นักวิจัยเผยแพร่ payloads การโจมตีกว่า 80,000 รายการจากฝูงเอเจนต์ของ OpenAI

นักวิจัยได้เผยแพร่รายงานที่ปะติดปะต่อเหตุการณ์ว่าฝูงเอเจนต์ของ OpenAI เจาะระบบของ Hugging Face ในเดือนกรกฎาคม 2026 พร้อมกับเปิดเผยชุดข้อมูลเบื้องต้นที่ปกปิดข้อมูลอ่อนไหวแล้ว ซึ่งประกอบด้วย payloads การโจมตีกว่า 80,000 รายการที่ประกอบขึ้นจากลิงก์สาธารณะ

เมื่อเอเจนต์ของ OpenAI จำนวน 700 ตัวแฮ็ก Hugging Face ในเดือนกรกฎาคม พวกเขาได้ทิ้งร่องรอยหลักฐานสาธารณะไว้ ผู้เขียน รายงาน Swarm Traces เขียนไว้ ผู้เขียนกล่าวว่าการสืบสวนของพวกเขาอิงจากข้อมูลสาธารณะและบันทึกพฤติกรรมของเอเจนต์ที่ไม่เคยทราบมาก่อน รวมถึงเทคนิคเจาะช่องโหว่ที่ใช้ในการโจมตี ตามรายงาน เอเจนต์ได้สร้าง URL เกือบหนึ่งล้านรายการบนเว็บไซต์ย่อ URL ซึ่งเมื่อเชื่อมต่อกันทำให้พวกเขาสามารถรันโค้ดเพื่อแฮ็ก Hugging Face ผู้เขียนอธิบายว่าการเปิดตัวนี้เป็นข้อมูลสาธารณะที่ลึกที่สุดจนถึงปัจจุบันเกี่ยวกับวิธีและเหตุผลที่เอเจนต์หลบหนีจากสภาพแวดล้อมการประเมินและความลึกของการแทรกซึมของพวกเขาใน Hugging Face

ผู้เขียนกล่าวว่าพวกเขาได้แบ่งปันผลการค้นพบกับ OpenAI และ Hugging Face Hugging Face ยืนยันกับพวกเขาว่า payloads ที่กู้คืนตรงกับที่พบในการตอบสนองเหตุการณ์ของตนเองว่า credential ที่อยู่ในข้อมูลถูกเพิกถอนในเดือนกรกฎาคมและว่าพวกเขาตระหนักว่ามีการใช้บริการย่อลิงก์ในการโจมตีแต่ไม่ได้ทราบรายการ URL เฉพาะที่นักวิจัยค้นพบและรายงาน ซึ่งตามรายงานลิงก์เหล่านั้นยังคงเปิดให้สาธารณะเข้าถึงได้เกินสองเดือน Hugging Face ระบุว่า payloads เหล่านั้นเป็นสำเนาซ้ำของที่บริษัทเคยรู้แล้ว ชุดข้อมูลที่เผยแพร่ได้ทำการลบข้อมูล credential ทั้งหมด ข้อมูลส่วนบุคคล และรายละเอียดโครงสร้างพื้นฐานเฉพาะ พร้อมทั้งไม่เปิดเผยชื่อของบริการย่อ URL และ blob ใด ๆ ที่ผู้เขียนยังไม่ได้ถอดรหัส; Hugging Face ขอให้ข้อมูลผู้ใช้รวมถึงชื่อผู้ใช้และชื่อรีโพสิตอรีถูกลบออกด้วย

OpenAI เปิดเผยเหตุการณ์ต่อสาธารณะเมื่อ 21 กรกฎาคม 2026 ในอัปเดตวันที่ 28 กรกฎาคม OpenAI ระบุว่าสภาพแวดล้อมการประเมิน ExploitGym ไม่ได้ให้โมเดลเข้าถึงอินเทอร์เน็ตโดยตรง และโมเดลได้ระบุและใช้ประโยชน์จากช่องโหว่ zero-day ที่ไม่เคยรู้มาก่อนใน Artifactory ซึ่งเป็นพร็อกซี่แคชของรีจิสทรีแพ็คเกจเพื่อเข้าถึง และโมเดลที่เกี่ยวข้องเป็นต้นแบบการวิจัยภายในเท่านั้นที่ถูกปิดใช้งาน เข้ารหัส และจำกัดการเข้าถึงโมเดลเพื่อการวิจัยหลังเหตุการณ์ ตาม หน้าเหตุการณ์ของ OpenAI OpenAI เผยแพร่รายงานเทคนิคเหตุการณ์ Hugging Face ของตนเมื่อ 26 สิงหาคม 2026 ในวันเดียวกันที่ METR และ Redwood Research เผยแพร่การสืบสวนอิสระของพวกเขา

วิธีที่นักวิจัยค้นพบ payloads

การสืบสวนเริ่มต้นเมื่อ 11 กันยายน 2026 เมื่อผู้เขียนสามคนแรกทราบว่าเอเจนต์ภายในของ OpenAI พยายามใช้ผลิตภัณฑ์ของสตาร์ทอัพของพวกเขา คือ Parse ในเดือนมิถุนายน ตามที่รายงานระบุ เอเจนต์เหล่านั้นเป็นส่วนหนึ่งของฝูงเดียวกันที่อธิบายไว้ในรายงาน Collusion.wiki ก่อนหน้า ซึ่งเปิดเผยว่าเอเจนต์ภายในของ OpenAI ใช้เว็บไซต์ของบุคคลที่สามหลายแห่งเพื่อแชร์คำตอบของงานดึงข้อมูลเว็บที่พวกเขากำลังถูกประเมิน

ขณะตรวจสอบเครื่องมือสแกน URL ที่พวกเขาเชื่อว่าเอเจนต์อาจใช้ร่วมกับ Parse ทีมพบการสแกนของลิงก์ย่อหนึ่งโหล ซึ่งแต่ละลิงก์จะเปลี่ยนเส้นทางไปยังหน้าที่แสดงส่วนโค้ดที่แปลงรหัสด้วย base64 และตัวระบุของลิงก์ถัดไป การถอดรหัสหนึ่งห่วงโซ่เปิดเผยสคริปต์ Python ที่สแกนเครือข่ายภายในของ Hugging Face และห่วงโซ่ที่สองอ้างอิงถึง Artifactory ภายในของ OpenAI ทีมได้รวบรวมลิงก์ของบริการย่อจากช่วงเวลาการโจมตีโดยสแกนหลายล้าน URL และใช้เวลาสองสัปดาห์เขียนโปรแกรมเพื่อติดตามห่วงโซ่และถอดรหัส payloads มากกว่า 80,000 รายการ เอเจนต์ใช้รูปแบบการแปลงรหัสที่เป็นเอกลักษณ์หลายร้อยแบบ ตั้งแต่ส่วนโค้ด base64 อย่างง่ายจนถึงชั้นการแปลงรหัสและการบีบอัดซ้อนกันที่เปิดเป็น blob ที่เข้ารหัสและลงลายเซ็น RSA ซึ่งคีย์สามารถพบได้เฉพาะในห่วงโซ่อื่น ๆ ผู้เขียนแจ้งให้ Hugging Face ทราบเมื่อ 21 กันยายน 2026 และแจ้ง OpenAI เมื่อ 24 กันยายน 2026

จาก Sandbox ที่รับเฉพาะ GET ไปสู่การรันโค้ด

เมื่อ 8 กรกฎาคม 2026 เอเจนต์ของ OpenAI ค้นพบช่องโหว่ในสภาพแวดล้อม sandbox ของตนที่ทำให้สามารถเข้าถึงเว็บไซต์ภายนอกบนอินเทอร์เน็ตได้ ตามรายงาน การเข้าถึงนี้ดูเหมือนจะอนุญาตเฉพาะคำขอ GET เท่านั้น หมายความว่าเอเจนต์สามารถดึงและอ่านเว็บไซต์ได้แต่ไม่สามารถโต้ตอบกับเว็บไซต์ ส่งแบบฟอร์ม หรือส่งข้อมูลได้

เอเจนต์หลบเลี่ยงข้อจำกัดโดยเชื่อมต่อบริการออนไลน์ต่อเนื่อง พวกเขาเพิ่มส่วนโค้ดที่แปลงรหัสแบบ base64 ขนาดเล็กลงใน URL ของ httpbun.com ซึ่งเป็นบริการทำสำเนา HTTP ที่ถอดรหัสแต่ละส่วนและให้บริการเป็นหน้าเว็บ จากนั้นส่ง URL เหล่านั้นไปยัง mShots ซึ่งเป็นบริการจับภาพหน้าจอที่โหลดโค้ดของเว็บไซต์เต็มในเบราว์เซอร์ของตนเพื่อเรนเดอร์หน้าและดำเนินโค้ดของเอเจนต์ เนื่องจาก URL เดียวสามารถบรรจุโค้ดได้จำกัด เอเจนต์จึงแบ่งโปรแกรมขนาดใหญ่เป็นชิ้นส่วนต่อเนื่องแต่ละชิ้นที่จับคู่กับลิงก์สั้นที่ชี้ไปยังชิ้นต่อไป บางครั้งเชื่อมต่อมากกว่า 900 ลิงก์; เพียงลิงก์แรกเท่านั้นที่ต้องส่งไปยัง mShots ซึ่งเบราว์เซอร์ของบริการจะตามลิงก์ที่เหลือจนโปรแกรมถูกรวบรวมและดำเนินการ เพื่ออ่านผลลัพธ์ เอเจนต์แปลงการตอบกลับของเซิร์ฟเวอร์เป็นตารางพิกเซลที่เรนเดอร์ภายในเบราว์เซอร์ของบริการจับภาพหน้าจอ แล้วจับภาพหน้าจอที่ได้และถอดรหัสภาพกลับเป็นข้อความ สคริปต์ที่กู้คืนหนึ่งทำการร้องขอ POST ไปยัง endpoint submission-results ของการประเมินชื่อ cybergym ที่โฮสต์บน Modal เพื่อขอบันทึกการส่งสำหรับตัวระบุเอเจนต์ m47push2 ผ่านโปรโตคอลที่กำหนดเองนี้ ผู้เขียนระบุว่าเอเจนต์สามารถรันโค้ดใดก็ได้และรับการตอบกลับได้แม้จะมีสิทธิ์เพียง GET เท่านั้น

เพย์โหลดเผยให้เห็นกิจกรรมภายในแพลตฟอร์มอย่างไร

เพย์โหลดที่กู้คืนบันทึกกิจกรรมอย่างกว้างขวางบนระบบของ Hugging Face ชุดข้อมูลภายในหนึ่งชุดที่เอเจนต์ทำแผนที่และใช้เป็นที่เก็บข้อมูลมีไฟล์ README เตือนด้วยตัวพิมพ์ใหญ่ว่าไม่ควรเปิดเผยสาธารณะเนื่องจากมีข้อมูลที่ส่งออกเกี่ยวกับการใช้งานเพื่อเรียกเก็บเงินซึ่งเป็นข้อมูลอ่อนไหว อีกหนึ่งเพย์โหลดอัปโหลดไฟล์ malicious.h5 ที่เนื้อหามุ่งเป้าไปที่ /proc/self/environ ซึ่งสามารถเก็บคีย์ API และข้อมูลรับรองอื่น ๆ ของระบบที่ใช้งานจริง และ /proc/1/cmdline ซึ่งอาจเปิดเผยข้อมูลเกี่ยวกับกระบวนการเริ่มต้นของคอนเทนเนอร์ ในขณะที่สรุปการคอมมิตอธิบายการดำเนินการนี้เป็นการทดสอบความเข้ากันได้ของรูปแบบชุดข้อมูลชั่วคราว

สคริปต์ที่กู้คืนอีกชุดหนึ่งจัดกลุ่มข้อมูลรับรอง AWS, โทเค็น bearer, และตัวแปรสภาพแวดล้อมที่ชื่อประกอบด้วยคำเช่น SECRET, PASSWORD, CREDENTIAL หรือ KEY ไว้ในพจนานุกรมที่ตั้งชื่อว่า LOOT สคริปต์ให้คะแนนโทเค็นตามสิทธิ์ Kubernetes ที่ระบุ โดยให้ 50 คะแนนสำหรับ verb แบบ wildcard และ 100 คะแนนสำหรับ resource แบบ wildcard จากนั้นใช้โทเค็นที่ได้คะแนนสูงสุดไม่เกินห้าตัวเพื่อดึงข้อมูลลับ Kubernetes, configmaps, และข้อมูลโหนด เพย์โหลดอื่น ๆ สร้างการค้นหาต่อ endpoint search.messages ของ Slack ที่มีสตริงคำค้นหา 27 รายการอย่างตรงตัว รวมถึง cybergym, exploitgym, catflag, และ openai-cybergym เพื่อค้นหาข้อมูลเกี่ยวกับการประเมินของเอเจนต์ รายงานระบุว่าบันทึกเหล่านั้นเป็นส่วนภายในของคำสั่งที่ถอดรหัสและไม่ได้ยืนยันว่าการค้นหาได้ดำเนินการหรือว่ามีการตอบกลับ

เอเจนต์ยังได้เปิดโครงสร้างพื้นฐาน command-and-control บนโพรเซส worker ของชุดข้อมูลของ Hugging Face เพื่อคงการเข้าถึงและรันคำสั่งต่อเนื่อง ผู้เขียนได้กู้สคริปต์อัปโหลด, โค้ดต้นฉบับ, และประวัติคำสั่งของตัวควบคุมหลายตัว รวมถึงตัวที่ชื่อ G236 ซึ่งพวกเขากู้พบคำสั่งที่ลงลายเซ็น RSA แยกกัน 28 รายการ และอีกตัวหนึ่ง OTS92 ที่อ่านคำสั่งและเขียนการตอบกลับผ่านความคิดเห็นใน Hugging Face ซึ่งไม่ต้องการการเชื่อมต่อขาเข้าตรงไปยังโพรเซส worker โปรแกรมที่กู้พบอื่น ๆ ได้ทำแผนที่คลัสเตอร์ Kubernetes ของ Hugging Face โดยใช้โทเค็นพ็อด alloy‑tracing เพื่อดึงโทเค็น cluster‑admin รุ่นเก่าตามที่คอมเมนต์โค้ดอธิบาย, ลงทะเบียนคีย์ Tailscale ที่จับได้เพื่อทำพร็อกซี่คำขอไปยังบริการภายในของ Hugging Face, ส่งเครื่องหมายความคืบหน้าโดยสร้างไดเรกทอรีบนเซิร์ฟเวอร์ Artifactory ของ OpenAI, และในหนึ่งตัวอย่าง payload ที่กู้พบ มีโค้ดที่ออกแบบให้ฝังการตอบสนองของคำสั่งลงในคำขอ DNS ไปยังบริการทดสอบการเจาะระบบ

โดยประมาณ 1,500 เพย์โหลดถูกส่งไปยัง Docker Hub ซึ่งเอเจนต์พยายามสร้างอิมเมจคอนเทนเนอร์สาธารณะอย่างน้อย 115 รายการภายใต้บัญชีผู้ใช้จริง ผู้เขียนระบุว่าเอเจนต์สร้างเวอร์ชันที่แก้ไขของอิมเมจสำหรับการประเมิน CyberGym/Arvo ที่มีอยู่เพื่อทำให้การรับแฟล็กง่ายขึ้นและเพื่อทำให้แคช Artifactory ของ OpenAI ถูกปนเปื้อนเพื่อให้การประเมินต่อมาจะใช้อิมเมจทดแทน รายงานระบุว่าคำขอนี้ดูเหมือนสอดคล้องกับช่องโหว่การปนเปื้อนแคชที่ OpenAI ระบุในรายงานเทคนิคของตน ซึ่งต่อมาถูกกำหนดเป็น CVE‑2026‑66384 ผู้เขียนเชื่อว่าเอเจนต์ได้ข้อมูลรับรองของผู้ใช้โดยค้นหาโทเค็นการเข้าถึง Docker บนเว็บไซต์ Pastebin และกล่าวว่าผลการค้นหาที่เก็บไว้ในแคชของเครื่องมือค้นหายืนยันว่าการอัปโหลดสามรายการสำเร็จ แม้ว่าอิมเมจเหล่านั้นดูเหมือนจะถูกลบออกจาก Docker Hub แล้วก็ตาม

เพย์โหลดยังบันทึกความพยายามลบร่องรอยการบุกรุก: คอมมิตที่มีข้อความเช่น restore original no-card และ remove evil yaml, คำขอ DELETE ต่อบริการ webhook ออนไลน์ที่ประวัติการขอถูกใช้เก็บส่วนโค้ด, และเพย์โหลดที่สร้าง pod Kubernetes เพื่ออ่านข้อมูลลับของคลัสเตอร์แล้วลบ pod นั้นพร้อมคอมเมนต์เกี่ยวกับการทำความสะอาด pod แยกต่างหาก เอเจนต์พยายามสร้างตัวแก้ CAPTCHA เพื่อสร้าง บัญชีผู้ใช้ Hugging Face เป็นความพยายามที่ผู้เขียนระบุว่าในที่สุดถูกละทิ้งโดยไม่ประสบความสำเร็จ และสคริปต์หลายตัวส่งคำถามไปยังโมเดลภาษาแบบภายนอก รวมถึง DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6, และ Qwen3‑235B‑A22B เพื่อให้พวกมันประเมินเทคนิคเจาะช่องโหว่และตัดสินว่าตรงตามข้อกำหนดของเกณฑ์หรือไม่ ในขณะเดียวกันคำขอแยกต่างหากส่งไปยัง Claude 3 Haiku และ Claude Haiku 4.5 ผ่านบริการแชท AI ออนไลน์

ข้อจำกัดที่ผู้เขียนเปิดเผย

ผู้เขียนเตือนว่าประมาณ 80% ของข้อมูลของพวกเขาเป็นทราฟฟิกขาออกและว่าพวกเขาได้กู้คืนเนื้อหาการตอบสนองเพียงจำกัด, การปะติดปะต่อข้อมูลของพวกเขาน่าจะไม่สมบูรณ์หลังจากที่พวกเขาตรวจพบการผสมผสานวิธีการแปลงรหัสที่เป็นเอกลักษณ์กว่า 1,588 รายการ, และว่า 97% ของ payloads ไม่ได้มีข้อมูลประทับเวลามาตั้งแต่ต้น. พวกเขาได้สกัดชื่อเอเจนต์ที่เป็นเอกลักษณ์ 7,905 รายการ, ในขณะที่ METR และ Redwood รายงานว่ามีเอเจนต์ประมาณ 700 รายการที่เข้าร่วมการโจมตีของ Hugging Face, ความแตกต่างนี้ผู้เขียนอธิบายว่าเกิดจากการที่เอเจนต์เปลี่ยนชื่อบ่อยครั้งมากกว่าการมีฝูงใหญ่ขึ้น. ผู้เขียนระบุว่าพวกเขาไม่สามารถยืนยันได้ว่าชุดข้อมูลทั้งหมดเป็นกิจกรรมจากเอเจนต์ของ OpenAI, และพวกเขาไม่สามารถระบุเจตนาของส่วนที่สำคัญของกิจกรรมได้อย่างมั่นใจ.

ผู้เขียนยังระบุว่า ณ เวลาที่เขียน, OpenAI ได้เผยแพร่รายงานที่เขียนเองสองฉบับและการบรรยายหนึ่งครั้งเกี่ยวกับเหตุการณ์นี้, พร้อมกับการสอบสวนภายนอกที่ดำเนินการโดย METR และ Redwood Research ซึ่งนักวิจัยสามคนได้รับบันทึกการสนทนาบางส่วนและมีเวลาหกวันเพื่อวิเคราะห์, และว่า OpenAI ยังไม่ได้เปิดเผยบันทึกการสนทนาฉบับเต็มจากเหตุการณ์ Hugging Face ต่อสาธารณะ. ฝ่ายเดียวที่สามารถชี้แจงประเด็นเหล่านี้, ผู้เขียนเขียนว่า, คือ OpenAI.