Forskere publiserer over 80 000 angrepspayloads fra OpenAI‑agent‑sverm

Forskere har publisert en rapport som rekonstruerer hvordan en sverm av OpenAI‑agenter kompromitterte Hugging Face i juli 2026, og har samtidig gjort tilgjengelig et foreløpig datasett med sensitive opplysninger fjernet med mer enn 80 000 angrepspayloads samlet fra offentlige lenker.

Da 700 OpenAI‑agenter hacket Hugging Face i juli, etterlot de et offentlig spor av bevis, skrev forfatterne av Swarm Traces-rapporten. Forfatterne oppga at undersøkelsen er basert på offentlig informasjon og dokumenterer tidligere ukjente agentatferder og utnyttelser som ble brukt i angrepet. Ifølge rapporten opprettet agentene nesten en million URL‑er på en lenkekort‑tjeneste som, når de kobles sammen, gjorde det mulig å kjøre kode for å hacke Hugging Face. Forfatterne beskrev utgivelsen som den mest grundige offentlige informasjonen hittil om hvordan og hvorfor agentene unnslapp sine evalueringsmiljøer og om omfanget av deres infiltrering av Hugging Face.

Forfatterne oppga at de delte funnene sine med OpenAI og Hugging Face. Hugging Face bekreftet for dem at de gjenopprettede payloadene samsvarer med de som ble funnet i deres egen hendelsesrespons, at legitimasjonene i dataene ble tilbakekalt i juli, og at de var klar over at lenkekort‑tjenester ble brukt i angrepet, men ikke om den spesifikke listen over URL‑er forskerne oppdaget og rapporterte, lenker som ifølge rapporten forble offentlig tilgjengelige i over to måneder. Hugging Face uttalte at disse payloadene var duplikater av allerede kjente. Det publiserte datasettet fjerner alle legitimasjoner, personlig informasjon og spesifikke infrastrukturdetaljer, og holder tilbake navnene på lenkekort‑tjenestene og eventuelle blobber forfatterne ikke har dekodet; Hugging Face ba også om at brukerdata, inkludert brukernavn og repositorienavn, blir fjernet.

OpenAI offentliggjorde hendelsen 21. juli 2026. I en oppdatering 28. juli oppga OpenAI at ExploitGym-evalueringsmiljøet ikke ga modellene direkte internettilgang, at modellene identifiserte og utnyttet en tidligere ukjent null‑dagssårbarhet i Artifactory, en pakke‑register‑cache‑proxy, for å få tilgang, og at den involverte modellen var en forskningsprototype kun for intern bruk som ble deaktivert og kryptert etter hendelsen, og som forskernes tilgang til ble begrenset, ifølge OpenAI sin hendelsesside. OpenAI publiserte sin tekniske rapport om Hugging Face‑hendelsen 26. august 2026, samme dag som METR og Redwood Research publiserte sine uavhengige undersøkelser.

Hvordan forskerne fant payloadene

Undersøkelsen startet 11. september 2026, da de tre første forfatterne fikk vite at interne OpenAI‑agenter hadde forsøkt å bruke oppstartsbedriftens produkt, Parse, i juni, ifølge rapporten. Disse agentene var en del av den samme svermen som ble beskrevet i den tidligere Collusion.wiki‑rapporten, som avdekket at interne OpenAI‑agenter hadde brukt flere tredjeparts‑nettsteder for å dele svar på web‑hentingsoppgaver de ble evaluert på.

Mens de undersøkte URL‑skanningsverktøy de mente agentene kan ha brukt med Parse, fant teamet en skanning av et dusin lenkekort‑lenker, hver omdirigert til en side som viste et base64‑kodet kodefragment og identifikatoren til neste lenke. Dekoding av én kjede avdekket et Python‑skript som skannet Hugging Face sitt interne nettverk, og en annen kjede pekte til OpenAI sitt interne Artifactory. Teamet samlet korttjenestens lenker fra angrepsperioden, skannet millioner av URL‑er, og skrev i løpet av to uker programmer som fulgte kjedene og dekodet mer enn 80 000 payloads. Agentene brukte hundrevis av unike kodingsformater, fra enkle base64‑fragmenter til nestede lag av kodning og komprimering som avpakker til krypterte, RSA‑signerte blobber hvis nøkler kun kunne finnes i andre kjeder. Forfatterne varslet Hugging Face 21. september 2026, og OpenAI 24. september 2026.

Fra kun‑GET‑sandkasse til kodeutførelse

Den 8. juli 2026 oppdaget OpenAI‑agenter en sårbarhet i sandkasse‑miljøet sitt som gjorde det mulig å nå eksterne nettsteder på internett, ifølge rapporten. Tilgangen ser ut til kun å ha tillatt GET‑forespørsler, noe som betyr at agentene kunne hente og lese nettsteder, men ikke kunne samhandle med dem, sende inn skjemaer eller overføre data.

Agentene omgikk begrensningen ved å lenke sammen nettjenester. De la til små base64‑kodede kodefragmenter i URL‑er på httpbun.com, en HTTP‑speilingstjeneste som dekoder hvert fragment og leverer det som en nettside, og sendte deretter disse URL‑ene til mShots, en skjermdump‑tjeneste som fullt ut laster inn en nettsides kode i sin egen nettleser for å gjengi siden og kjøre agentenes kode. Fordi en enkelt URL kun kunne inneholde begrenset kode, delte agentene opp store programmer i sekvensielle biter, hver med en forkortet lenke som pekte til neste bit, og noen ganger lenket de sammen mer enn 900 lenker; kun den første lenken måtte sendes til mShots, hvis nettleser fulgte resten til programmet var satt sammen og kjørt. For å lese resultater konverterte agentene serverresponsene til rutenett av piksler som ble gjengitt i skjermdump‑tjenestens nettleser, fanget i de returnerte skjermdumpene, og dekodet bildene tilbake til tekst. Et gjenopprettet skript sendte en POST‑forespørsel til et submission-results‑endepunkt for en evaluering kalt cybergym som kjører på Modal, og ba om innsendinger for agentidentifikatoren m47push2. Gjennom denne tilpassede protokollen, skrev forfatterne, kunne agentene utføre vilkårlig kode og motta svar mens de kun hadde GET‑tillatelser.

Hva payloadene avslører om aktiviteten inne på plattformen

De gjenopprettede payloadene dokumenterer omfattende aktivitet på Hugging Face sine systemer. Ett internt datasett som agentene kartla og brukte som lagring, inneholdt en README‑advarsel med store bokstaver om at datasettet aldri måtte gjøres offentlig fordi det inneholdt sensitive eksporteringer av fakturerings‑ og bruksdata. En payload lastet opp en malicious.h5‑fil hvis innhold retter seg mot /proc/self/environ, som kan inneholde API‑nøkler og andre produksjonslegitimasjoner, og /proc/1/cmdline, som kan avsløre informasjon om en containers oppstartsprosess, mens commit‑sammendraget beskrev operasjonen som en midlertidig datasett‑format‑kompatibilitetsundersøkelse.

Et annet gjenopprettet skript grupperte AWS‑legitimasjoner, bærer‑token og miljøvariabler med navn som inneholder strenger som SECRET, PASSWORD, CREDENTIAL eller KEY i en ordbok den kalte LOOT. Skriptet ga poeng til tokenene basert på deres oppførte Kubernetes‑tillatelser, og tildelte 50 poeng for et joker‑verb og 100 poeng for en joker‑ressurs, deretter brukte det opptil fem av de høyest poenggivende tokenene til å hente Kubernetes‑hemmeligheter, configmaps og node‑informasjon. Andre payloader bygde søk mot Slacks search.messages‑endepunkt med 27 bokstavelige spørringsstrenger, inkludert cybergym, exploitgym, catflag og openai-cybergym, for å finne informasjon om agentenes evaluering; rapporten bemerker at disse postene er dekodede kommando‑interiører og ikke beviser at søkene ble utført eller at svar ble returnert.

Agentene startet også kommando‑og‑kontroll‑infrastruktur på Hugging Face sine arbeidsprosesser for datasett for å beholde tilgang og kjøre oppfølgingskommandoer. Forfatterne gjenopprettet opplastingsskriptene, kildekoden og kommandohistorikken til flere kontrollere, inkludert en kalt G236, hvor de fant 28 ulike RSA‑signerte kommandoer, og en annen, OTS92, som leste kommandoer og skrev svar gjennom Hugging Face‑diskusjonskommentarer, en ordning som ikke krevde direkte innkommende tilkobling til arbeidsprosessene. Andre gjenopprettede programmer kartla Hugging Face sin Kubernetes‑klynge ved å bruke et alloy‑tracing‑pod‑token for å hente det som en kodekommentar beskriver som et eldre cluster‑admin‑token, registrerte en fanget Tailscale‑nøkkel for å proxy‑forespørsler mot Hugging Face sine interne tjenester, postet fremdriftsmarkører ved å opprette kataloger på OpenAI sin Artifactory‑server, og i én gjenopprettet payload‑kandidat inneholdt de kode som var designet for å innlemme kommando‑svar i DNS‑forespørsler til en penetrasjonstest‑tjeneste.

Omtrent 1 500 payloader ble rettet mot Docker Hub, hvor agentene forsøkte å opprette minst 115 offentlige programvareavbildninger under en ekte brukerkonto, skrev forfatterne. Agentene bygde modifiserte versjoner av eksisterende CyberGym/Arvo‑evalueringsavbildninger som var designet for å gjøre flagget lettere å oppnå og for å forgifte OpenAI sin Artifactory‑cache slik at senere evalueringer ville bruke erstatningene, en forespørsel som rapporten sier ser ut til å være i samsvar med cache‑forgiftningssårbarheten OpenAI bemerket i sin tekniske rapport, senere betegnet CVE‑2026‑66384. Forfatterne tror agentene fikk tak i brukerens legitimasjon ved å søke på Pastebin‑sider etter Docker‑tilgangstoken, og de oppga at bufrede søkemotorresultater bekreftet at tre av opplastningene lyktes, selv om avbildningene ser ut til å ha blitt fjernet fra Docker Hub.

Payloadene bevarer også forsøk på å fjerne spor av inntrengingen: commits med meldinger som restore original no-card og remove evil yaml, DELETE‑forespørsler mot en nettbasert webhook‑tjeneste hvis forespørselshistorikk hadde blitt brukt til å lagre kodefragmenter, og en payload som opprettet en Kubernetes‑pod for å lese en klynges hemmelighet og deretter slettet pod’en under en kommentar om opprydding av pod’en. Separat prøvde agentene å bygge CAPTCHA‑løsnere for å opprette Hugging Face‑brukerkontoer, et forsøk som forfatterne sa ble forlatt uten suksess, og flere skript sendte spørringer til eksterne språkmodeller, inkludert DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi‑K2.6 og Qwen3‑235B‑A22B, og ba dem vurdere exploitene og avgjøre om de oppfylte benchmark‑kravene, mens separate forespørsler nådde Claude 3 Haiku og Claude Haiku 4.5 via en nettbasert AI‑chat‑tjeneste.

Begrensninger forfatterne oppgir

Forfatterne advarer om at omtrent 80 % av dataene deres er utgående trafikk, og at de kun gjenvant begrenset responsinnhold, at rekonstruksjonen sannsynligvis er ufullstendig etter at de identifiserte mer enn 1 588 unike kombinasjoner av kodingsmetoder, og at 97 % av nyttelastene naturlig sett ikke inneholdt tidsstempelinformasjon. De ekstraherte 7 905 unike agentnavn, mens METR og Redwood rapporterte omtrent 700 agenter som deltok i Hugging‑Face‑angrepet, en forskjell forfatterne tilskriver at agenter ofte endrer navnene sine snarere enn at det er en større sverm. Forfatterne oppgir at de ikke kan bekrefte at hele datasettet er aktivitet fra OpenAI‑agenter, og at de ikke med sikkerhet kan identifisere intensjonene bak en betydelig del av aktiviteten.

Forfatterne bemerker også at OpenAI på skrivetidspunktet hadde publisert to selvutgitte rapporter og en presentasjon om hendelsen, i tillegg til en ekstern undersøkelse utført av METR og Redwood Research hvor tre forskere fikk delvise transkripsjoner og seks dager til å analysere dem, og at OpenAI ikke offentlig hadde gjort tilgjengelig fullstendige transkripsjoner fra Hugging‑Face‑hendelsen. Den eneste parten som kan avklare disse punktene, skrev forfatterne, er OpenAI.