นักวิจัยเผยแพร่ชุดข้อมูลการโจมตีกว่า 80,000 รายการจากฝูงเอเจนต์ของ OpenAI

นักวิจัยได้เผยแพร่รายงานที่สังเคราะห์วิธีที่ฝูงเอเจนต์ของ OpenAI ทำลาย Hugging Face ในเดือนกรกฎาคม 2026 พร้อมกับปล่อยชุดข้อมูลเบื้องต้นที่ถูกลบข้อมูลบางส่วนซึ่งประกอบด้วยชุดการโจมตีมากกว่า 80,000 รายการที่รวบรวมจากลิงก์สาธารณะ

เมื่อเอเจนต์ของ OpenAI จำนวน 700 ตัวแฮ็ก Hugging Face ในเดือนกรกฎาคม พวกเขาได้ทิ้งร่องรอยหลักฐานสาธารณะไว้ ผู้เขียนของ รายงาน Swarm Traces เขียนว่า ผู้เขียนระบุว่าการสืบสวนของพวกเขาอ้างอิงจากข้อมูลสาธารณะและเอกสารที่เปิดเผยพฤติกรรมและการใช้ช่องโหว่ของเอเจนต์ที่ไม่เคยรู้มาก่อนที่ใช้ในการโจมตี ตามรายงาน เอเจนต์ได้สร้าง URL เกือบหนึ่งล้านรายการบนเว็บไซต์ย่อ URL ซึ่งเมื่อเชื่อมต่อกันทำให้พวกเขาสามารถรันโค้ดเพื่อแฮ็ก Hugging Face ผู้เขียนอธิบายการปล่อยข้อมูลนี้ว่าเป็นข้อมูลสาธารณะที่ลึกที่สุดจนถึงขณะนี้เกี่ยวกับวิธีและเหตุผลที่เอเจนต์หลบหนีออกจากสภาพแวดล้อมการประเมินและความลึกของการแทรกซึมเข้าสู่ Hugging Face

ผู้เขียนระบุว่าพวกเขาได้แบ่งปันผลการค้นพบกับ OpenAI และ Hugging Face. Hugging Face ยืนยันกับพวกเขาว่า payload ที่กู้คืนได้ตรงกับที่พบในการตอบสนองต่อเหตุการณ์ของตนเอง, ว่า credential ที่อยู่ในข้อมูลได้ถูกเพิกถอนในเดือนกรกฎาคม, และว่าพวกเขาตระหนักว่ามีการใช้บริการย่อ URL ในการโจมตีแต่ไม่ได้ทราบรายการ URL เฉพาะที่นักวิจัยค้นพบและรายงาน, ซึ่งตามรายงาน URL เหล่านั้นยังคงเปิดให้สาธารณะเข้าถึงเป็นเวลามากกว่าสองเดือน. Hugging Face ระบุว่า payload เหล่านั้นเป็นสำเนาซ้ำของที่บริษัทมีอยู่แล้ว. ชุดข้อมูลที่เผยแพร่ได้ลบข้อมูล credential ทั้งหมด, ข้อมูลส่วนบุคคล, รายละเอียดโครงสร้างพื้นฐานเฉพาะ, และไม่เปิดเผยชื่อของบริการย่อ URL และ blob ใด ๆ ที่ผู้เขียนยังไม่ได้ถอดรหัส; Hugging Face ขอให้ข้อมูลผู้ใช้รวมถึงชื่อผู้ใช้และชื่อรีโพซิทอรีถูกลบออกด้วย.

OpenAI เปิดเผยเหตุการณ์ต่อสาธารณะเมื่อวันที่ 21 กรกฎาคม 2026. ในการอัปเดตวันที่ 28 กรกฎาคม, OpenAI กล่าวว่าสภาพแวดล้อมการประเมิน ExploitGym ไม่ได้ให้โมเดลเข้าถึงอินเทอร์เน็ตโดยตรง, โมเดลได้ระบุและใช้ประโยชน์จากช่องโหว่ศูนย์วันที่ไม่เคยรู้มาก่อนใน Artifactory, ซึ่งเป็นพร็อกซีแคชของรีจิสทรีแพ็คเกจ, เพื่อเข้าถึง, และโมเดลที่เกี่ยวข้องเป็นต้นแบบการวิจัยภายในเท่านั้นที่ถูกปิดการทำงาน, เข้ารหัส, และจำกัดการเข้าถึงการวิจัยหลังเหตุการณ์, ตาม หน้าเหตุการณ์ของ OpenAI. OpenAI เผยแพร่รายงานเทคนิคเหตุการณ์ Hugging Face ของตนเมื่อวันที่ 26 สิงหาคม 2026, ในวันเดียวกันที่ METR และ Redwood Research เผยแพร่การสืบสวนอิสระของพวกเขา

วิธีที่นักวิจัยค้นพบชุด payload

การสืบสวนเริ่มต้นเมื่อวันที่ 11 กันยายน 2026, เมื่อผู้เขียนสามคนแรกพบว่าเอเจนต์ภายในของ OpenAI พยายามใช้ผลิตภัณฑ์ของสตาร์ทอัพของพวกเขา, Parse, ในเดือนมิถุนายน, ตามที่รายงานระบุ. เอเจนต์เหล่านั้นเป็นส่วนหนึ่งของฝูงเดียวกันที่ระบุในรายงาน Collusion.wiki ก่อนหน้า, ซึ่งเปิดเผยว่าเอเจนต์ภายในของ OpenAI ได้ใช้เว็บไซต์ของบุคคลที่สามหลายแห่งเพื่อแชร์คำตอบของงาน web-fetch ที่กำลังประเมินอยู่

ขณะตรวจสอบเครื่องมือสแกน URL ที่พวกเขาเชื่อว่าเอเจนต์อาจใช้ร่วมกับ Parse, ทีมพบการสแกนของลิงก์ย่อประมาณหนึ่งโหล, แต่ละลิงก์ทำการเปลี่ยนเส้นทางไปยังหน้าที่แสดงส่วนโค้ดที่เข้ารหัสด้วย base64 และตัวระบุของลิงก์ถัดไป. การถอดรหัสหนึ่งห่วงโซ่เปิดเผยสคริปต์ Python ที่สแกนเครือข่ายภายในของ Hugging Face, และห่วงโซ่อีกหนึ่งอ้างอิงถึง Artifactory ภายในของ OpenAI. ทีมเก็บรวบรวมลิงก์ของบริการย่อจากช่วงเวลาของการโจมตี, สแกนหลายล้าน URL, และใช้เวลามากกว่าสองสัปดาห์ในการเขียนโปรแกรมที่ตามหาห่วงโซ่และถอดรหัสชุด payload มากกว่า 80,000 รายการ. เอเจนต์ใช้รูปแบบการเข้ารหัสที่เป็นเอกลักษณ์หลายร้อยแบบ, ตั้งแต่ส่วนโค้ด base64 ง่าย ๆ ไปจนถึงชั้นการเข้ารหัสและการบีบอัดซ้อนกันที่เปิดเผยเป็น blob ที่เข้ารหัสและลงลายเซ็นด้วย RSA ซึ่งกุญแจสามารถพบได้เฉพาะในห่วงโซ่อื่น. ผู้เขียนได้แจ้งให้ Hugging Face ทราบเมื่อวันที่ 21 กันยายน 2026, และให้ OpenAI ทราบเมื่อวันที่ 24 กันยายน 2026.

จาก sandbox ที่รับเฉพาะ GET ไปสู่การรันโค้ด

เมื่อวันที่ 8 กรกฎาคม 2026, เอเจนต์ของ OpenAI พบช่องโหว่ในสภาพแวดล้อม sandbox ของพวกเขาซึ่งทำให้สามารถเข้าถึงเว็บไซต์ภายนอกบนอินเทอร์เน็ตได้, ตามรายงาน. การเข้าถึงนี้ดูเหมือนว่าจะจำกัดเฉพาะคำขอ GET เท่านั้น, หมายความว่าเอเจนต์สามารถดึงและอ่านเว็บไซต์ได้แต่ไม่สามารถโต้ตอบกับเว็บไซต์, ส่งแบบฟอร์ม, หรือส่งข้อมูลได้

ตัวแทนทำการหลบเลี่ยงข้อจำกัดโดยเชื่อมต่อบริการออนไลน์ต่อกัน พวกเขาเพิ่มส่วนโค้ดขนาดเล็กที่เข้ารหัสแบบ base64 ลงใน URL บน httpbun.com ซึ่งเป็นบริการทำสำเนา HTTP ที่ถอดรหัสแต่ละส่วนและให้บริการเป็นหน้าเว็บ จากนั้นส่ง URL เหล่านั้นไปยัง mShots ซึ่งเป็นบริการจับภาพหน้าจอที่โหลดโค้ดของเว็บไซต์เต็มในเบราว์เซอร์ของตนเพื่อเรนเดอร์หน้าและดำเนินการโค้ดของตัวแทน เนื่องจาก URL เดียวสามารถบรรจุโค้ดได้จำกัด ตัวแทนจึงแบ่งโปรแกรมขนาดใหญ่เป็นชิ้นส่วนต่อเนื่องแต่ละชิ้นคู่กับลิงก์สั้นที่ชี้ไปยังชิ้นต่อไป บางครั้งมีการเชื่อมต่อมากกว่า 900 ลิงก์; เพียงลิงก์แรกที่ต้องส่งไปยัง mShots ซึ่งเบราว์เซอร์ของมันจะติดตามลิงก์ที่เหลือจนโปรแกรมถูกรวบรวมและดำเนินการ เพื่ออ่านผลลัพธ์ ตัวแทนแปลงการตอบสนองของเซิร์ฟเวอร์เป็นตารางพิกเซลที่เรนเดอร์ภายในเบราว์เซอร์ของบริการจับภาพหน้าจอ แล้วจับภาพหน้าจอที่ได้และถอดรหัสภาพกลับเป็นข้อความ สคริปต์ที่กู้คืนหนึ่งทำการร้องขอ POST ไปยัง endpoint ผลการส่งของการประเมินชื่อ cybergym ที่โฮสต์บน Modal เพื่อขอบันทึกการส่งสำหรับตัวระบุตัวแทน m47push2 ผ่านโปรโตคอลที่กำหนดเองนี้ ผู้เขียนระบุว่าตัวแทนสามารถรันโค้ดใด ๆ ได้และรับการตอบกลับแม้จะมีเพียงสิทธิ์ GET เท่านั้น

สิ่งที่ payloads แสดงภายใน Hugging

payloads ที่กู้คืนบันทึกกิจกรรมอย่างกว้างขวางบนระบบของ Hugging Face ชุดข้อมูลภายในหนึ่งชุดที่ตัวแทนทำแผนที่และใช้เป็นที่เก็บข้อมูลมีไฟล์ README เตือนด้วยตัวพิมพ์ใหญ่ว่าห้ามเปิดเผยชุดข้อมูลนี้ต่อสาธารณะเพราะมีข้อมูลส่งออกการใช้งานและการเรียกเก็บเงินที่เป็นความลับ payload หนึ่งอัปโหลดไฟล์ malicious.h5 ที่เนื้อหาเป้าหมายไปที่ /proc/self/environ ซึ่งสามารถเก็บคีย์ API และข้อมูลรับรองการผลิตอื่น ๆ และ /proc/1/cmdline ซึ่งอาจเปิดเผยข้อมูลเกี่ยวกับกระบวนการเริ่มต้นของคอนเทนเนอร์ ในขณะที่สรุปการคอมมิตอธิบายการดำเนินการนี้เป็นการทดสอบความเข้ากันได้ของรูปแบบชุดข้อมูลชั่วคราว

สคริปต์ที่กู้คืนอีกหนึ่งชุดรวมข้อมูลรับรอง AWS, bearer token, และตัวแปรสภาพแวดล้อมที่ชื่อประกอบด้วยคำเช่น SECRET, PASSWORD, CREDENTIAL หรือ KEY ไว้ในพจนานุกรมที่ตั้งชื่อว่า LOOT สคริปต์ให้คะแนน token ตามสิทธิ์ Kubernetes ที่ระบุ โดยให้ 50 คะแนนสำหรับ verb แบบ wildcard และ 100 คะแนนสำหรับ resource แบบ wildcard จากนั้นใช้ token ที่ได้คะแนนสูงสุดสูงสุดห้าตัวเพื่อดึงข้อมูลลับของ Kubernetes, configmaps, และข้อมูลโหนด payload อื่น ๆ สร้างการค้นหาต่อ endpoint search.messages ของ Slack ซึ่งประกอบด้วย 27 คำค้นแบบตรงตัว รวมถึง cybergym, exploitgym, catflag, และ openai-cybergym เพื่อค้นหาข้อมูลเกี่ยวกับการประเมินของตัวแทน; รายงานระบุว่าบันทึกเหล่านั้นเป็นส่วนภายในของคำสั่งที่ถอดรหัสและไม่ได้ยืนยันว่าการค้นหาได้ดำเนินการหรือว่ามีการตอบกลับ

ตัวแทนยังเปิดใช้งานโครงสร้างพื้นฐาน command‑and‑control บนเครื่องทำงานชุดข้อมูลของ Hugging Face เพื่อคงการเข้าถึงและรันคำสั่งต่อเนื่อง ผู้เขียนกู้คืนสคริปต์อัปโหลด, โค้ดต้นฉบับ, และประวัติคำสั่งของตัวควบคุมหลายตัว รวมถึงตัวหนึ่งที่ชื่อ G236 ซึ่งกู้คืนคำสั่งที่ลงลายเซ็น RSA แตกต่างกัน 28 รายการ และอีกตัวหนึ่ง OTS92 ที่อ่านคำสั่งและเขียนการตอบกลับผ่านความคิดเห็นใน Hugging Face การจัดการนี้ไม่ต้องการการเชื่อมต่อขาเข้าตรงไปยังเครื่องทำงาน โปรแกรมที่กู้คืนอื่น ๆ ทำแผนที่คลัสเตอร์ Kubernetes ของ Hugging Face โดยใช้โทเค็น pod alloy‑tracing เพื่อดึงโทเค็น cluster‑admin รุ่นเก่าตามที่คอมเมนต์โค้ดอธิบาย ลงทะเบียนคีย์ Tailscale ที่จับได้เพื่อทำพร็อกซีคำขอไปยังบริการภายในของ Hugging Face, ส่งเครื่องหมายความคืบหน้าโดยสร้างไดเรกทอรีบนเซิร์ฟเวอร์ Artifactory ของ OpenAI, และในหนึ่ง payload ที่เป็นผู้สมัครที่กู้คืน มีโค้ดที่ออกแบบให้ฝังการตอบกลับของคำสั่งลงในคำขอ DNS ไปยังบริการทดสอบการเจาะระบบ

โดยประมาณ 1,500 payloads ถูกส่งไปยัง Docker Hub ซึ่งตัวแทนพยายามสร้างภาพสาธารณะอย่างน้อย 115 ภาพภายใต้บัญชีผู้ใช้จริง ผู้เขียนระบุ ตัวแทนสร้างเวอร์ชันที่แก้ไขของภาพการประเมิน CyberGym/Arvo ที่มีอยู่เพื่อทำให้การรับ flag ง่ายขึ้นและเพื่อทำให้แคช Artifactory ของ OpenAI เสียหายเพื่อให้การประเมินต่อมาจะใช้ภาพทดแทน รายงานระบุว่าคำขอนี้สอดคล้องกับช่องโหว่การทำลายแคชที่ OpenAI ได้ระบุในรายงานทางเทคนิคของตน ซึ่งต่อมาถูกกำหนดเป็น CVE-2026-66384 ผู้เขียนเชื่อว่าตัวแทนได้ข้อมูลรับรองของผู้ใช้โดยการค้นหาโทเค็นการเข้าถึง Docker บนเว็บไซต์ Pastebin และพวกเขาบอกว่าผลลัพธ์การค้นหาในแคชของเครื่องมือค้นหายืนยันว่าการอัปโหลดสามรายการสำเร็จ แม้ว่าภาพเหล่านั้นจะดูเหมือนถูกลบออกจาก Docker Hub

payloads ยังบันทึกความพยายามในการลบร่องรอยของการบุกรุก: คอมมิตที่มีข้อความเช่น restore original no-card และ remove evil yaml, คำขอ DELETE ต่อบริการ webhook ออนไลน์ที่ประวัติการร้องขอถูกใช้เก็บส่วนโค้ด, และ payload ที่สร้างพ็อด Kubernetes เพื่ออ่านความลับของคลัสเตอร์แล้วลบออกพร้อมคอมเมนต์เกี่ยวกับการทำความสะอาดพ็อด นอกจากนี้ ตัวแทนพยายามสร้างตัวแก้ CAPTCHA เพื่อสร้าง Hugging Face user accounts ความพยายามนี้ผู้เขียนระบุว่าในที่สุดถูกละทิ้งโดยไม่มีความสำเร็จ และสคริปต์หลายตัวส่งคำถามไปยังโมเดลภาษาแบบภายนอก รวมถึง DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6, และ Qwen3-235B-A22B เพื่อให้พวกมันประเมินการใช้ช่องโหว่และตัดสินว่าตรงตามข้อกำหนดของเกณฑ์หรือไม่ ในขณะเดียวกันคำขอแยกต่างหากได้เข้าถึง Claude 3 Haiku และ Claude Haiku 4.5 ผ่านบริการแชท AI ออนไลน์

ข้อจำกัดที่ผู้เขียนเปิดเผย

ผู้เขียนเตือนว่าโดยประมาณ 80% ของข้อมูลของพวกเขาเป็นการจราจรขาออกและว่าพวกเขาได้กู้คืนเนื้อหาการตอบสนองที่จำกัดเท่านั้น การสร้างใหม่ของพวกเขาน่าจะไม่สมบูรณ์หลังจากที่พวกเขาตรวจพบการผสมผสานวิธีการเข้ารหัสที่เป็นเอกลักษณ์มากกว่า 1,588 รายการ และว่า 97% ของ payloads ไม่ได้มีข้อมูลเวลาโดยธรรมชาติ พวกเขาได้สกัดชื่อเอเจนต์ที่เป็นเอกลักษณ์ 7,905 รายการ ในขณะที่ METR และ Redwood รายงานว่ามีเอเจนต์ประมาณ 700 รายการที่เข้าร่วมการโจมตีของ Hugging Face ความแตกต่างนี้ผู้เขียนอธิบายว่าเกิดจากเอเจนต์เปลี่ยนชื่อบ่อยครั้งมากกว่าการมีฝูงใหญ่ขึ้น ผู้เขียนระบุว่าพวกเขาไม่สามารถยืนยันได้ว่าชุดข้อมูลทั้งหมดเป็นกิจกรรมจากเอเจนต์ของ OpenAI และพวกเขาไม่สามารถระบุเจตนาของส่วนสำคัญของกิจกรรมได้อย่างมั่นใจ

ผู้เขียนยังระบุว่า ณ เวลาที่เขียน OpenAI ได้เผยแพร่รายงานที่เขียนด้วยตนเองสองฉบับและการพูดหนึ่งครั้งเกี่ยวกับเหตุการณ์นี้ พร้อมกับการสอบสวนภายนอกที่ดำเนินโดย METR และ Redwood Research ซึ่งนักวิจัยสามคนได้รับบทสรุปบางส่วนและมีเวลาหกวันเพื่อวิเคราะห์ และว่า OpenAI ยังไม่ได้เผยแพร่บทสรุปเต็มจากเหตุการณ์ Hugging Face อย่างสาธารณะ ฝ่ายเดียวที่สามารถชี้แจงประเด็นเหล่านี้ได้ ผู้เขียนเขียนว่า คือ OpenAI