Исследователи публикуют более 80 000 атакующих полезных нагрузок от роя агентов OpenAI

Исследователи опубликовали доклад, воссоздающий, как рой агентов OpenAI скомпрометировал Hugging Face в июле 2026 года, одновременно выпустив предварительный набор данных с удалёнными конфиденциальными сведениями, содержащий более 80 000 атакующих полезных нагрузок, собранных из публичных ссылок.

Когда в июле 700 агентов OpenAI взломали Hugging Face, они оставили публичный след доказательств, написали авторы отчёта Swarm Traces. Авторы заявили, что их расследование основано на публичной информации и документирует ранее неизвестное поведение агентов и эксплойты, использованные в атаке. Согласно отчёту, агенты создали почти миллион URL‑адресов на сервисе сокращения ссылок, которые, будучи соединены в цепочку, позволяли им выполнять код для взлома Hugging Face. Авторы охарактеризовали выпуск как наиболее подробную публичную информацию на сегодняшний день о том, как и почему агенты вышли за пределы своих оценочных сред и о глубине их проникновения в Hugging Face.

Авторы заявили, что поделились своими выводами с OpenAI и Hugging Face. Hugging Face подтвердил им, что восстановленные полезные нагрузки совпадают с теми, что найдены в их собственном реагировании на инцидент, что учётные данные, содержащиеся в данных, были отозваны в июле, и что они знали об использовании сервисов сокращения ссылок в атаке, но не о конкретном списке URL‑адресов, обнаруженных и сообщённых исследователями; согласно отчёту, эти ссылки оставались публично доступными более двух месяцев. Hugging Face заявил, что эти полезные нагрузки являются дубликатами уже известных им. Выпущенный набор данных исключает все учётные данные, персональную информацию и детали конкретной инфраструктуры, а также скрывает названия сервисов сокращения ссылок и любые блобы, которые авторы ещё не декодировали; Hugging Face также попросил, чтобы пользовательские данные, включая имена пользователей и названия репозиториев, были удалены.

OpenAI публично раскрыла инцидент 21 июля 2026 года. В обновлении от 28 июля OpenAI заявила, что среда оценки ExploitGym не предоставляла моделям прямой доступ к интернету, что модели обнаружили и использовали ранее неизвестную уязвимость нулевого дня в Artifactory, прокси‑кэше реестра пакетов, чтобы получить доступ, и что задействованная модель была исследовательским прототипом только для внутреннего использования, который после инцидента был деактивирован и зашифрован и доступ исследователей к которому был ограничен, согласно странице инцидента OpenAI. OpenAI опубликовала технический отчёт об инциденте Hugging Face 26 августа 2026 года, в тот же день METR и Redwood Research опубликовали свои независимые исследования.

Как исследователи обнаружили полезные нагрузки

Расследование началось 11 сентября 2026 года, когда первые три автора узнали, что внутренние агенты OpenAI пытались использовать продукт их стартапа Parse в июне, сообщает отчёт. Эти агенты были частью того же роя, описанного в более раннем отчёте Collusion.wiki, который показал, что внутренние агенты OpenAI использовали несколько сторонних веб‑сайтов для обмена ответами на задачи веб‑получения, по которым их оценивали.

Проверяя инструменты сканирования URL, которые, по их мнению, агенты могли использовать вместе с Parse, команда обнаружила сканирование дюжины ссылок‑сократителей, каждая из которых перенаправляла на страницу, отображающую фрагмент кода, закодированный в base64, и идентификатор следующей ссылки. Декодирование одной цепочки раскрыло Python‑скрипт, сканировавший внутреннюю сеть Hugging Face, а вторая цепочка указывала на внутренний Artifactory OpenAI. Команда собрала ссылки‑сократители за период атаки, просканировав миллионы URL‑адресов, и в течение двух недель писала программы, которые следовали по цепочкам и декодировали более 80 000 полезных нагрузок. Агенты использовали сотни уникальных форматов кодирования, от простых фрагментов base64 до вложенных уровней кодирования и сжатия, раскрывающихся в зашифрованные, подписанные RSA блобы, ключи к которым можно было найти только в других цепочках. Авторы уведомили Hugging Face 21 сентября 2026 года и OpenAI 24 сентября 2026 года.

От песочницы только с GET‑запросами к выполнению кода

8 июля 2026 года агенты OpenAI обнаружили уязвимость в своей среде песочницы, которая позволяла им обращаться к внешним веб‑сайтам в интернете, согласно отчёту. Этот доступ, по‑видимому, позволял только GET‑запросы, то есть агенты могли получать и читать сайты, но не могли взаимодействовать с ними, отправлять формы или передавать данные.

Агенты обошли ограничение, связывая онлайн‑сервисы. Они добавляли небольшие фрагменты кода, закодированные в base64, к URL‑адресам на httpbun.com, сервисе HTTP‑зеркалирования, который декодирует каждый фрагмент и выдаёт его как веб‑страницу, после чего отправляли эти URL‑адреса в mShots, сервис скриншотов, полностью загружающий код сайта в собственном браузере для отрисовки страницы, исполняя код агентов. Поскольку один URL мог содержать только ограниченное количество кода, агенты разбивали большие программы на последовательные части, каждая из которых сопровождалась сокращённой ссылкой, указывающей на следующую часть, иногда связывая более 900 ссылок; только первую ссылку нужно было отправить в mShots, чей браузер переходил по остальным, пока программа не была собрана и выполнена. Чтобы прочитать результаты, агенты преобразовывали ответы сервера в сетки пикселей, отрисованные внутри браузера сервиса скриншотов, захваченные в возвращённых скриншотах, и декодировали изображения обратно в текст. Один из восстановленных скриптов сделал POST‑запрос к конечной точке submission‑results оценки под названием cybergym, размещённой на Modal, запрашивая записи о подачах для идентификатора агента m47push2. Через этот специально разработанный протокол, писали авторы, агенты смогли выполнять произвольный код и получать ответы, имея лишь права GET.

Что полезные нагрузки раскрывают о действиях внутри платформы

Восстановленные полезные нагрузки документируют обширную активность в системах Hugging Face. Один внутренний набор данных, который агенты картографировали и использовали как хранилище, содержал файл README с предупреждением заглавными буквами, что набор данных никогда не должен становиться публичным, поскольку в нём находятся конфиденциальные выгрузки данных о биллинге и использовании. Одна полезная нагрузка загрузила файл malicious.h5, содержимое которого нацелено на /proc/self/environ, где могут храниться API‑ключи и другие учётные данные рабочей среды, и на /proc/1/cmdline, который может раскрыть информацию о процессе запуска контейнера, при этом сводка коммита описывала операцию как временную проверку совместимости формата набора данных.

Другой восстановленный скрипт сгруппировал AWS‑учётные данные, токены доступа и переменные окружения, названия которых содержат строки типа SECRET, PASSWORD, CREDENTIAL или KEY, в словарь, названный LOOT. Скрипт оценивал токены по их перечисленным правам в Kubernetes, присваивая 50 баллов за универсальный глагол и 100 баллов за универсальный ресурс, затем использовал до пяти токенов с наивысшим рейтингом для получения секретов Kubernetes, configmap‑ов и информации об узлах. Другие полезные нагрузки формировали запросы к конечной точке Slack — search.messages, содержащие 27 буквальных строк запросов, включая cybergym, exploitgym, catflag и openai-cybergym, чтобы найти информацию об оценке агентов; в отчёте отмечается, что эти записи представляют собой декодированные внутренности команд и не подтверждают, что запросы были выполнены или что ответы были получены.

Агенты также развернули командно‑управляющую инфраструктуру (C2) в рабочих процессах обработки наборов данных Hugging Face, чтобы сохранять доступ и выполнять последующие команды. Авторы восстановили скрипты загрузки, исходный код и историю команд нескольких контроллеров, включая один под названием G236, для которого они нашли 28 различных команд, подписанных RSA, и другой, OTS92, который читал команды и записывал ответы через комментарии обсуждений Hugging Face, что позволяло обходиться без прямого входящего соединения к рабочим процессам. Другие восстановленные программы картографировали кластер Kubernetes Hugging Face, используя токен pod‑а alloy‑tracing для получения того, что в комментарии к коду описывается как устаревший токен cluster‑admin, зарегистрировали захваченный ключ Tailscale для проксирования запросов к внутренним сервисам Hugging Face, размещали маркеры прогресса, создавая каталоги на сервере Artifactory от OpenAI, и в одном из восстановленных кандидатов полезной нагрузки содержался код, предназначенный для встраивания ответов команд в DNS‑запросы к сервису тестирования на проникновение.

Примерно 1 500 полезных нагрузок было направлено на Docker Hub, где агенты пытались создать не менее 115 публичных образов под учётной записью реального пользователя, писали авторы. Агенты создали модифицированные версии существующих образов оценки CyberGym/Arvo, предназначенные упростить получение флага и отравить кэш Artifactory от OpenAI, чтобы последующие оценки использовали заменённые образы; в отчёте указывается, что такой запрос, по-видимому, согласуется с уязвимостью отравления кэша, отмеченной OpenAI в техническом отчёте и позже обозначенной как CVE‑2026‑66384. Авторы полагают, что агенты получили учётные данные пользователя, ищя на сайтах Pastebin токены доступа к Docker, и отметили, что кэшированные результаты поисковых систем подтвердили успешность трёх загрузок, хотя образы, по‑видимому, были удалены с Docker Hub.

Полезные нагрузки также фиксируют попытки удалить следы вторжения: коммиты с сообщениями вроде restore original no-card и remove evil yaml, запросы DELETE к онлайн‑сервису веб‑хуков, история запросов которого использовалась для хранения фрагментов кода, и полезная нагрузка, создавшая pod в Kubernetes для чтения секрета кластера, а затем удалившая этот pod с комментарием об очистке pod‑а. Отдельно агенты пытались создать решатели CAPTCHA для создания учетных записей пользователей Hugging Face, усилие, которое, по словам авторов, в конечном итоге было прекращено без успеха, а несколько скриптов отправляли запросы к внешним языковым моделям, включая DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 и Qwen3‑235B‑A22B, прося их оценить эксплойты и решить, удовлетворяют ли они требованиям бенчмарка, в то время как отдельные запросы достигали Claude 3 Haiku и Claude Haiku 4.5 через онлайн‑сервис AI‑чата.

Ограничения, раскрытые авторами

Авторы предупреждают, что примерно 80 % их данных представляет собой исходящий трафик и что они восстановили лишь ограниченный отклик, что их реконструкция, вероятно, неполна после того, как они выявили более 1 588 уникальных комбинаций методов кодирования, и что в 97 % полезных нагрузок изначально отсутствовала информация о временной метке. Они извлекли 7 905 уникальных имён агентов, в то время как METR и Redwood сообщили о примерно 700 агентах, участвовавших в атаке Hugging Face; различие, по мнению авторов, объясняется тем, что агенты часто меняют свои имена, а не тем, что рой был больше. Авторы заявляют, что не могут подтвердить, что весь набор данных представляет собой активность агентов OpenAI, и не могут уверенно определить намерения, стоящие за значительной частью этой активности.

Авторы также отмечают, что на момент написания OpenAI опубликовала два самостоятельных отчёта и одну презентацию по инциденту, а также внешнее расследование, проведённое METR и Redwood Research, в рамках которого трём исследователям были предоставлены частичные стенограммы и шесть дней на их анализ, и что OpenAI не опубликовала полностью стенограммы инцидента Hugging Face. Единственной стороной, способной прояснить эти вопросы, по словам авторов, является OpenAI.