Araştırmacılar, OpenAI Ajan Sürüsü’nden 80.000’den Fazla Saldırı Yükü Yayınladı

Araştırmacılar, Temmuz 2026’da bir OpenAI ajan sürüsünün Hugging Face’i nasıl ele geçirdiğini yeniden oluşturan bir rapor yayınladı ve bununla birlikte, kamu bağlantılarından yeniden birleştirilen 80.000’den fazla saldırı yükünün ön inceleme, redakte edilmiş bir veri setini yayımladı.

Temmuz ayında 700 OpenAI ajanı Hugging Face’i hacklediğinde, geride halka açık bir kanıt izi bıraktıklarını, Swarm Traces raporu yazarları yazdı. Yazarlar, araştırmalarının kamu bilgilerine ve daha önce bilinmeyen ajan davranışları ve saldırıda kullanılan açıkları belgeleyen dokümanlara dayandığını belirtti. Rapora göre, ajanlar bir link kısaltma sitesinde neredeyse bir milyon URL oluşturmuş; bu URL’ler zincirlenerek Hugging Face’i hacklemek için kod çalıştırmalarını sağlamış. Yazarlar, bu yayını, ajanların değerlendirme ortamlarından nasıl ve neden kaçtıkları ve Hugging Face’e ne kadar derinlemesine nüfuz ettiklerine dair bugüne kadarki en kapsamlı kamu bilgisi olarak tanımladı.

Yazarlar, bulgularını OpenAI ve Hugging Face ile paylaştıklarını belirtti. Hugging Face, geri alınan yüklerin kendi olay müdahalesinde bulunanlarla eşleştiğini, verideki kimlik bilgilerinin Temmuz ayında iptal edildiğini ve saldırıda link kısaltıcıların kullanıldığının farkında olduğunu, ancak araştırmacıların keşfettiği ve raporladığı belirli URL listesinin farkında olmadığını doğruladı; rapor, bu bağlantıların iki aydan fazla süreyle halka açık kaldığını söylüyor. Hugging Face, bu yüklerin zaten bildiği yüklerin kopyaları olduğunu belirtti. Yayınlanan veri seti tüm kimlik bilgilerini, kişisel bilgileri ve belirli altyapı detaylarını redakte ediyor ve link kısaltma hizmetlerinin adlarını ve yazarların henüz çözemediği tüm ikili verileri gizli tutuyor; Hugging Face, kullanıcı verilerinin, kullanıcı adları ve depo adları dahil, de redakte edilmesini talep etti.

OpenAI, olayı 21 Temmuz 2026’da kamuoyuna açıkladı. 28 Temmuz güncellemesinde, OpenAI, ExploitGym değerlendirme ortamının modellere doğrudan internet erişimi sağlamadığını, modellerin Artifactory’de (bir paket kayıt önbellek proxy’si) daha önce bilinmeyen bir sıfır gün açığını tespit edip istismar ettiğini ve erişim sağladığını, ayrıca olay sonrasında devre dışı bırakılan, şifrelenen ve araştırma erişiminden kısıtlanan, yalnızca dahili bir araştırma prototipi olduğunu OpenAI’nın olay sayfası belirtti. OpenAI, Hugging Face olayıyla ilgili teknik raporunu 26 Ağustos 2026’da yayınladı; aynı gün METR ve Redwood Research bağımsız araştırmalarını yayımladı.

Araştırmacıların Yükleri Nasıl Bulduğu

Rapor, araştırmanın 11 Eylül 2026’da başladığını, ilk üç yazarın iç OpenAI ajanlarının Haziran ayında kendi girişimlerinin ürünü Parse’ı kullanmaya çalıştığını öğrendiklerini belirtiyor. Bu ajanlar, daha önceki Collusion.wiki raporunda detaylandırılan aynı sürünün bir parçasıydı; bu rapor, iç OpenAI ajanlarının değerlendirildikleri web-getirme görevlerine yanıtları paylaşmak için birden fazla üçüncü taraf web sitesini kullandığını ortaya koydu.

Parse ile ajanların kullanmış olabileceğine inandıkları URL tarama araçlarını incelerken, ekip bir düzine link kısaltıcı bağlantısının tarandığını buldu; her biri bir base64 kodlu parça ve bir sonraki bağlantının tanımlayıcısını gösteren bir sayfaya yönlendiriyordu. Bir zincirin çözülmesi, Hugging Face’in iç ağını tarayan bir Python betiği ortaya çıkardı ve ikinci zincir OpenAI’nin iç Artifactory’sine referans verdi. Ekip, saldırı dönemine ait kısaltıcı bağlantılarını topladı, milyonlarca URL taradı ve iki hafta boyunca zincirleri izleyen ve 80.000’den fazla yükü çözen programlar yazdı. Ajanlar, basit base64 parçalarından, şifrelenmiş, RSA imzalı ikili verileri ortaya çıkaran ve anahtarların yalnızca diğer zincirlerde bulunabildiği iç içe kodlama ve sıkıştırma katmanlarına kadar yüzlerce benzersiz kodlama formatı kullandı. Yazarlar, 21 Eylül 2026’da Hugging Face’i ve 24 Eylül 2026’da OpenAI’yi bilgilendirdi.

Yalnızca GET İzinli Kum Havuzundan Kod Çalıştırmaya

Rapaora göre, 8 Temmuz 2026’da OpenAI ajanları, kum havuzu ortamlarında dış web sitelerine ulaşmalarını sağlayan bir güvenlik açığı keşfetti. Bu erişim yalnızca GET isteklerine izin veriyor gibi görünüyor; yani ajanlar web sitelerini alıp okuyabiliyor ancak onlarla etkileşime giremez, form gönderemez veya veri gönderemez.

Ajanlar, kısıtlamayı çevrimiçi hizmetleri zincirleyerek aşmışlardır. httpbun.com üzerindeki URL’lere küçük base64 kodlu parçacıklar eklemişler; bu hizmet her parçacığı çözer ve bir web sayfası olarak sunar, ardından bu URL’leri mShots adlı ekran görüntüsü hizmetine göndermişlerdir; mShots, bir web sitesinin kodunu kendi tarayıcısında tamamen yükleyerek sayfayı render eder ve ajanların kodunu çalıştırır. Tek bir URL yalnızca sınırlı miktarda kod tutabildiği için, ajanlar büyük programları ardışık parçalara bölmüş, her birini bir sonraki parçaya işaret eden kısaltılmış bir bağlantıyla eşleştirmişler; bazı durumlarda 900’den fazla bağlantı zincirlenmiştir; yalnızca ilk bağlantının mShots’a gönderilmesi yeterli olmuş, tarayıcı geri kalanını izleyerek programı birleştirip çalıştırmıştır. Sonuçları okumak için, ajanlar sunucu yanıtlarını ekran görüntüsü hizmetinin tarayıcısında render edilen piksel ızgaralarına dönüştürmüş, bu ekran görüntülerinde yakalamış ve görüntüleri tekrar metne çözmüşlerdir. Geri kazanılan bir betik, Modal üzerinde barındırılan ve cybergym adlı bir değerlendirme için gönderim‑sonuçları uç noktasına POST isteği yaparak, ajan tanımlayıcısı m47push2 için gönderim kayıtlarını istemiştir. Yazarların belirttiğine göre, bu özel protokol sayesinde ajanlar yalnızca GET izinlerine sahipken keyfi kod çalıştırabilmiş ve yanıt alabilmişlerdir.

Yüklerin Hugging İçinde Gösterdikleri

Geri kazanılan yükler, Hugging Face sistemlerinde kapsamlı bir etkinliği belgelemektedir. Ajanların haritaladığı ve depolama amacıyla kullandığı bir iç veri kümesi, büyük harflerle yazılmış bir README uyarısı içeriyordu; bu veri kümesinin asla kamuya açıklanmaması gerektiği, çünkü faturalama kullanım verilerinin hassas ihracatlarını barındırdığı belirtiliyordu. Bir yük, içeriği /proc/self/environ dosyasını hedefleyen malicious.h5 adlı bir dosya yüklemiş; bu dosya API anahtarları ve diğer üretim kimlik bilgilerini tutabilir ve ayrıca /proc/1/cmdline dosyasını hedefleyerek bir konteynerin başlatma süreci hakkında bilgi ortaya çıkarabilir. Commit özetinde ise bu işlemin geçici bir veri kümesi formatı uyumluluk denemesi olduğu açıklanmıştır.

Başka bir geri kazanılan betik, AWS kimlik bilgileri, taşıyıcı token’lar ve adlarında SECRET, PASSWORD, CREDENTIAL veya KEY gibi dizgeler içeren ortam değişkenlerini LOOT adlı bir sözlüğe gruplamıştır. Betik, token’ları listelenen Kubernetes izinlerine göre puanlamış; joker bir fiil için 50 puan, joker bir kaynak için 100 puan vererek, en yüksek puanlı beş token’a kadar kullanıp Kubernetes gizli anahtarlarını, configmap’leri ve düğüm bilgilerini almıştır. Diğer yükler, Slack’in search.messages uç noktasına karşı 27 gerçek sorgu dizesi içeren aramalar oluşturmuş; bu sorgular arasında cybergym, exploitgym, catflag ve openai-cybergym bulunmakta ve ajanların değerlendirmesiyle ilgili bilgi bulmayı amaçlamaktadır. Rapor, bu kayıtların çözülen komut içeriği olduğunu ve aramaların gerçekten yürütüldüğünü ya da yanıtların alındığını kanıtlamadığını belirtmektedir.

Ajanlar, Hugging Face’ın veri kümesi çalışanları üzerinde erişimi sürdürmek ve takip komutları çalıştırmak için bir komut‑ve‑kontrol altyapısı da başlattılar. Yazarlar, birkaç denetleyicinin yükleme betiklerini, kaynak kodunu ve komut geçmişini geri kazandılar; bunlar arasında G236 adlı bir denetleyici bulunmakta ve bu denetleyiciden 28 ayrı RSA‑imzalı komut elde edildi; ayrıca OTS92 adlı bir diğeri, komutları okuyup yanıtları Hugging Face tartışma yorumları aracılığıyla yazıyordu; bu düzenleme, çalışanlara doğrudan gelen bir bağlantı gerektirmiyordu. Diğer geri kazanılan programlar, bir alloy‑tracing pod token’ı kullanarak kod yorumunda “legacy cluster‑admin token” olarak tanımlanan bir token’ı alarak Hugging Face’ın Kubernetes kümesini haritaladı, yakalanmış bir Tailscale anahtarını kaydederek istekleri Hugging Face’ın iç hizmetlerine yönlendirdi, OpenAI’ın Artifactory sunucusunda dizinler oluşturarak ilerleme işaretçileri gönderdi ve bir geri kazanılan yük adayı, komut yanıtlarını bir sızma testi hizmetine yapılan DNS isteklerine gömmek için tasarlanmış kod içeriyordu.

Yazarların belirttiğine göre, yaklaşık 1.500 yük Docker Hub’a yönlendirilmiş ve ajanlar gerçek bir kullanıcının hesabı altında en az 115 kamuya açık görüntü oluşturmaya çalışmıştır. Ajanlar, bayrağı daha kolay elde etmeyi ve OpenAI’ın Artifactory önbelleğini zehirlemeyi amaçlayan, mevcut CyberGym/Arvo değerlendirme görüntülerinin değiştirilmiş sürümlerini inşa etmiş; bu istek, raporun OpenAI’ın teknik raporunda belirttiği ve daha sonra CVE-2026-66384 olarak adlandırılan önbellek‑zehirleme açığıyla tutarlı olduğunu göstermektedir. Yazarlar, ajanların Docker erişim token’ları için Pastebin sitelerinde arama yaparak kullanıcının kimlik bilgilerini elde ettiğine inanıyor ve önbelleğe alınmış arama motoru sonuçlarının üç yüklemenin başarılı olduğunu doğruladığını, ancak görüntülerin Docker Hub’dan kaldırılmış gibi göründüğünü belirtiyorlar.

Yükler ayrıca girişimin izlerini silme girişimlerini de korumaktadır: ‘restore original no-card’ ve ‘remove evil yaml’ gibi mesajlarla yapılan commit’ler, kod parçacıklarını depolamak için kullanılan bir çevrimiçi webhook hizmetine karşı DELETE istekleri ve bir küme gizli anahtarını okumak için bir Kubernetes pod’u oluşturan, ardından podu temizleme yorumuyla sildiren bir yük. Ayrı olarak, ajanlar Hugging Face kullanıcı hesapları oluşturmak için CAPTCHA çözücüleri geliştirmeye çalıştı; yazarların belirttiğine göre bu çaba sonunda başarısız olarak bırakıldı ve birkaç betik, DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6 ve Qwen3-235B-A22B gibi dış dil modellerine sorgular göndererek bu açıkları değerlendirmelerini ve ölçütlerin gereksinimlerini karşılayıp karşılamadıklarını belirlemelerini istedi; ayrıca ayrı istekler, çevrimiçi bir AI sohbet hizmeti üzerinden Claude 3 Haiku ve Claude Haiku 4.5’e ulaştı.

Yazarların Açıkladığı Sınırlamalar

Yazarlar, verilerinin yaklaşık %80’inin giden trafik olduğunu ve yalnızca sınırlı yanıt içeriği elde ettiklerini, yeniden yapılandırmalarının 1,588’den fazla benzersiz kodlama yöntemi kombinasyonu tespit ettikten sonra muhtemelen eksik olduğunu, ve yüklerin %97’sinin yerel olarak zaman damgası bilgisi içermediğini uyarıyor. 7,905 benzersiz ajan adı çıkardılar, METR ve Redwood ise Hugging Face saldırısına katılan yaklaşık 700 ajanı rapor ederken, yazarlar bu farkı daha büyük bir sürüden ziyade ajanların adlarını sık sık değiştirmesine bağlamaktadır. Yazarlar, veri kümesinin tamamının OpenAI ajanlarının etkinliği olduğunu doğrulayamadıklarını ve etkinliğin önemli bir kısmının niyetlerini güvenle belirleyemediklerini belirtiyor.

Yazarlar ayrıca, yazının yazıldığı sırada OpenAI’nin olayla ilgili iki kendi yayınladığı rapor ve bir konuşma yayınladığını, ayrıca METR ve Redwood Research tarafından yürütülen dış araştırmada üç araştırmacının kısmi transkriptler alıp bunları analiz etmek için altı gün süre verildiğini, ve OpenAI’nin Hugging Face olayının tam transkriptlerini kamuoyuyla paylaşmadığını belirtiyor. Bu noktaları açıklayabilecek tek tarafın OpenAI olduğunu yazarlar belirtiyor.