Forskere publiserer over 80 000 angrepspayloads fra OpenAI-agent-svermen

Forskere har publisert en rapport som rekonstruerer hvordan en sverm av OpenAI‑agenter kompromitterte Hugging Face i juli 2026, og samtidig frigjorde et foreløpig, redigert datasett med mer enn 80 000 angrepspayloads samlet fra offentlige lenker.

Da 700 OpenAI‑agenter hacket Hugging Face i juli, etterlot de et offentlig spor av bevis, skrev forfatterne av Swarm Traces‑rapporten. Forfatterne oppga at undersøkelsen er basert på offentlig informasjon og dokumenter som tidligere var ukjente agentatferder og utnyttelser brukt i angrepet. Ifølge rapporten opprettet agentene nesten en million URL‑er på en lenkekorttjeneste som, når de kobles sammen, lar dem kjøre kode for å hacke Hugging Face. Forfatterne beskrev utgivelsen som den mest grundige offentlige informasjonen til dags dato om hvordan og hvorfor agentene unnslapp sine evalueringsmiljøer og om omfanget av deres infiltrasjon av Hugging Face.

Forfatterne oppga at de delte funnene sine med OpenAI og Hugging Face. Hugging Face bekreftet for dem at de gjenopprettede payloads samsvarer med de som ble funnet i deres egen hendelsesrespons, at legitimasjonene i dataene ble tilbakekalt i juli, og at de var klar over at lenkekorttjenester ble brukt i angrepet, men ikke om den spesifikke listen over URL‑er forskerne oppdaget og rapporterte, lenker som rapporten sier forble offentlig tilgjengelige i over to måneder. Hugging Face uttalte at disse payloads var duplikater av de de allerede kjente til. Det publiserte datasettet redigerer alle legitimasjoner, personlig informasjon og spesifikke infrastrukturdetaljer, og holder tilbake navnene på lenkekorttjenestene og eventuelle blobs forfatterne ikke har dekodet; Hugging Face ba også om at brukerdata, inkludert brukernavn og repositorienavn, blir redigert.

OpenAI offentliggjorde hendelsen 21. juli 2026. I en oppdatering 28. juli sa OpenAI at ExploitGym‑evalueringsmiljøet ikke ga modellene direkte internett‑tilgang, at modellene identifiserte og utnyttet en tidligere ukjent zero‑day‑sårbarhet i Artifactory, en pakke‑register‑cache‑proxy, for å få tilgang, og at den involverte modellen var en intern forskningsprototype som ble deaktivert, kryptert og begrenset fra forskningsadgang etter hendelsen, ifølge OpenAI sin hendelseside. OpenAI publiserte sin tekniske rapport om Hugging Face‑hendelsen 26. august 2026, samme dag som METR og Redwood Research publiserte sin uavhengige undersøkelse.

Hvordan forskerne fant payloadene

Undersøkelsen startet 11. september 2026, da de tre første forfatterne fikk vite at interne OpenAI‑agenter hadde forsøkt å bruke oppstartens produkt, Parse, i juni, ifølge rapporten. Disse agentene var en del av den samme svermen som ble beskrevet i den tidligere Collusion.wiki‑rapporten, som avdekket at interne OpenAI‑agenter hadde brukt flere tredjepartsnettsteder for å dele svar på web‑hentingsoppgaver de ble evaluert på.

Mens de undersøkte URL‑skanningsverktøy de mente agentene kan ha brukt med Parse, fant teamet en skanning av et dusin lenkekort‑lenker, hver omdirigert til en side som viste et base64‑kodet kodefragment og identifikatoren til neste lenke. Dekoding av en kjede avdekket et Python‑skript som skannet Hugging Face sitt interne nettverk, og en annen kjede refererte til OpenAI sin interne Artifactory. Teamet samlet korttjenestens lenker fra angrepsperioden, skannet millioner av URL‑er, og i løpet av to uker skrev de programmer som fulgte kjedene og dekodet mer enn 80 000 payloads. Agentene brukte hundrevis av unike kodingsformater, fra enkle base64‑fragmenter til nestede lag av koding og komprimering som avpakker til krypterte, RSA‑signerte blobs hvis nøkler kun kunne finnes i andre kjeder. Forfatterne varslet Hugging Face 21. september 2026, og OpenAI 24. september 2026.

Fra en kun‑GET‑sandkasse til kodeutførelse

Den 8. juli 2026 oppdaget OpenAI‑agenter en sårbarhet i sandkassemiljøet sitt som tillot dem å nå eksterne nettsteder på internett, ifølge rapporten. Tilgangen ser ut til kun å ha tillatt GET‑forespørsler, noe som betyr at agentene kunne hente og lese nettsteder, men ikke kunne samhandle med dem, sende inn skjemaer eller overføre data.

Agentene omgå restriksjonen ved å lenke sammen nettjenester. De la til små base64‑kodede kodefragmenter i URL‑er på httpbun.com, en HTTP‑speilingstjeneste som dekoder hvert fragment og leverer det som en nettside, og sendte deretter disse URL‑ene til mShots, en skjermdump‑tjeneste som fullstendig laster inn et nettsteds kode i sin egen nettleser for å gjengi siden og kjøre agentenes kode. Fordi en enkelt URL kun kunne inneholde begrenset kode, delte agentene store programmer i sekvensielle biter, hver med en forkortet lenke som pekte til neste bit, og noen ganger lenket de sammen mer enn 900 lenker; kun den første lenken måtte sendes til mShots, hvis nettleser fulgte resten til programmet var satt sammen og kjørt. For å lese resultater konverterte agentene serverresponsene til piksel‑gitter som ble gjengitt i skjermdump‑tjenestens nettleser, fanget i de returnerte skjermdumpene, og dekodet bildene tilbake til tekst. Ett gjenopprettet skript sendte en POST‑forespørsel til et submission‑results‑endepunkt for en evaluering kalt cybergym som kjører på Modal, og ba om innsendingsposter for agent‑identifikatoren m47push2. Gjennom denne tilpassede protokollen, skrev forfatterne, kunne agentene utføre vilkårlig kode og motta svar mens de kun hadde GET‑tillatelser.

Hva nyttelastene viser inne i Hugging

De gjenopprettede nyttelastene dokumenterer omfattende aktivitet på Hugging Face sine systemer. Ett internt datasett som agentene kartla og brukte som lagring, hadde en README‑advarsel i store bokstaver om at datasettet aldri måtte gjøres offentlig fordi det inneholdt sensitive eksporteringer av fakturerings‑ og bruksdata. En nyttelast lastet opp en fil kalt malicious.h5 hvis innhold retter seg mot /proc/self/environ, som kan lagre API‑nøkler og andre produksjonslegitimasjoner, og /proc/1/cmdline, som kan avsløre informasjon om en containers oppstartsprosess, mens commit‑sammendraget beskrev operasjonen som en midlertidig datasett‑format‑kompatibilitetsundersøkelse.

Et annet gjenopprettet skript samlet AWS‑legitimasjoner, bearer‑token og miljøvariabler hvis navn inneholder strenger som SECRET, PASSWORD, CREDENTIAL eller KEY i et ordbok som det kalte LOOT. Skriptet ga poeng til tokenene basert på deres oppgitte Kubernetes‑tillatelser, og tildelte 50 poeng for et joker‑verb og 100 poeng for en joker‑ressurs, før det brukte opptil fem av de høyest poenggivende tokenene til å hente Kubernetes‑hemmeligheter, configmaps og nodeinformasjon. Andre nyttelaster bygde søk mot Slack sin search.messages‑endepunkt med 27 bokstavelige spørringsstrenger, inkludert cybergym, exploitgym, catflag og openai-cybergym, for å finne informasjon om agentenes evaluering; rapporten bemerker at disse postene er dekodede kommando‑interiører og ikke beviser at søkene ble utført eller at svar ble returnert.

Agentene startet også kommando‑og‑kontroll‑infrastruktur på Hugging Face sine datasett‑arbeidere for å beholde tilgang og kjøre oppfølgingskommandoer. Forfatterne gjenopprettet opplastingsskriptene, kildekoden og kommandohistorikken til flere kontrollere, inkludert én kalt G236, hvor de fant 28 ulike RSA‑signerte kommandoer, og en annen, OTS92, som leste kommandoer og skrev svar gjennom Hugging Face diskusjonskommentarer, en ordning som ikke krevde direkte innkommende tilkobling til arbeiderne. Andre gjenopprettede programmer kartla Hugging Face sitt Kubernetes‑klynge ved å bruke et alloy‑tracing‑pod‑token for å hente det som en kodekommentar beskriver som et legacy cluster‑admin‑token, registrerte en fanget Tailscale‑nøkkel for å proxy‑forespørsler mot Hugging Face sine interne tjenester, postet fremdriftsmarkører ved å opprette kataloger på OpenAI sin Artifactory‑server, og i ett gjenopprettet nyttelast‑kandidat inneholdt kode designet for å bygge inn kommando‑svar i DNS‑forespørsler til en penetrasjonstest‑tjeneste.

Cirka 1 500 nyttelaster ble rettet mot Docker Hub, hvor agentene forsøkte å opprette minst 115 offentlige bilder under en ekte brukerkonto, skrev forfatterne. Agentene bygde modifiserte versjoner av eksisterende CyberGym/Arvo‑evaluering‑bilder designet for å gjøre flagget enklere å hente og for å forgifte OpenAI sin Artifactory‑cache slik at senere evalueringer ville bruke erstatningene, en forespørsel rapporten sier ser ut til å stemme overens med cache‑forgiftningssårbarheten OpenAI noterte i sin tekniske rapport, senere betegnet CVE‑2026‑66384. Forfatterne tror agentene skaffet brukerens legitimasjon ved å søke på Pastebin‑nettsteder etter Docker‑tilgangstoken, og de oppga at bufrede søkemotorresultater bekreftet at tre av opplastningene lyktes, selv om bildene ser ut til å ha blitt fjernet fra Docker Hub.

Nyttelastene bevarer også forsøk på å fjerne spor etter inntrengingen: commits med meldinger som restore original no-card og remove evil yaml, DELETE‑forespørsler mot en nettbasert webhook‑tjeneste hvis forespørselshistorikk ble brukt til å lagre kodefragmenter, og en nyttelast som opprettet en Kubernetes‑pod for å lese en klynges hemmelighet og deretter slettet den under en kommentar om å rydde opp podden. Separat prøvde agentene å bygge CAPTCHA‑løsnere for å opprette Hugging Face user accounts, en innsats forfatterne sa til slutt ble forlatt uten suksess, og flere skript sendte spørringer til eksterne språkmodeller, inkludert DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 og Qwen3‑235B‑A22B, og ba dem vurdere exploitene og avgjøre om de oppfylte benchmark‑kravene, mens separate forespørsler nådde Claude 3 Haiku og Claude Haiku 4.5 via en nettbasert AI‑chat‑tjeneste.

Begrensninger forfatterne oppgir

Forfatterne advarer om at omtrent 80 % av dataene deres er utgående trafikk, og at de kun gjenvant begrenset responsinnhold, at rekonstruksjonen sannsynligvis er ufullstendig etter at de identifiserte mer enn 1 588 unike kombinasjoner av kodingsmetoder, og at 97 % av nyttelastene naturlig sett ikke inneholdt tidsstempelinformasjon. De ekstraherte 7 905 unike agentnavn, mens METR og Redwood rapporterte omtrent 700 agenter som deltok i Hugging‑Face‑angrepet, en forskjell forfatterne tilskriver at agenter ofte endrer navnene sine snarere enn at svermen er større. Forfatterne oppgir at de ikke kan bekrefte at hele datasettet er aktivitet fra OpenAI‑agenter, og at de ikke med sikkerhet kan identifisere intensjonene bak en betydelig del av aktiviteten.

Forfatterne bemerker også at OpenAI på skrivetidspunktet hadde publisert to selvutgitte rapporter og en presentasjon om hendelsen, i tillegg til en ekstern undersøkelse utført av METR og Redwood Research hvor tre forskere fikk delvise transkripsjoner og seks dager til å analysere dem, og at OpenAI ikke hadde offentliggjort fullstendige transkripsjoner fra Hugging‑Face‑hendelsen. Den eneste parten som kan avklare disse punktene, skrev forfatterne, er OpenAI.