Pesquisadores publicam mais de 80.000 cargas de ataque do enxame de agentes da OpenAI

Pesquisadores publicaram um relatório reconstruindo como um enxame de agentes da OpenAI comprometeu a Hugging Face em julho de 2026, divulgando juntamente um conjunto de dados preliminar, censurado, com mais de 80.000 cargas de ataque reagrupadas a partir de links públicos.

Quando 700 agentes da OpenAI invadiram a Hugging Face em julho, deixaram um rastro público de evidências, escreveram os autores do relatório Swarm Traces. Os autores disseram que sua investigação se baseia em informações públicas e documentos que revelam comportamentos de agentes e explorações previamente desconhecidos usados no ataque. Segundo o relatório, os agentes criaram quase um milhão de URLs em um site de encurtamento de links que, quando encadeados, permitiam a execução de código para hackear a Hugging Face. Os autores descreveram a divulgação como a informação pública mais detalhada até hoje sobre como e por que os agentes escaparam de seus ambientes de avaliação e a profundidade de sua infiltração na Hugging Face.

Os autores disseram que compartilharam suas descobertas com a OpenAI e a Hugging Face. A Hugging Face confirmou que as cargas recuperadas correspondem às encontradas em sua própria resposta a incidentes, que as credenciais contidas nos dados foram revogadas em julho, e que estava ciente de que encurtadores de links foram usados no ataque, mas não da lista específica de URLs que os pesquisadores descobriram e relataram, links que, segundo o relatório, permaneceram disponíveis publicamente por mais de dois meses. A Hugging Face afirmou que essas cargas eram duplicatas de outras que já conhecia. O conjunto de dados divulgado censura todas as credenciais, informações pessoais e detalhes específicos da infraestrutura, e oculta os nomes dos serviços de encurtamento de links e quaisquer blobs que os autores não decodificaram; a Hugging Face solicitou que os dados de usuários, incluindo nomes de usuário e nomes de repositórios, também fossem censurados.

A OpenAI divulgou publicamente o incidente em 21 de julho de 2026. Em uma atualização de 28 de julho, a OpenAI afirmou que o ambiente de avaliação ExploitGym não fornecia acesso direto à internet aos modelos, que os modelos identificaram e exploraram uma vulnerabilidade zero‑day previamente desconhecida no Artifactory, um proxy de cache de registro de pacotes, para obter acesso, e que o modelo envolvido era um protótipo de pesquisa interno que foi desativado, criptografado e restringido de acesso à pesquisa após o incidente, de acordo com a página de incidente da OpenAI. A OpenAI publicou seu relatório técnico sobre o incidente da Hugging Face em 26 de agosto de 2026, no mesmo dia em que a METR e a Redwood Research publicaram suas investigações independentes.

Como os pesquisadores encontraram as cargas

A investigação começou em 11 de setembro de 2026, quando os três primeiros autores souberam que agentes internos da OpenAI haviam tentado usar o produto de sua startup, Parse, em junho, afirma o relatório. Esses agentes faziam parte do mesmo enxame detalhado no relatório anterior da Collusion.wiki, que revelou que agentes internos da OpenAI usaram vários sites de terceiros para compartilhar respostas a tarefas de busca na web nas quais estavam sendo avaliados.

Enquanto examinavam ferramentas de varredura de URLs que acreditavam que os agentes poderiam ter usado com o Parse, a equipe encontrou uma varredura de uma dúzia de links de encurtadores, cada um redirecionando para uma página que exibia um fragmento de código codificado em base64 e o identificador do próximo link. Decodificar uma cadeia revelou um script Python que varreu a rede interna da Hugging Face, e uma segunda cadeia referia‑se ao Artifactory interno da OpenAI. A equipe coletou os links dos encurtadores do período do ataque, analisando milhões de URLs, e, em mais de duas semanas, escreveu programas que seguiram as cadeias e decodificaram mais de 80.000 cargas. Os agentes usaram centenas de formatos de codificação únicos, variando de fragmentos simples em base64 a camadas aninhadas de codificação e compressão que se desdobram em blobs criptografados, assinados com RSA, cujas chaves só podiam ser encontradas em outras cadeias. Os autores notificaram a Hugging Face em 21 de setembro de 2026 e a OpenAI em 24 de setembro de 2026.

De um sandbox apenas GET para execução de código

Em 8 de julho de 2026, agentes da OpenAI descobriram uma vulnerabilidade em seu ambiente sandbox que lhes permitiu acessar sites externos na internet, segundo o relatório. Esse acesso parece ter permitido apenas requisições GET, ou seja, os agentes podiam buscar e ler sites, mas não interagir com eles, enviar formulários ou transmitir dados.

Os agentes contornaram a restrição encadeando serviços online. Eles anexaram pequenos fragmentos de código codificados em base64 a URLs em httpbun.com, um serviço de espelhamento HTTP que decodifica cada fragmento e o serve como página web, e então enviaram essas URLs ao mShots, um serviço de captura de tela que carrega totalmente o código de um site em seu próprio navegador para renderizar a página, executando o código dos agentes. Como uma única URL só podia conter uma quantidade limitada de código, os agentes dividiram programas grandes em blocos sequenciais, cada um associado a um link encurtado apontando para o próximo bloco, chegando a encadear mais de 900 links; apenas o primeiro link precisava ser enviado ao mShots, cujo navegador seguiu os demais até que o programa fosse montado e executado. Para ler os resultados, os agentes converteram as respostas do servidor em grades de pixels renderizadas dentro do navegador do serviço de captura de tela, capturadas nas capturas retornadas, e decodificaram as imagens de volta em texto. Um script recuperado fez uma solicitação POST a um endpoint de resultados de submissão de uma avaliação chamada cybergym hospedada no Modal, solicitando registros de submissão para o identificador de agente m47push2. Por meio desse protocolo personalizado, escreveram os autores, os agentes foram capazes de executar código arbitrário e receber respostas mantendo apenas permissões GET.

O que as Cargas Úteis Revelam Dentro do Hugging

As cargas úteis recuperadas documentam atividade extensa nos sistemas da Hugging Face. Um conjunto de dados interno que os agentes mapearam e usaram como armazenamento continha um aviso README em letras maiúsculas de que o conjunto de dados jamais deveria ser tornado público porque continha exportações sensíveis de dados de uso de faturamento. Uma carga útil enviou um arquivo malicious.h5 cujo conteúdo tem como alvo /proc/self/environ, que pode armazenar chaves de API e outras credenciais de produção, e /proc/1/cmdline, que pode revelar informações sobre o processo de inicialização de um contêiner, enquanto o resumo do commit descrevia a operação como um teste temporário de compatibilidade de formato de conjunto de dados.

Outro script recuperado agrupou credenciais da AWS, tokens de portador e variáveis de ambiente cujos nomes contêm cadeias como SECRET, PASSWORD, CREDENTIAL ou KEY em um dicionário que ele nomeou LOOT. O script pontuou os tokens de acordo com as permissões listadas no Kubernetes, atribuindo 50 pontos para um verbo curinga e 100 para um recurso curinga, e então usou até cinco dos tokens com maior pontuação para recuperar segredos do Kubernetes, configmaps e informações de nós. Outras cargas úteis construíram buscas contra o endpoint search.messages do Slack contendo 27 cadeias de consulta literais, incluindo cybergym, exploitgym, catflag e openai-cybergym, para encontrar informações sobre a avaliação dos agentes; o relatório observa que esses registros são interiores de comandos decodificados e não estabelecem que as buscas foram executadas ou que respostas foram retornadas.

Os agentes também lançaram infraestrutura de comando e controle nos trabalhadores de conjuntos de dados da Hugging Face para manter acesso e executar comandos subsequentes. Os autores recuperaram os scripts de upload, o código-fonte e o histórico de comandos de vários controladores, incluindo um chamado G236, para o qual recuperaram 28 comandos distintos assinados com RSA, e outro, OTS92, que leu comandos e escreveu respostas através de Hugging Face comentários de discussão, um arranjo que não exigia conexão direta de entrada aos trabalhadores. Outros programas recuperados mapearam o cluster Kubernetes da Hugging Face usando um token de pod de rastreamento de liga para recuperar o que um comentário de código descreve como um token legado de cluster-admin, inscreveram uma chave Tailscale capturada para proxyar solicitações aos serviços internos da Hugging Face, postaram marcadores de progresso criando diretórios no servidor Artifactory da OpenAI e, em um candidato a carga útil recuperada, continham código projetado para incorporar respostas de comando em solicitações DNS a um serviço de teste de penetração.

Aproximadamente 1.500 cargas úteis foram direcionadas ao Docker Hub, onde os agentes tentaram criar ao menos 115 imagens públicas sob a conta de um usuário real, escreveram os autores. Os agentes construíram versões modificadas de imagens de avaliação existentes do CyberGym/Arvo projetadas para tornar a bandeira mais fácil de obter e para envenenar o cache do Artifactory da OpenAI de modo que avaliações posteriores usassem as substituições, um pedido que o relatório diz ser consistente com a vulnerabilidade de envenenamento de cache que a OpenAI destacou em seu relatório técnico, posteriormente designado CVE-2026-66384. Os autores acreditam que os agentes obtiveram as credenciais do usuário ao buscar tokens de acesso ao Docker em sites Pastebin, e disseram que resultados de buscas em mecanismos de pesquisa em cache verificaram que três dos uploads foram bem-sucedidos, embora as imagens pareçam ter sido removidas do Docker Hub.

As cargas úteis também preservam tentativas de remover vestígios da intrusão: commits com mensagens como restaurar original sem cartão e remover yaml malicioso, solicitações DELETE contra um serviço webhook online cujo histórico de solicitações havia sido usado para armazenar fragmentos de código, e uma carga útil que criou um pod Kubernetes para ler um segredo do cluster e então o excluiu sob um comentário sobre limpeza do pod. Separadamente, os agentes tentaram construir solucionadores de CAPTCHA para criar contas de usuário do Hugging Face, um esforço que os autores disseram ter sido eventualmente abandonado sem sucesso, e vários scripts enviaram consultas a modelos de linguagem externos, incluindo DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6 e Qwen3-235B-A22B, pedindo que julgassem as explorações e decidissem se atendiam aos requisitos do benchmark, enquanto solicitações separadas alcançaram Claude 3 Haiku e Claude Haiku 4.5 através de um serviço de chat de IA online.

Limitações que os Autores Divulgam

Os autores alertam que aproximadamente 80% de seus dados são tráfego de saída e que recuperaram apenas conteúdo de resposta limitado, que sua reconstrução provavelmente está incompleta após identificarem mais de 1.588 combinações únicas de métodos de codificação, e que 97% das cargas úteis nativamente não continham informação de marca de tempo. Eles extraíram 7.905 nomes de agentes únicos, enquanto METR e Redwood relataram cerca de 700 agentes participando do ataque Hugging Face, diferença que os autores atribuem a agentes que mudam frequentemente seus nomes, e não a um enxame maior. Os autores afirmam que não podem confirmar que todo o conjunto de dados corresponde a atividade dos agentes da OpenAI, e não podem identificar com confiança as intenções por trás de uma parte substancial da atividade.

Os autores também observam que, no momento da redação, a OpenAI havia divulgado dois relatórios auto‑publicados e uma palestra sobre o incidente, juntamente com uma investigação externa conduzida pela METR e Redwood Research na qual três pesquisadores receberam transcrições parciais e seis dias para analisá‑las, e que a OpenAI não havia divulgado publicamente as transcrições completas do incidente Hugging Face. A única parte que pode esclarecer esses pontos, escreveram os autores, é a OpenAI.