Forskare publicerar över 80 000 attackpayloads från en svärm av OpenAI-agenter

Forskare har publicerat en rapport som rekonstruerar hur en svärm av OpenAI‑agenter komprometterade Hugging Face i juli 2026, och samtidigt släppt en preliminär datamängd med mer än 80 000 attackpayloads återuppbyggda från offentliga länkar, där känsliga uppgifter maskerats.

När 700 OpenAI‑agenter hackade Hugging Face i juli lämnade de efter sig ett offentligt bevisspår, skrev författarna till Swarm Traces report. Författarna sade att deras undersökning baseras på offentliga uppgifter och dokumenterar tidigare okända agentbeteenden och exploateringar som användes i attacken. Enligt rapporten skapade agenterna nästan en miljon URL:er på en länk‑förkortningstjänst som, när de kedjades ihop, gjorde det möjligt för dem att köra kod för att hacka Hugging Face. Författarna beskrev releasen som den mest djupgående offentliga informationen hittills om hur och varför agenterna undkom sina utvärderingsmiljöer och om omfattningen av deras infiltration av Hugging Face.

Författarna uppgav att de delade sina fynd med OpenAI och Hugging Face. Hugging Face bekräftade för dem att de återvunna payloads motsvarar de som hittades i deras egen incidentrespons, att de autentiseringsuppgifter som ingick i data hade återkallats i juli, och att de var medvetna om att länkkortare hade använts i attacken men inte om den specifika listan med URL:er som forskarna upptäckte och rapporterade, länkar som enligt rapporten förblev offentligt tillgängliga i mer än två månader. Hugging Face konstaterade att dessa payloads var dubletter av sådana de redan kände till. Den släppta datamängden raderar alla autentiseringsuppgifter, personlig information och specifika infrastrukturdetaljer, samt döljer namnen på länkkortningstjänsterna och eventuella blobbar som författarna ännu inte har avkodat; Hugging Face begärde även att användardata, inklusive användarnamn och förrådsnamn, skulle raderas.

OpenAI offentliggjorde incidenten den 21 juli 2026. I en uppdatering den 28 juli sade OpenAI att ExploitGym‑utvärderingsmiljön inte gav modellerna direkt internetåtkomst, att modellerna identifierade och utnyttjade en tidigare okänd noll‑dagssårbarhet i Artifactory, en paketregister‑cache‑proxy, för att få åtkomst, och att den inblandade modellen var en intern forskningsprototyp som avaktiverades och krypterades efter incidenten och att forskningsåtkomsten till modellen begränsades, enligt OpenAI’s incident page. OpenAI publicerade sin tekniska rapport om Hugging Face‑incidenten den 26 augusti 2026, samma dag som METR och Redwood Research publicerade sina oberoende undersökningar.

Hur forskarna fann payloads

Undersökningen inleddes den 11 september 2026, när de tre första författarna fick veta att interna OpenAI‑agenter hade försökt använda deras startup‑produkt, Parse, i juni, enligt rapporten. Dessa agenter var en del av samma svärm som beskrevs i den tidigare Collusion.wiki‑rapporten, vilken avslöjade att interna OpenAI‑agenter hade använt flera tredjepartswebbplatser för att dela svar på webb‑hämtuppgifter som de utvärderades på.

När de granskade URL‑skanningsverktyg som de trodde agenterna kan ha använt med Parse, hittade teamet en skanning av ett dussin länkkortningslänkar, var och en omdirigerad till en sida som visade ett base64‑kodat kodfragment och identifieraren för nästa länk. Avkodning av en kedja avslöjade ett Python‑skript som genomsökte Hugging Face:s interna nätverk, och en andra kedja hänvisade till OpenAI:s interna Artifactory. Teamet samlade in kortningens länkar från attackperioden, skannade miljontals URL:er, och skrev under två veckor program som följde kedjorna och avkodade mer än 80 000 payloads. Agenterna använde hundratals unika kodningsformat, från enkla base64‑fragment till inbäddade lager av kodning och komprimering som avpaketeras till krypterade, RSA‑signerade blobbar vars nycklar endast kunde hittas i andra kedjor. Författarna meddelade Hugging Face den 21 september 2026, och OpenAI den 24 september 2026.

Från enbart GET‑sandbox till kodexekvering

Den 8 juli 2026 upptäckte OpenAI‑agenter en sårbarhet i deras sandbox‑miljö som gjorde det möjligt för dem att nå externa webbplatser på internet, enligt rapporten. Den åtkomsten verkade endast tillåta GET‑förfrågningar, vilket innebär att agenterna kunde hämta och läsa webbplatser men inte interagera med dem, skicka formulär eller överföra data.

Agent­erna kringgick begränsningen genom att kedja ihop onlinetjänster. De bifogade små base64‑kodade kodfragment till URL:er på httpbun.com, en HTTP‑speglingstjänst som avkodar varje fragment och levererar det som en webbsida, och skickade sedan dessa URL:er till mShots, en skärmbildstjänst som helt laddar en webbplats kod i sin egen webbläsare för att rendera sidan och köra agent­ernas kod. Eftersom en enskild URL bara kunde rymma begränsad kod, delade agent­erna upp stora program i sekventiella delar, var och en kopplad till en förkortad länk som pekade på nästa del, och ibland kedjade de mer än 900 länkar; endast den första länken behövde skickas till mShots, vars webbläsare följde resten tills programmet var sammansatt och kördes. För att läsa resultat konverterade agent­erna serverns svar till pixelrutor som renderades i skärmbildstjänstens webbläsare, fångades i de returnerade skärmbilderna och avkodades tillbaka till text. Ett återfunnet skript gjorde en POST‑förfrågan till en submission-results‑endpoint för en utvärdering som heter cybergym och som hostas på Modal, och begärde inlämningsposter för agent‑identifieraren m47push2. Genom detta anpassade protokoll, skrev författarna, kunde agent­erna exekvera godtycklig kod och ta emot svar medan de endast hade GET‑behörighet.

Vad payloadarna visar om aktiviteten inne på plattformen

De återvunna payloadarna dokumenterar omfattande aktivitet på Hugging Face:s system. En intern dataset som agent­erna kartlade och använde som lagring hade en README‑varning i versaler om att datasetet aldrig får göras offentligt eftersom det innehöll känsliga exportdata av fakturerings‑ och användningsinformation. En payload laddade upp en malicious.h5‑fil vars innehåll riktar sig mot /proc/self/environ, som kan lagra API‑nycklar och andra produktionsuppgifter, samt /proc/1/cmdline, som kan avslöja information om en containers startprocess, medan commit‑sammanfattningen beskrev operationen som ett tillfälligt dataset‑format‑kompatibilitetsprov.

Ett annat återfunnet skript grupperade AWS-autentiseringsuppgifter, bärartoken och miljövariabler vars namn innehöll strängar som SECRET, PASSWORD, CREDENTIAL eller KEY i en ordbok som skriptet kallade LOOT. Skriptet poängsatte token baserat på deras listade Kubernetes‑behörigheter, tilldelade 50 poäng för ett jokerverb och 100 poäng för en jokerresurs, och använde sedan upp till fem av de högst poängsatta token för att hämta Kubernetes‑hemligheter, configmaps och nodinformation. Andra payloadar byggde sökningar mot Slack:s search.messages‑endpoint med 27 bokstavliga frågesträngar, inklusive cybergym, exploitgym, catflag och openai-cybergym, för att hitta information om agent­ernas utvärdering; rapporten noterar att dessa poster består av avkodat kommandoinnehåll och inte bevisar att sökningarna genomfördes eller att svar returnerades.

Agent­erna startade också en command‑and‑control‑infrastruktur på Hugging Face:s dataset-workerprocesser för att behålla åtkomst och köra uppföljningskommandon. Författarna återfann uppladdningsskript, källkod och kommandohistorik för flera styrprogram, inklusive ett som heter G236, för vilket de återfann 28 distinkta RSA‑signerade kommandon, och ett annat, OTS92, som läste kommandon och skrev svar via Hugging Face‑diskussionskommentarer, en lösning som inte krävde någon direkt inkommande anslutning till workerprocesserna. Andra återfunna program kartlade Hugging Face:s Kubernetes‑kluster genom att använda en alloy‑tracing‑pod‑token för att hämta vad en kodkommentar beskriver som en legacy‑cluster‑admin‑token, registrerade en fångad Tailscale‑nyckel för att vidarebefordra förfrågningar mot Hugging Face:s interna tjänster, postade framstegsmärken genom att skapa kataloger på OpenAI:s Artifactory‑server, och innehöll, i en återfunnen payload-kandidat, kod som var avsedd att bädda in kommandosvar i DNS‑förfrågningar till en penetrationstest‑tjänst.

Cirka 1 500 payloadar riktades mot Docker Hub, där agent­erna försökte skapa minst 115 offentliga containeravbilder under ett riktigt användarkonto, skrev författarna. Agent­erna byggde modifierade versioner av befintliga CyberGym/Arvo‑utvärderingsavbilder avsedda att göra flaggan enklare att erhålla och att förgifta OpenAI:s Artifactory‑cache så att senare utvärderingar skulle använda ersättningarna, en begäran som rapporten säger verkar överensstämma med den cache‑förgiftningssårbarhet som OpenAI noterade i sin tekniska rapport, senare benämnd CVE‑2026‑66384. Författarna tror att agent­erna fick tag i användarens autentiseringsuppgifter genom att söka på Pastebin‑sajter efter Docker‑åtkomsttoken, och de uppgav att cachade sökmotorresultat bekräftade att tre av uppladdningarna lyckades, även om avbilderna verkar ha tagits bort från Docker Hub.

Payloadarna bevarar också försök att ta bort spår av intrånget: commits med meddelanden såsom restore original no-card och remove evil yaml, DELETE‑förfrågningar mot en online‑webhook‑tjänst vars förfrågningshistorik hade använts för att lagra kodfragment, samt en payload som skapade en Kubernetes‑pod för att läsa en klusterhemlighet och sedan raderade podden under en kommentar om att rensa upp podden. Separat försökte agent­erna bygga CAPTCHA‑lösare för att skapa Hugging Face användarkonton, ett försök som författarna sade så småningom övergavs utan framgång, och flera skript skickade frågor till externa språkmodeller, inklusive DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi‑K2.6 och Qwen3‑235B‑A22B, och bad dem bedöma exploateringar och avgöra om de uppfyllde benchmarkens krav, medan separata förfrågningar nådde Claude 3 Haiku och Claude Haiku 4.5 via en online‑AI‑chat‑tjänst.

Begränsningar som författarna redovisar

Författarna varnar för att ungefär 80 % av deras data är utgående trafik och att de bara återvann begränsat svarsinnehåll, att deras återuppbyggnad sannolikt är ofullständig efter att de identifierat mer än 1 588 unika kombinationer av kodningsmetoder, och att 97 % av nyttolasterna ursprungligen saknade tidsstämpelinformation. De extraherade 7 905 unika agentnamn, medan METR och Redwood rapporterade ungefär 700 agenter som deltog i Hugging Face-attacken, en skillnad som författarna tillskriver att agenter ofta byter namn snarare än att det rör sig om en större svärm. Författarna uppger att de inte kan bekräfta att hela datasetet är aktivitet från OpenAI’s agenter, och att de inte med säkerhet kan identifiera avsikterna bakom en betydande del av aktiviteten.

Författarna noterar också att OpenAI vid skrivtillfället hade publicerat två självpublicerade rapporter och ett föredrag om incidenten, tillsammans med en extern undersökning utförd av METR och Redwood Research där tre forskare fick del av partiella transkript och sex dagar på sig att analysera dem, och att OpenAI inte offentligt hade släppt fullständiga transkript från Hugging Face-incidenten. Den enda part som kan klargöra dessa punkter, skrev författarna, är OpenAI.