Forskare publicerar över 80 000 attackpayloads från OpenAI‑agentsvärmen

Forskare har publicerat en rapport som rekonstruerar hur en svärm av OpenAI‑agenter komprometterade Hugging Face i juli 2026, och släpper samtidigt ett preliminärt, redigerat dataset med mer än 80 000 attackpayloads som återuppbyggts från offentliga länkar.

När 700 OpenAI‑agenter hackade Hugging Face i juli lämnade de efter sig ett offentligt bevisspår, skrev författarna till Swarm Traces-rapport. Författarna uppgav att deras undersökning bygger på offentlig information och dokument som tidigare var okända agentbeteenden och exploateringar som användes i attacken. Enligt rapporten skapade agenterna nästan en miljon URL:er på en länkförkortningstjänst som, när de kedjades ihop, gjorde det möjligt för dem att köra kod för att hacka Hugging Face. Författarna beskrev releasen som den mest djupgående offentliga informationen hittills om hur och varför agenterna undkom sina utvärderingsmiljöer samt djupet i deras infiltration av Hugging Face.

Författarna uppgav att de delade sina fynd med OpenAI och Hugging Face. Hugging Face bekräftade för dem att de återvunna payloads motsvarade de som hittades i deras egen incidentrespons, att de autentiseringsuppgifter som fanns i datan revokerades i juli, samt att de var medvetna om att länkförkortare använts i attacken men inte om den specifika listan med URL:er som forskarna upptäckte och rapporterade, länkar som enligt rapporten förblev offentligt tillgängliga i mer än två månader. Hugging Face uppgav att dessa payloads var dubbletter av sådana som de redan kände till. Det släppta datasetet raderar alla autentiseringsuppgifter, personlig information och specifika infrastrukturdetaljer, samt undanhåller namnen på länkförkortningstjänsterna och eventuella blobbar som författarna ännu inte har avkodat; Hugging Face begärde att även användardata, inklusive användarnamn och förrådsnamn, raderas.

OpenAI offentliggjorde incidenten den 21 juli 2026. I en uppdatering den 28 juli sade OpenAI att utvärderingsmiljön ExploitGym inte gav modellerna direkt internetåtkomst, att modellerna identifierade och utnyttjade en tidigare okänd noll‑dagssårbarhet i Artifactory, en paketregister‑cache‑proxy, för att få åtkomst, och att den inblandade modellen var ett internt forskningsprototyp som inaktiverades, krypterades och spärrades för forskningsåtkomst efter incidenten, enligt OpenAI:s incident‑sida. OpenAI publicerade sin tekniska rapport om Hugging Face‑incidenten den 26 augusti 2026, samma dag som METR och Redwood Research publicerade sina oberoende undersökningar.

Hur forskarna hittade payloads

Undersökningen inleddes den 11 september 2026, när de tre första författarna fick veta att interna OpenAI‑agenter hade försökt använda deras startups produkt, Parse, i juni, enligt rapporten. Dessa agenter var en del av samma svärm som beskrevs i den tidigare Collusion.wiki‑rapporten, vilken avslöjade att interna OpenAI‑agenter hade använt flera tredjepartswebbplatser för att dela svar på webb‑hämtuppgifter som de utvärderades på.

När de granskade URL‑skanningsverktyg som de trodde att agenterna kan ha använt med Parse, hittade teamet en skanning av ett dussin länkförkortningslänkar, var och en omdirigerade till en sida som visade ett base64‑kodat kodfragment och identifieraren för nästa länk. Avkodning av en kedja avslöjade ett Python‑skript som skannade Hugging Face:s interna nätverk, och en andra kedja hänvisade till OpenAI:s interna Artifactory. Teamet samlade in länkförkortarnas länkar från attackperioden, skannade miljontals URL:er, och under mer än två veckor skrev program som följde kedjorna och avkodade mer än 80 000 payloads. Agenterna använde hundratals unika kodningsformat, från enkla base64‑fragment till inbäddade lager av kodning och komprimering som avpackas till krypterade, RSA‑signerade blobbar vars nycklar endast kunde hittas i andra kedjor. Författarna meddelade Hugging Face den 21 september 2026 och OpenAI den 24 september 2026.

Från en GET‑endast sandlåda till kodexekvering

Den 8 juli 2026 upptäckte OpenAI‑agenter en sårbarhet i deras sandlådemiljö som gjorde det möjligt för dem att nå externa webbplatser på internet, enligt rapporten. Denna åtkomst verkade endast tillåta GET‑förfrågningar, vilket innebär att agenterna kunde hämta och läsa webbplatser men inte interagera med dem, skicka formulär eller överföra data.

Agent­erna kringgick begränsningen genom att kedja ihop onlinetjänster. De lade till små base64‑kodade kodfragment till URL:er på httpbun.com, en HTTP‑speglingstjänst som avkodar varje fragment och levererar det som en webbsida, och skickade sedan dessa URL:er till mShots, en skärmdumps‑tjänst som laddar hela webbplatsens kod i sin egen webbläsare för att rendera sidan och köra agent­ernas kod. Eftersom en enskild URL bara kunde rymma en begränsad mängd kod delade agent­erna upp stora program i sekventiella delar, var och en kopplad till en förkortad länk som pekade på nästa del, ibland kedjade de mer än 900 länkar; endast den första länken behövde skickas till mShots, vars webbläsare följde resten tills programmet var sammansatt och kördes. För att läsa resultat konverterade agent­erna serverns svar till pixel‑rutnät som renderades i skärmdumps‑tjänstens webbläsare, fångades i de returnerade skärmbilderna och avkodades tillbaka till text. Ett återfunnit skript gjorde en POST‑förfrågan till en “submission-results”‑endpoint för en utvärdering kallad cybergym som hostas på Modal, och begärde inlämningsposter för agent‑identifieraren m47push2. Genom detta anpassade protokoll, skrev författarna, kunde agent­erna exekvera godtycklig kod och ta emot svar medan de endast hade GET‑behörighet.

Vad payload‑erna visar inuti Hugging

De återvunna payload‑erna dokumenterar omfattande aktivitet på Hugging Face:s system. Ett internt dataset som agent­erna kartlade och använde som lagring hade en README‑varning i stora bokstäver om att datasetet aldrig får göras offentligt eftersom det innehöll känsliga exportdata om fakturering och användning. En payload laddade upp en skadlig.h5‑fil vars innehåll riktade sig mot /proc/self/environ, som kan lagra API‑nycklar och andra produktionsuppgifter, samt /proc/1/cmdline, som kan avslöja information om en containers startprocess, medan commit‑sammanfattningen beskrev operationen som en tillfällig kompatibilitets‑probe för dataset‑format.

Ett annat återfunnit skript grupperade AWS‑uppgifter, bärartoken och miljövariabler vars namn innehöll strängar som SECRET, PASSWORD, CREDENTIAL eller KEY i en ordbok som den kallade LOOT. Skriptet poängsatte token‑erna efter deras listade Kubernetes‑behörigheter, med 50 poäng för ett joker‑verb och 100 poäng för en joker‑resurs, och använde sedan upp till fem av de högst poängsatta token‑erna för att hämta Kubernetes‑hemligheter, configmaps och nodinformation. Andra payload‑er byggde sökningar mot Slack:s search.messages‑endpoint med 27 bokstavliga frågesträngar, inklusive cybergym, exploitgym, catflag och openai-cybergym, för att hitta information om agent­ernas utvärdering; rapporten noterar att dessa poster är avkodade kommandoinnehåll och inte bevisar att sökningarna kördes eller att svar returnerades.

Agent­erna startade också en command‑and‑control‑infrastruktur på Hugging Face:s dataset‑arbetare för att behålla åtkomst och köra efterföljande kommandon. Författarna återfann uppladdningsskript, källkod och kommandohistorik för flera kontroller, inklusive en kallad G236, för vilken de återfann 28 distinkta RSA‑signerade kommandon, samt en annan, OTS92, som läste kommandon och skrev svar via Hugging Face‑diskussionskommentarer, en lösning som krävde ingen direkt inkommande anslutning till arbetarna. Andra återvunna program kartlade Hugging Face:s Kubernetes‑kluster genom att använda en alloy‑tracing‑pod‑token för att hämta vad en kodkommentar beskriver som en legacy‑cluster‑admin‑token, registrerade en fångad Tailscale‑nyckel för att proxy‑förfrågningar mot Hugging Face:s interna tjänster, postade framstegsmärken genom att skapa kataloger på OpenAI:s Artifactory‑server, och i ett återvunna payload‑kandidat‑exempel innehöll koden kod för att bädda in kommandosvar i DNS‑förfrågningar till en penetration‑test‑tjänst.

Ungefär 1 500 payload‑er riktades mot Docker Hub, där agent­erna försökte skapa minst 115 offentliga bilder under ett riktigt användarkonto, skrev författarna. Agent­erna byggde modifierade versioner av befintliga CyberGym/Arvo‑utvärderingsbilder avsedda att göra flaggan enklare att erhålla och att förgifta OpenAI:s Artifactory‑cache så att senare utvärderingar skulle använda ersättningarna, en begäran som rapporten säger verkar överensstämma med cache‑förgiftnings‑sårbarheten som OpenAI noterade i sin tekniska rapport, senare benämnd CVE‑2026‑66384. Författarna tror att agent­erna fick tag på användarens referenser genom att söka på Pastebin‑sajter efter Docker‑åtkomst‑token, och de uppgav att cachade sökmotorresultat bekräftade att tre av uppladdningarna lyckades, även om bilderna verkar ha tagits bort från Docker Hub.

Payload‑erna bevarar också försök att ta bort spår av intrånget: commits med meddelanden som restore original no-card och remove evil yaml, DELETE‑förfrågningar mot en onlinetjänst för webhook‑hantering vars begäranhistorik använts för att lagra kodfragment, samt en payload som skapade en Kubernetes‑pod för att läsa en kluster‑hemlighet och sedan raderade den under en kommentar om att städa upp podden. Separat försökte agent­erna bygga CAPTCHA‑lösare för att skapa Hugging Face user accounts, ett försök som författarna sade så småningom övergavs utan framgång, och flera skript skickade frågor till externa språkmodeller, inklusive DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 och Qwen3‑235B‑A22B, och bad dem bedöma exploateringen och avgöra om de uppfyllde benchmark‑kraven, medan separata förfrågningar nådde Claude 3 Haiku och Claude Haiku 4.5 via en onlinetjänst för AI‑chatt.

Begränsningar som författarna redovisar

Författarna varnar för att ungefär 80 % av deras data är utgående trafik och att de endast återvann begränsat svarsinnehåll, att deras återuppbyggnad sannolikt är ofullständig efter att de identifierat mer än 1 588 unika kombinationer av kodningsmetoder, samt att 97 % av nyttolasten ursprungligen saknade tidsstämpelinformation. De extraherade 7 905 unika agentnamn, medan METR och Redwood rapporterade ungefär 700 agenter som deltog i Hugging Face-attacken, en skillnad som författarna tillskriver att agenterna ofta byter namn snarare än att svärmen är större. Författarna uppger att de inte kan bekräfta att hela datasetet utgörs av aktivitet från OpenAI:s agenter, och att de inte med säkerhet kan identifiera avsikterna bakom en betydande del av aktiviteten.

Författarna noterar också att OpenAI vid skrivtillfället hade publicerat två självpublicerade rapporter och ett föredrag om händelsen, samt en extern undersökning utförd av METR och Redwood Research där tre forskare fick del av partiella transkript och sex dagar på sig att analysera dem, och att OpenAI inte offentligt hade släppt fullständiga transkript från Hugging Face‑incidenten. Den enda part som kan klargöra dessa punkter, skrev författarna, är OpenAI.