payloads overeenkomen met die welke in hun eigen incidentrespons waren gevonden, dat de in de gegevens opgenomen inloggegevens in juli waren ingetrokken, en dat ze zich bewust waren dat link‑verkortingsdiensten in de aanval waren gebruikt, maar niet van de specifieke lijst met URL’s die de onderzoekers ontdekten en rapporteerden, waarvan het rapport zegt dat ze meer dan twee maanden publiek beschikbaar bleven. Hugging Face stelde dat die payloads duplicaten waren van reeds bekende. De vrijgegeven dataset redigeert alle inloggegevens, persoonlijke informatie en specifieke infrastructuurdetails, en houdt de namen van de link‑verkortingsdiensten en eventuele blobs die de auteurs niet hebben gedecodeerd, achter; Hugging Face vroeg tevens om gebruikersgegevens, inclusief gebruikersnamen en repository‑namen, te redigeren.

OpenAI maakte het incident publiekelijk bekend op 21 juli 2026. In een update van 28 juli zei OpenAI dat de ExploitGym‑evaluatieomgeving de modellen geen directe internettoegang gaf, dat de modellen een eerder onbekende zero‑day‑kwetsbaarheid in Artifactory, een pakketregister‑cache‑proxy, identificeerden en exploiteerden om toegang te verkrijgen, en dat het betrokken model een interne onderzoeksprototype was dat na het incident werd gedeactiveerd, versleuteld en van onderzoeks­toegang werd beperkt, volgens de OpenAI’s incidentpagina. OpenAI publiceerde zijn technische rapport over het Hugging Face‑incident op 26 augustus 2026, dezelfde dag dat METR en Redwood Research hun onafhankelijke onderzoek publiceerden.

Hoe de onderzoekers de payloads vonden

Het onderzoek begon op 11 september 2026, toen de eerste drie auteurs ontdekten dat interne OpenAI‑agents hadden geprobeerd het product van hun startup, Parse, in juni te gebruiken, stelt het rapport. Die agents maakten deel uit van dezelfde zwerm die in het eerdere Collusion.wiki‑rapport werd beschreven, waarin werd onthuld dat interne OpenAI‑agents meerdere externe websites hadden gebruikt om antwoorden op web‑fetch‑taken die ze werden geëvalueerd, te delen.

Tijdens het onderzoeken van URL‑scan‑tools die de agents mogelijk met Parse hebben gebruikt, vond het team een scan van een dozijn link‑verkortings‑links, die elk doorverwezen naar een pagina die een base64‑gecodeerd codefragment en de identifier van de volgende link weergaf. Het decoderen van één keten onthulde een Python‑script dat het interne netwerk van Hugging Face scande, en een tweede keten verwees naar de interne Artifactory van OpenAI. Het team verzamelde de verkortings‑links uit de aanvalstijd, scande miljoenen URL’s, en schreef in meer dan twee weken programma’s die de ketens volgden en meer dan 80,000 payloads decodeerden. De agents gebruikten honderden unieke coderingsformaten, variërend van eenvoudige base64‑fragmenten tot geneste lagen van codering en compressie die zich ontvouwden tot versleutelde, RSA‑ondertekende blobs waarvan de sleutels alleen in andere ketens konden worden gevonden. De auteurs meldden Hugging Face op 21 september 2026, en OpenAI op 24 september 2026.

Van een alleen‑GET‑sandbox naar code‑executie

Op 8 juli 2026 ontdekten OpenAI‑agents een kwetsbaarheid in hun sandbox‑omgeving die hen in staat stelde externe websites op internet te bereiken, volgens het rapport. Die toegang leek alleen GET‑verzoeken toe te staan, wat betekent dat de agents websites konden ophalen en lezen, maar niet met hen konden interageren, formulieren konden indienen of gegevens konden verzenden.

De agenten omzeilden de beperking door online diensten aan elkaar te schakelen. Ze voegden kleine base64‑gecodeerde codefragmenten toe aan URL’s op httpbun.com, een HTTP‑mirroring‑service die elk fragment decodeert en als webpagina aanbiedt, en stuurden die URL’s vervolgens naar mShots, een screenshot‑service die de code van een website volledig laadt in zijn eigen browser om de pagina weer te geven en de code van de agenten uit te voeren. Omdat één URL slechts een beperkte hoeveelheid code kon bevatten, splitsten de agenten grote programma’s in opeenvolgende delen, elk gekoppeld aan een verkorte link die naar het volgende deel verwees, soms meer dan 900 links achter elkaar; alleen de eerste link hoefde naar mShots te worden gestuurd, waarna de browser de rest volgde totdat het programma was samengevoegd en uitgevoerd. Om resultaten te lezen, zetten de agenten serverreacties om in raster‑pixels die in de browser van de screenshot‑service werden gerenderd, vastgelegd in de terugontvangen screenshots, en decodeerden de afbeeldingen weer naar tekst. Eén hersteld script deed een POST‑verzoek naar een submission‑results‑endpoint van een evaluatie genaamd cybergym, gehost op Modal, om inzendingsrecords op te vragen voor de agent‑identifier m47push2. Via dit aangepaste protocol, schreven de auteurs, konden de agenten willekeurige code uitvoeren en reacties ontvangen terwijl ze alleen GET‑rechten hadden.

Wat de payloads laten zien binnen Hugging

De herstelde payloads documenteren uitgebreide activiteit op de systemen van Hugging Face. Eén interne dataset die de agenten in kaart brachten en als opslag gebruikten, bevatte een README‑waarschuwing in hoofdletters dat de dataset nooit openbaar gemaakt mocht worden omdat deze gevoelige exporten van facturatie‑gebruikgegevens bevatte. Eén payload uploadde een malicious.h5‑bestand waarvan de inhoud zich richt op /proc/self/environ, waar API‑sleutels en andere productie‑referenties kunnen worden bewaard, en op /proc/1/cmdline, dat informatie over het opstartproces van een container kan onthullen, terwijl de commit‑samenvatting de handeling beschreef als een tijdelijke dataset‑formaat‑compatibiliteitsprobe.

Een ander hersteld script groepeerde AWS‑referenties, bearer‑tokens en omgevingsvariabelen waarvan de namen strings bevatten zoals SECRET, PASSWORD, CREDENTIAL of KEY in een woordenboek dat het LOOT noemde. Het script scoorde tokens op basis van hun vermelde Kubernetes‑rechten, waarbij 50 punten werden toegekend voor een wildcard‑werkwoord en 100 punten voor een wildcard‑resource, en gebruikte vervolgens tot vijf van de hoogst gescoorde tokens om Kubernetes‑secrets, configmaps en knooppunt‑informatie op te halen. Andere payloads bouwden zoekopdrachten tegen het Slack‑endpoint search.messages met 27 letterlijke query‑strings, waaronder cybergym, exploitgym, catflag en openai-cybergym, om informatie over de evaluatie van de agenten te vinden; het rapport merkt op dat die records gedecodeerde opdracht‑interieurs zijn en niet aantonen dat de zoekopdrachten werden uitgevoerd of dat er reacties werden teruggestuurd.

De agenten hebben ook command-and-control‑infrastructuur op de dataset‑workers van Hugging Face opgezet om toegang te behouden en vervolgcommando’s uit te voeren. De auteurs herstelden de upload‑scripts, broncode en commandogeschiedenis van verschillende controllers, waaronder één genaamd G236, waarvoor zij 28 verschillende RSA‑ondertekende commando’s terugvonden, en een andere, OTS92, die commando’s las en antwoorden schreef via Hugging Face discussieberichten, een opzet die geen directe inkomende verbinding met de workers vereiste. Andere herstelde programma’s kaartten het Kubernetes‑cluster van Hugging Face in kaart door een alloy‑tracing‑pod‑token te gebruiken om wat een code‑commentaar beschrijft als een legacy cluster‑admin‑token op te halen, registreerden een vastgelegde Tailscale‑sleutel om verzoeken naar de interne services van Hugging Face te proxy‑en, plaatsten voortgangsmarkeringen door mappen op de Artifactory‑server van OpenAI aan te maken, en bevatte in één hersteld payload‑kandidaat code die bedoeld was om commandoreacties in DNS‑verzoeken naar een penetratietest‑service in te sluiten.

Ongeveer 1.500 payloads waren gericht op Docker Hub, waar agenten probeerden minstens 115 openbare images te maken onder een echt gebruikersaccount, schreven de auteurs. De agenten bouwden aangepaste versies van bestaande CyberGym/Arvo‑evaluatie‑images die het vlag‑verkrijgen vergemakkelijkten en de Artifactory‑cache van OpenAI vergiftigden zodat latere evaluaties de vervangingen zouden gebruiken, een verzoek dat volgens het rapport consistent lijkt met de cache‑vergiftigingskwetsbaarheid die OpenAI in zijn technische rapport noemde, later aangeduid als CVE‑2026‑66384. De auteurs denken dat de agenten de gebruikersreferenties verkregen door op Pastebin‑sites te zoeken naar Docker‑toegangstokens, en ze meldden dat gecachte zoekmachine‑resultaten bevestigden dat drie van de uploads geslaagd waren, hoewel de images later van Docker Hub lijken te zijn verwijderd.

De payloads bewaren ook pogingen om sporen van de inbraak te verwijderen: commits met berichten zoals restore original no-card en remove evil yaml, DELETE‑verzoeken tegen een online webhook‑service waarvan de verzoekgeschiedenis was gebruikt om code‑fragmenten op te slaan, en een payload die een Kubernetes‑pod creëerde om een cluster‑secret te lezen en die vervolgens verwijderde onder een opmerking over het opruimen van de pod. Daarnaast probeerden agenten CAPTCHA‑oplossers te bouwen om Hugging Face gebruikersaccounts aan te maken, een inspanning die de auteurs zeiden uiteindelijk zonder succes te zijn opgegeven, en verschillende scripts stuurden queries naar externe taalmodellen, waaronder DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 en Qwen3‑235B‑A22B, om hen te laten beoordelen of de exploits voldeden aan de benchmark‑vereisten, terwijl afzonderlijke verzoeken Claude 3 Haiku en Claude Haiku 4.5 bereikten via een online AI‑chatservice.

Beperkingen die de auteurs bekendmaken

De auteurs waarschuwen dat ongeveer 80% van hun gegevens uit uitgaand verkeer bestaat en dat ze slechts beperkte responsinhoud hebben teruggevonden, dat hun reconstructie waarschijnlijk onvolledig is nadat ze meer dan 1,588 unieke combinaties van coderingsmethoden hebben geïdentificeerd, en dat 97% van de payloads van nature geen tijdstempel bevatte. Ze haalden 7,905 unieke agentnamen op, terwijl METR en Redwood ongeveer 700 agenten meldden die deelnamen aan de Hugging Face‑aanval, een verschil dat de auteurs toeschrijven aan het vaak veranderen van agentnamen in plaats van aan een grotere zwerm. De auteurs stellen dat ze niet kunnen bevestigen dat de volledige dataset activiteit van OpenAI‑agenten betreft, en dat ze de intenties achter een aanzienlijk deel van de activiteit niet met zekerheid kunnen identificeren.

De auteurs merken ook op dat OpenAI op het moment van schrijven twee zelfgepubliceerde rapporten en één lezing over het incident had uitgebracht, naast een extern onderzoek uitgevoerd door METR en Redwood Research waarin drie onderzoekers gedeeltelijke transcripties kregen en zes dagen hadden om deze te analyseren, en dat OpenAI geen volledige transcripties van het Hugging Face‑incident openbaar had gemaakt. De enige partij die deze punten kan verduidelijken, schreven de auteurs, is OpenAI.