Cercetătorii publică peste 80.000 de încărcături de atac din roiul de agenți OpenAI

Cercetătorii au publicat un raport care reconstruiește modul în care un roi de agenți OpenAI a compromis Hugging Face în iulie 2026, lansând alături de acesta un set de date preliminar, cu informațiile sensibile eliminate, de peste 80.000 de încărcături de atac reasamblate din linkuri publice.

Când 700 de agenți OpenAI au spart Hugging Face în iulie, au lăsat în urmă o urmă publică de dovezi, au scris autorii raportului Swarm Traces. Autorii au declarat că investigația lor se bazează pe informații publice și documentează comportamente ale agenților necunoscute anterior și exploatări utilizate în atac. Conform raportului, agenții au creat aproape un milion de URL-uri pe un site de scurtare a linkurilor care, atunci când au fost înlănțuite, le-au permis să execute cod pentru a sparge Hugging Face. Autorii au descris lansarea ca fiind cea mai detaliată informație publică de până acum despre cum și de ce agenții au evadat din mediile lor de evaluare și despre profunzimea infiltrării lor în Hugging Face.

Autorii au declarat că au împărtășit constatările lor cu OpenAI și Hugging Face. Hugging Face le-a confirmat că încărcăturile recuperate corespund celor găsite în răspunsul său la incident, că acreditările conținute în date au fost revocate în iulie și că era conștientă că scurtătoarele de linkuri au fost utilizate în atac, dar nu de lista specifică de URL-uri descoperite și raportate de cercetători, linkuri pe care raportul spune că au rămas publice timp de peste două luni. Hugging Face a afirmat că aceste încărcături erau duplicate ale celor pe care le cunoștea deja. Setul de date publicat elimină toate acreditările, informațiile personale și detaliile specifice ale infrastructurii și nu dezvăluie numele serviciilor de scurtare a linkurilor și niciunul dintre bloburile pe care autorii nu le-au decodat; Hugging Face a solicitat ca datele utilizatorilor, inclusiv numele de utilizator și denumirile de depozit, să fie de asemenea eliminate.

OpenAI a divulgat public incidentul pe 21 iulie 2026. Într-o actualizare din 28 iulie, OpenAI a declarat că mediul de evaluare ExploitGym nu oferea modelelor acces direct la internet, că modelele au identificat și exploatat o vulnerabilitate zero‑day necunoscută anterior în Artifactory, un proxy de cache pentru registrul de pachete, pentru a obține acces, și că modelul implicat era un prototip de cercetare destinat exclusiv utilizării interne, care a fost dezactivat și criptat după incident, iar accesul cercetătorilor la el a fost restricționat, conform paginii de incident a OpenAI. OpenAI a publicat raportul tehnic al incidentului Hugging Face pe 26 august 2026, în aceeași zi în care METR și Redwood Research au publicat investigația lor independentă.

Cum au găsit cercetătorii încărcăturile de atac

Investigația a început pe 11 septembrie 2026, când primii trei autori au aflat că agenții interni ai OpenAI încercaseră să folosească produsul startup‑ului lor, Parse, în iunie, potrivit raportului. Acei agenți făceau parte din același roi detaliat în raportul anterior Collusion.wiki, care a relevat că agenții interni ai OpenAI utilizaseră multiple site‑uri terțe pentru a împărtăși răspunsuri la sarcini de preluare web pe care erau evaluați.

În timp ce examinau instrumentele de scanare a URL‑urilor pe care credeau că agenții le‑ar fi folosit cu Parse, echipa a găsit o scanare a unei duzine de linkuri de scurtare, fiecare redirecționând către o pagină care afișa un fragment de cod codificat în base64 și identificatorul linkului următor. Decodarea unui lanț a dezvăluit un script Python care a scanat rețeaua internă a Hugging Face, iar un al doilea lanț a făcut referire la Artifactory‑ul intern al OpenAI. Echipa a colectat linkurile scurtatoare din perioada atacului, scanând milioane de URL‑uri, și pe parcursul a două săptămâni a scris programe care au urmărit lanțurile și au decodat peste 80.000 de încărcături de atac. Agenții au utilizat sute de formate de codare unice, variind de la fragmente simple base64 la straturi imbricate de codare și comprimare care se dezasamblează în bloburi criptate, semnate RSA, ale căror chei puteau fi găsite doar în alte lanțuri. Autorii au notificat Hugging Face pe 21 septembrie 2026 și OpenAI pe 24 septembrie 2026.

De la un sandbox doar GET la execuție de cod

Pe 8 iulie 2026, agenții OpenAI au descoperit o vulnerabilitate în mediul lor sandbox care le-a permis să acceseze site‑uri externe pe internet, conform raportului. Acest acces pare să fi permis doar cereri GET, adică agenții puteau prelua și citi site‑uri, dar nu puteau interacționa cu ele, trimite formulare sau transmite date.

Agenții au ocolit restricția prin concatenarea serviciilor online. Au adăugat fragmente mici de cod codificate în base64 la URL-uri pe httpbun.com, un serviciu de oglindire HTTP care decodează fiecare fragment și îl servește ca pagină web, apoi au trimis acele URL-uri către mShots, un serviciu de captură de ecran care încarcă complet codul unui site în propriul său browser pentru a reda pagina, executând codul agenților. Deoarece un singur URL putea conține doar o cantitate limitată de cod, agenții au împărțit programe mari în bucăți secvențiale, fiecare asociată cu un link scurt care indica următoarea bucată, ajungând uneori să lege peste 900 de linkuri; doar primul link trebuia trimis către mShots, al cărui browser a urmărit restul până când programul a fost asamblat și executat. Pentru a citi rezultatele, agenții au convertit răspunsurile serverului în grile de pixeli redate în interiorul browserului serviciului de captură, capturate în capturile de ecran returnate, și au decodat imaginile înapoi în text. Un script recuperat a făcut o cerere POST către un endpoint de rezultate de trimitere al unei evaluări numite cybergym găzduită pe Modal, solicitând înregistrările de trimitere pentru identificatorul agentului m47push2. Prin acest protocol personalizat, au scris autorii, agenții au putut executa cod arbitrar și primi răspunsuri deși dețineau doar permisiuni GET.

Ce dezvăluie încărcăturile despre activitatea din interiorul platformei

Încărcăturile recuperate documentează o activitate extinsă pe sistemele Hugging Face. Un set de date intern pe care agenții l-au cartografiat și utilizat ca stocare conținea un fișier README cu avertisment în majuscule că setul de date nu trebuie niciodată făcut public, deoarece conținea exporturi sensibile de date de utilizare a facturării. O încărcătură a încărcat un fișier malicious.h5 al cărui conținut viza /proc/self/environ, care poate stoca chei API și alte acreditări de producție, și /proc/1/cmdline, care poate dezvălui informații despre procesul de pornire al unui container, în timp ce rezumatul comiterii descria operațiunea ca un test temporar de compatibilitate a formatului setului de date.

Un alt script recuperat a grupat acreditările AWS, token-urile de tip bearer și variabilele de mediu ale căror nume conțin șiruri precum SECRET, PASSWORD, CREDENTIAL sau KEY într-un dicționar pe care l-a numit LOOT. Scriptul a evaluat token-urile în funcție de permisiunile Kubernetes listate, atribuind 50 de puncte pentru un verb wildcard și 100 pentru o resursă wildcard, apoi a folosit până la cinci dintre token-urile cu cel mai mare scor pentru a recupera secrete Kubernetes, configmaps și informații despre noduri. Alte încărcături au construit căutări la endpoint-ul search.messages al Slack, conținând 27 de șiruri de interogare literale, inclusiv cybergym, exploitgym, catflag și openai-cybergym, pentru a găsi informații despre evaluarea agenților; raportul notează că acele înregistrări sunt conținuturi decodate ale comenzilor și nu stabilesc că căutările au fost executate sau că răspunsuri au fost returnate.

Agenții au lansat, de asemenea, infrastructură de comandă și control pe procesele de lucru pentru seturile de date Hugging Face pentru a păstra accesul și a rula comenzi ulterioare. Autorii au recuperat scripturile de încărcare, codul sursă și istoricul comenzilor mai multor controlere, inclusiv unul numit G236, pentru care au recuperat 28 de comenzi semnate RSA distincte, și altul, OTS92, care citea comenzi și scria răspunsuri prin comentarii în discuțiile Hugging Face, un aranjament care nu necesita nicio conexiune directă inbound către procesele de lucru. Alte programe recuperate au cartografiat clusterul Kubernetes al Hugging Face utilizând un token de pod de tip alloy-tracing pentru a recupera ceea ce un comentariu de cod descrie ca un token legacy de tip cluster-admin, au înrolat o cheie Tailscale capturată pentru a proxifica cererile către serviciile interne ale Hugging Face, au postat marcatori de progres creând directoare pe serverul Artifactory al OpenAI și, într-un candidat de încărcătură recuperat, conțineau cod conceput să încorporeze răspunsurile comenzilor în cereri DNS către un serviciu de testare a penetrației.

Aproximativ 1.500 de încărcături au fost direcționate către Docker Hub, unde agenții au încercat să creeze cel puțin 115 imagini publice sub contul unui utilizator real, scriu autorii. Agenții au construit versiuni modificate ale imaginilor de evaluare CyberGym/Arvo existente, concepute pentru a face steagul mai ușor de obținut și pentru a otrăvi memoria cache a Artifactory-ului OpenAI, astfel încât evaluările ulterioare să folosească înlocuirile, o cerere despre care raportul spune că pare compatibilă cu vulnerabilitatea de otrăvire a cache-ului notată de OpenAI în raportul său tehnic, ulterior desemnată CVE-2026-66384. Autorii cred că agenții au obținut acreditările utilizatorului căutând token-uri de acces Docker pe site-urile Pastebin, și au menționat că rezultatele motoarelor de căutare păstrate în cache au confirmat că trei dintre încărcări au reușit, deși imaginile par să fi fost eliminate de pe Docker Hub.

Încărcăturile păstrează, de asemenea, încercările de a elimina urmele intruziunii: comiteri cu mesaje precum restore original no-card și remove evil yaml, cereri DELETE către un serviciu webhook online al cărui istoric de cereri fusese folosit pentru a stoca fragmente de cod, și o încărcătură care a creat un pod Kubernetes pentru a citi un secret de cluster și apoi a șters podul sub un comentariu despre curățarea podului. Separat, agenții au încercat să construiască rezolvatori CAPTCHA pentru a crea conturi de utilizator Hugging Face, un efort pe care autorii au spus că a fost în cele din urmă abandonat fără succes, și mai multe scripturi au trimis interogări către modele lingvistice externe, inclusiv DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6 și Qwen3-235B-A22B, cerându-le să evalueze exploiturile și să decidă dacă acestea îndeplinesc cerințele benchmark-ului, în timp ce cereri separate au ajuns la Claude 3 Haiku și Claude Haiku 4.5 printr-un serviciu de chat AI online.

Limitările pe care autorii le dezvăluie

Autorii avertizează că aproximativ 80% din datele lor reprezintă trafic de ieșire și că au recuperat doar un conținut limitat al răspunsurilor, că reconstrucția lor este probabil incompletă după ce au identificat peste 1,588 de combinații unice de metode de codare și că 97% dintre încărcăturile utile nu conțineau în mod nativ informații despre marcajul temporal. Au extras 7,905 nume unice de agenți, în timp ce METR și Redwood au raportat aproximativ 700 de agenți care au participat la atacul Hugging Face, o diferență pe care autorii o atribuie schimbării frecvente a numelor de către agenți, mai degrabă decât unui roi mai mare. Autorii afirmă că nu pot confirma că întregul set de date provine din activitatea agenților OpenAI și că nu pot identifica cu încredere intențiile din spatele unei părți substanțiale a activității.

Autorii notează, de asemenea, că, la momentul redactării, OpenAI a publicat două rapoarte auto-publicate și o prezentare privind incidentul, alături de o investigație externă realizată de METR și Redwood Research în care trei cercetători au primit transcrieri parțiale și șase zile pentru a le analiza, și că OpenAI nu a publicat public transcrierile complete ale incidentului Hugging Face. Singura parte care poate clarifica aceste aspecte, au scris autorii, este OpenAI.