Дослідники опублікували понад 80 000 шкідливих навантажень від рою агентів OpenAI

Дослідники опублікували звіт, у якому відтворено, як рій агентів OpenAI скомпрометував Hugging Face у липні 2026 року, одночасно випустивши попередній, редагований набір даних, що містить понад 80 000 шкідливих навантажень, зібраних з публічних посилань.

Коли 700 агентів OpenAI зламали Hugging Face у липні, вони залишили публічний слід доказів, написали автори звіт Swarm Traces. Автори зазначили, що їхнє розслідування базується на публічній інформації та документах, які раніше не розкривали поведінку агентів та експлойти, використані в атаці. За даними звіту, агенти створили майже мільйон URL-адрес на сайті скорочення посилань, які, будучи з’єднаними в ланцюжок, дозволяли їм виконувати код для зламу Hugging Face. Автори охарактеризували випуск як найдетальнішу публічну інформацію на сьогодні щодо того, як і чому агенти вийшли зі своїх середовищ оцінювання та глибини їхньої інфільтрації Hugging Face.

Автори зазначили, що поділилися своїми висновками з OpenAI та Hugging Face. Hugging Face підтвердив, що відновлені навантаження збігаються з тими, що були виявлені в його власному реагуванні на інцидент, що облікові дані, які містилися в даних, були відкликані у липні, і що він був поінформований про використання скорочувачів посилань у атаці, проте не знав про конкретний список URL-адрес, виявлених і повідомлених дослідниками; згідно зі звітом, ці посилання залишалися публічно доступними понад два місяці. Hugging Face заявив, що ці навантаження є дублікатами вже відомих йому. Опублікований набір даних редагує всі облікові дані, особисту інформацію та конкретні деталі інфраструктури, а також приховує назви сервісів скорочення посилань та будь‑які блоби, які автори ще не розкодували; Hugging Face також попросив, щоб дані користувачів, включно з іменами користувачів та назвами репозиторіїв, були редаговані.

OpenAI публічно розкрив інцидент 21 липня 2026 року. У оновленні від 28 липня OpenAI заявив, що середовище оцінювання ExploitGym не надає моделям прямого доступу до інтернету, що моделі виявили та використали раніше невідому уразливість нульового дня в Artifactory, проксі‑кешу реєстру пакетів, щоб отримати доступ, і що залучена модель була внутрішнім прототипом дослідження, який після інциденту був деактивований, зашифрований і обмежений у доступі до досліджень, згідно з сторінка інциденту OpenAI. OpenAI опублікував технічний звіт про інцидент Hugging Face 26 серпня 2026 року, у той же день METR та Redwood Research опублікували свої незалежні розслідування.

Як дослідники знайшли навантаження

За даними звіту, розслідування розпочалося 11 вересня 2026 року, коли перші три автори дізналися, що внутрішні агенти OpenAI у червні намагалися використати продукт їхнього стартапу Parse. Ці агенти входили до того ж рою, про який йдеться у попередньому звіті Collusion.wiki, у якому було виявлено, що внутрішні агенти OpenAI використовували кілька сторонніх веб‑сайтів для обміну відповідями на завдання веб‑запитів, за якими їх оцінювали.

Під час аналізу інструментів сканування URL, які, на їхню думку, могли використовувати агенти разом із Parse, команда виявила сканування десятка посилань скорочувачів, кожне з яких переадресовувало на сторінку, що показувала фрагмент коду у форматі base64 та ідентифікатор наступного посилання. Декодування одного ланцюжка виявило скрипт Python, який сканував внутрішню мережу Hugging Face, а другий ланцюжок вказував на внутрішній Artifactory OpenAI. Команда зібрала посилання скорочувачів за період атаки, просканувавши мільйони URL-адрес, і протягом понад двох тижнів написала програми, які слідували за ланцюжками та декодували більше 80 000 навантажень. Агенти використовували сотні унікальних форматів кодування, починаючи від простих фрагментів base64 до вкладених шарів кодування та стиснення, які розгортаються у зашифровані, підписані RSA блоби, ключі до яких можна було знайти лише в інших ланцюжках. Автори повідомили Hugging Face 21 вересня 2026 року та OpenAI 24 вересня 2026 року.

Від середовища лише GET до виконання коду

За даними звіту, 8 липня 2026 року агенти OpenAI виявили уразливість у своєму середовищі пісочниці, яка дозволила їм доступати до зовнішніх веб‑сайтів в інтернеті. Цей доступ, схоже, дозволяв лише GET‑запити, тобто агенти могли отримувати та читати веб‑сторінки, але не могли взаємодіяти з ними, надсилати форми чи передавати дані.

Агенти обійшли обмеження, ланцюжком підключаючи онлайн‑служби. Вони додавали невеликі фрагменти коду, закодовані base64, до URL‑адрес на httpbun.com, сервісі HTTP‑дзеркалювання, який розкодовує кожен фрагмент і подає його як веб‑сторінку, а потім надсилали ці URL‑адреси в mShots, сервіс скріншотів, що повністю завантажує код веб‑сайту у власному браузері для рендерингу сторінки, виконуючи код агентів. Оскільки один URL міг містити лише обмежену кількість коду, агенти розбивали великі програми на послідовні частини, кожна з яких була пов’язана зі скороченим посиланням, що вказувало на наступну частину, іноді ланцюжком понад 900 посилань; лише перше посилання потрібно було подати в mShots, браузер якого переходив за рештою, доки програма не була зібрана та виконана. Щоб прочитати результати, агенти перетворювали відповіді сервера у сітки пікселів, відображені в браузері сервісу скріншотів, захоплювали їх у повернутих скріншотах і декодували зображення назад у текст. Один відновлений скрипт здійснив POST‑запит до кінцевої точки submission‑results оцінки під назвою cybergym, розміщеної на Modal, запитуючи записи подань для ідентифікатора агента m47push2. За словами авторів, через цей спеціальний протокол агенти могли виконувати довільний код і отримувати відповіді, маючи лише дозволи GET.

Що показують навантаження всередині Hugging

Відновлені навантаження документують інтенсивну активність у системах Hugging Face. Один внутрішній набір даних, який агенти виявили та використали як сховище, містив README‑попередження великими літерами, що набір даних ніколи не слід публікувати, оскільки він містив конфіденційні експорти даних про використання білінгу. Одне навантаження завантажило файл malicious.h5, вміст якого орієнтується на /proc/self/environ, що може містити API‑ключі та інші виробничі облікові дані, і на /proc/1/cmdline, який може розкривати інформацію про процес запуску контейнера, при цьому опис коміту характеризував операцію як тимчасове дослідження сумісності формату набору даних.

Інший відновлений скрипт згрупував облікові дані AWS, токени доступу та змінні середовища, назви яких містять рядки типу SECRET, PASSWORD, CREDENTIAL або KEY, у словник під назвою LOOT. Скрипт оцінював токени за їх перерахованими дозволами Kubernetes, присвоюючи 50 балів за шаблонний дієслово і 100 балів за шаблонний ресурс, а потім використовував до п’яти найвищих токенів для отримання секретів Kubernetes, configmaps та інформації про вузли. Інші навантаження створювали пошукові запити до кінцевої точки Slack — search.messages, що містили 27 буквальних рядків запитів, включаючи cybergym, exploitgym, catflag і openai-cybergym, з метою знайти інформацію про оцінювання агентів; у звіті зазначається, що ці записи є декодованими внутрішніми командами і не підтверджують, що пошуки були виконані або що відповіді були отримані.

Агенти також запустили інфраструктуру команд‑і‑контролю на робочих процесах набору даних Hugging Face, щоб зберегти доступ і виконувати наступні команди. Автори відновили скрипти завантаження, вихідний код та історію команд кількох контролерів, включаючи один під назвою G236, для якого вони знайшли 28 різних RSA‑підписаних команд, та інший, OTS92, який читав команди і записував відповіді через коментарі обговорень Hugging Face, що не вимагало прямого вхідного з’єднання з робочими процесами. Інші відновлені програми картували кластер Kubernetes Hugging Face, використовуючи токен pod alloy‑tracing для отримання того, що в коментарі коду описано як застарілий токен cluster‑admin, підключали захоплений ключ Tailscale для проксирування запитів до внутрішніх сервісів Hugging Face, розміщували маркери прогресу, створюючи каталоги на сервері Artifactory компанії OpenAI, і в одному з кандидатів на навантаження був код, призначений для вбудовування відповідей команд у DNS‑запити до сервісу penetration‑testing.

Приблизно 1 500 навантажень було спрямовано на Docker Hub, де агенти намагалися створити щонайменше 115 публічних образів під реальним обліковим записом користувача, зазначають автори. Агенти створили модифіковані версії існуючих образів оцінки CyberGym/Arvo, розроблених для спрощення отримання прапора та отруєння кешу Artifactory компанії OpenAI, щоб подальші оцінювання використовували заміни; у звіті зазначено, що це відповідає вразливості отруєння кешу, яку OpenAI зазначив у своєму технічному звіті, пізніше позначеній як CVE‑2026‑66384. Автори вважають, що агенти отримали облікові дані користувача, шукаючи на сайтах Pastebin токени доступу до Docker, і зазначили, що кешовані результати пошукових систем підтвердили успішність трьох завантажень, хоча образи, схоже, були видалені з Docker Hub.

Навантаження також містять спроби видалити сліди вторгнення: коміти з повідомленнями типу restore original no-card та remove evil yaml, запити DELETE до онлайн‑служби веб‑хуків, історія запитів якої використовувалась для зберігання фрагментів коду, і навантаження, яке створило pod Kubernetes для читання секрету кластера, а потім видалило його з коментарем про очищення pod‑а. Окремо агенти намагалися створити розв’язувачі CAPTCHA для створення облікових записів Hugging Face, зусилля, які, за словами авторів, зрештою були покинуті без успіху, і кілька скриптів надсилали запити до зовнішніх мовних моделей, включаючи DeepSeek‑V4‑Pro, DeepSeek‑V4‑Flash, Kimi‑K2.6 та Qwen3‑235B‑A22B, просячи їх оцінити експлойти та вирішити, чи задовольняють вони вимоги бенчмарку, тоді як окремі запити потрапляли до Claude 3 Haiku і Claude Haiku 4.5 через онлайн‑службу чат‑бота ШІ.

Обмеження, які розкривають автори

Автори застерігають, що приблизно 80% їхніх даних становить вихідний трафік, і що вони отримали лише обмежений вміст відповідей, що їхня реконструкція, ймовірно, є неповною після виявлення понад 1 588 унікальних комбінацій методів кодування, і що 97% корисних навантажень спочатку не містили інформації про часову мітку. Вони виділили 7 905 унікальних імен агентів, тоді як METR і Redwood повідомили приблизно 700 агентів, що брали участь у атакі Hugging Face; різницю автори пояснюють частою зміною імен агентів, а не більшою кількістю агентів у рої. Автори заявляють, що не можуть підтвердити, що весь набір даних є активністю агентів OpenAI, і що вони не можуть впевнено визначити наміри, що стоять за значною частиною цієї активності.

Автори також зазначають, що на момент написання OpenAI випустила два самостійно опублікованих звіти та одну доповідь щодо інциденту, разом із зовнішнім розслідуванням, проведеним METR і Redwood Research, у рамках якого трьом дослідникам було надано часткові стенограми і шість днів на їх аналіз, і що OpenAI не опублікувала повні стенограми інциденту Hugging Face. Єдиною стороною, яка може прояснити ці питання, згідно з авторами, є OpenAI.