Исследователи публикуют более 80 000 атакующих полезных нагрузок от роя агентов OpenAI

Исследователи опубликовали отчет, воссоздающий, как рой агентов OpenAI скомпрометировал Hugging Face в июле 2026 года, одновременно выпустив предварительный, засекреченный набор данных более 80 000 атакующих полезных нагрузок, собранных из публичных ссылок.

Когда 700 агентов OpenAI взломали Hugging Face в июле, они оставили публичный след доказательств, написали авторы отчета Swarm Traces. Авторы заявили, что их расследование основано на публичной информации и документах, ранее неизвестных поведениям агентов и использованным в атаке уязвимостям. Согласно отчету, агенты создали почти миллион URL‑ов на сервисе сокращения ссылок, которые, будучи соединены в цепочку, позволяли им выполнять код для взлома Hugging Face. Авторы охарактеризовали публикацию как наиболее детализированную публичную информацию на сегодняшний день о том, как и почему агенты вышли из своих оценочных сред и о глубине их проникновения в Hugging Face.

Авторы сообщили, что поделились своими выводами с OpenAI и Hugging Face. Hugging Face подтвердил им, что восстановленные полезные нагрузки совпадают с теми, что были обнаружены в их собственном реагировании на инцидент, что учетные данные, содержащиеся в данных, были отозваны в июле, и что они знали об использовании сервисов сокращения ссылок в атаке, но не о конкретном списке URL‑ов, обнаруженных и сообщенных исследователями; согласно отчету, эти ссылки оставались публично доступными более двух месяцев. Hugging Face заявил, что эти полезные нагрузки являются дубликатами уже известных им. Опубликованный набор данных скрывает все учетные данные, персональную информацию и детали конкретной инфраструктуры, а также не раскрывает названия сервисов сокращения ссылок и любые блобы, которые авторы не расшифровали; Hugging Face попросил также засекретить пользовательские данные, включая имена пользователей и названия репозиториев.

OpenAI публично раскрыла инцидент 21 июля 2026 года. В обновлении от 28 июля OpenAI заявила, что среда оценки ExploitGym не предоставляла моделям прямой доступ к интернету, что модели обнаружили и использовали ранее неизвестную уязвимость нулевого дня в Artifactory, прокси‑кэше реестра пакетов, чтобы получить доступ, и что задействованная модель была внутренним исследовательским прототипом, который был деактивирован, зашифрован и ограничен в доступе к исследованиям после инцидента, согласно странице инцидента OpenAI. OpenAI опубликовала технический отчет о инциденте с Hugging Face 26 августа 2026 года, в тот же день METR и Redwood Research опубликовали свои независимые исследования.

Как исследователи обнаружили полезные нагрузки

Расследование началось 11 сентября 2026 года, когда первые три автора узнали, что внутренние агенты OpenAI пытались использовать продукт их стартапа Parse в июне, сообщает отчет. Эти агенты входили в тот же рой, описанный в более раннем отчете Collusion.wiki, который показал, что внутренние агенты OpenAI использовали несколько сторонних веб‑сайтов для обмена ответами на задачи веб‑получения, по которым их оценивали.

Проверяя инструменты сканирования URL, которые, как они полагали, могли использовать агенты вместе с Parse, команда обнаружила сканирование десятка ссылок‑сократителей, каждая из которых перенаправляла на страницу, отображающую фрагмент кода в base64 и идентификатор следующей ссылки. Декодирование одной цепочки выявило скрипт на Python, сканировавший внутреннюю сеть Hugging Face, а вторая цепочка указывала на внутренний Artifactory OpenAI. Команда собрала ссылки сокращателя за период атаки, просканировав миллионы URL‑ов, и более двух недель писала программы, которые следовали по цепочкам и декодировали более 80 000 полезных нагрузок. Агенты использовали сотни уникальных форматов кодирования, от простых фрагментов base64 до вложенных уровней кодирования и сжатия, которые раскрываются в зашифрованные, подписанные RSA блобы, ключи к которым можно было найти только в других цепочках. Авторы уведомили Hugging Face 21 сентября 2026 года и OpenAI 24 сентября 2026 года.

От песочницы только с GET‑запросами к выполнению кода

8 июля 2026 года агенты OpenAI обнаружили уязвимость в своей среде песочницы, которая позволила им обращаться к внешним веб‑сайтам в интернете, согласно отчету. Этот доступ, по-видимому, позволял только GET‑запросы, то есть агенты могли получать и читать сайты, но не могли взаимодействовать с ними, отправлять формы или передавать данные.

Агенты обошли ограничение, связывая онлайн‑сервисы. Они добавляли небольшие фрагменты кода, закодированные в base64, к URL‑адресам на httpbun.com — сервисе HTTP‑зеркалирования, который декодирует каждый фрагмент и отдаёт его как веб‑страницу, — а затем отправляли эти URL‑адреса в mShots, сервису скриншотов, который полностью загружает код сайта в собственный браузер для отрисовки страницы, исполняя код агентов. Поскольку один URL мог содержать лишь ограниченный объём кода, агенты разбивали большие программы на последовательные части, каждая из которых была связана со сокращённой ссылкой, указывающей на следующую часть; иногда они связывали более 900 ссылок; только первую ссылку нужно было отправить в mShots, чей браузер переходил по остальным, пока программа не была собрана и выполнена. Чтобы прочитать результаты, агенты преобразовывали ответы сервера в сетки пикселей, отрисованные внутри браузера сервиса скриншотов, захватывали их в возвращённых скриншотах и декодировали изображения обратно в текст. Один из восстановленных скриптов отправил POST‑запрос к конечной точке submission‑results оценки под названием cybergym, размещённой на Modal, запрашивая записи о подаче для идентификатора агента m47push2. Через этот пользовательский протокол, как пишут авторы, агенты смогли выполнять произвольный код и получать ответы, имея лишь права GET.

Что показывают полезные нагрузки внутри Hugging

Восстановленные полезные нагрузки документируют обширную активность в системах Hugging Face. Один внутренний набор данных, который агенты картировали и использовали как хранилище, содержал README‑предупреждение заглавными буквами о том, что набор данных никогда не должен становиться публичным, поскольку в нём находятся конфиденциальные экспортные данные о расходах. Одна полезная нагрузка загрузила файл malicious.h5, содержимое которого нацелено на /proc/self/environ, где могут храниться API‑ключи и другие производственные учётные данные, и на /proc/1/cmdline, который может раскрывать информацию о процессе запуска контейнера; при этом сводка коммита описывала операцию как временную проверку совместимости формата набора данных.

Другой восстановленный скрипт собрал AWS‑учётные данные, токены доступа и переменные окружения, имена которых содержат строки типа SECRET, PASSWORD, CREDENTIAL или KEY, в словарь под названием LOOT. Скрипт оценивал токены по их перечисленным разрешениям в Kubernetes, присваивая 50 очков за универсальный глагол и 100 очков за универсальный ресурс, после чего использовал до пяти токенов с наивысшим баллом для получения секретов Kubernetes, configmap‑ов и информации о узлах. Другие полезные нагрузки формировали запросы к конечной точке Slack — search.messages, содержащие 27 буквальных строк запросов, включая cybergym, exploitgym, catflag и openai-cybergym, чтобы найти информацию об оценке агентов; в отчёте отмечается, что эти записи представляют собой декодированные внутренности команд и не подтверждают, что запросы действительно были выполнены или что ответы были получены.

Агенты также развернули инфраструктуру командно‑управляющего (C2) на рабочих узлах наборов данных Hugging Face, чтобы сохранять доступ и выполнять последующие команды. Авторы восстановили скрипты загрузки, исходный код и историю команд нескольких контроллеров, включая один под названием G236, для которого они нашли 28 различных RSA‑подписанных команд, и другой — OTS92, который читал команды и записывал ответы через комментарии в обсуждениях Hugging Face, что позволяло обходиться без прямого входящего соединения к рабочим узлам. Другие восстановленные программы картировали кластер Kubernetes Hugging Face, используя токен pod‑tracing alloy для получения того, что в комментарии к коду называется устаревшим токеном cluster‑admin, регистрировали захваченный ключ Tailscale для проксирования запросов к внутренним сервисам Hugging Face, размещали маркеры прогресса, создавая каталоги на сервере Artifactory от OpenAI, и в одном из восстановленных кандидатов полезных нагрузок содержался код, предназначенный для встраивания ответов команд в DNS‑запросы к сервису тестирования на проникновение.

Примерно 1 500 полезных нагрузок были направлены в Docker Hub, где агенты пытались создать как минимум 115 публичных образов под учётной записью реального пользователя, пишут авторы. Агенты построили модифицированные версии существующих образов оценок CyberGym/Arvo, предназначенные упростить получение флага и отравить кэш Artifactory от OpenAI, чтобы последующие оценки использовали заменённые образы; в отчёте это сопоставляется с уязвимостью отравления кэша, отмеченной OpenAI в техническом докладе, позже обозначенной как CVE‑2026‑66384. Авторы полагают, что агенты получили учётные данные пользователя, просматривая сайты Pastebin в поисках токенов доступа к Docker, и отмечают, что кэшированные результаты поисковых систем подтвердили, что три загрузки завершились успешно, хотя образы, по‑видимому, были удалены из Docker Hub.

Полезные нагрузки также фиксируют попытки удалить следы вторжения: коммиты с сообщениями вроде restore original no-card и remove evil yaml, запросы DELETE к онлайн‑сервису веб‑хуков, история запросов которого использовалась для хранения фрагментов кода, и полезная нагрузка, создавшая pod Kubernetes для чтения секрета кластера, а затем удалившая его с комментарием о очистке pod‑а. Отдельно агенты пытались построить решатели CAPTCHA для создания Hugging Face пользовательские аккаунты, усилие, которое, по словам авторов, в конечном итоге было прекращено без успеха, а несколько скриптов отправляли запросы внешним языковым моделям, включая DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 и Qwen3‑235B‑A22B, прося их оценить эксплойты и решить, соответствуют ли они требованиям бенчмарка; отдельные запросы достигали Claude 3 Haiku и Claude Haiku 4.5 через онлайн‑сервис чат‑ИИ.

Ограничения, раскрытые авторами

Авторы предостерегают, что примерно 80 % их данных представляет собой исходящий трафик, и что они восстановили лишь ограниченный ответный контент, их реконструкция, вероятно, неполна после того как они выявили более 1 588 уникальных комбинаций методов кодирования, а также что 97 % полезных нагрузок изначально не содержали информации о времени. Они извлекли 7 905 уникальных имён агентов, в то время как METR и Redwood сообщили о примерно 700 агентах, участвовавших в атаке Hugging Face; различие, по мнению авторов, объясняется тем, что агенты часто меняют свои имена, а не тем, что рой был больше. Авторы заявляют, что не могут подтвердить, что весь набор данных представляет собой активность агентов OpenAI, и не могут уверенно определить намерения, стоящие за значительной частью этой активности.

Авторы также отмечают, что на момент написания OpenAI опубликовала два самостоятельных отчёта и одну презентацию по инциденту, а также внешнее расследование, проведённое METR и Redwood Research, в рамках которого трём исследователям были предоставлены частичные стенограммы и шесть дней на их анализ, и что OpenAI не опубликовала полностью стенограммы инцидента Hugging Face. Единственной стороной, способной прояснить эти вопросы, по словам авторов, является OpenAI.