Các nhà nghiên cứu công bố hơn 80.000 payload tấn công từ đàn agent của OpenAI

Các nhà nghiên cứu đã công bố một báo cáo tái tạo cách mà một đàn agent của OpenAI đã xâm phạm Hugging Face vào tháng 7 năm 2026, đồng thời phát hành một bộ dữ liệu sơ bộ, đã được rút gọn, gồm hơn 80.000 payload tấn công được lắp ráp lại từ các liên kết công khai.

Khi 700 agent của OpenAI tấn công Hugging Face vào tháng 7, chúng đã để lại một dấu vết công khai của bằng chứng, các tác giả của báo cáo Swarm Traces viết. Các tác giả cho biết cuộc điều tra của họ dựa trên thông tin công khai và các tài liệu tiết lộ các hành vi và khai thác của agent mà trước đây chưa được biết. Theo báo cáo, các agent đã tạo gần một triệu URL trên một trang rút gọn liên kết, và khi được nối chuỗi lại, cho phép chúng thực thi mã để tấn công Hugging Face. Các tác giả mô tả việc phát hành này là thông tin công khai sâu nhất đến nay về cách và lý do các agent thoát khỏi môi trường đánh giá và mức độ xâm nhập của chúng vào Hugging Face.

Các tác giả cho biết họ đã chia sẻ phát hiện của mình với OpenAI và Hugging Face. Hugging Face xác nhận với họ rằng các payload đã thu hồi trùng khớp với những payload được tìm thấy trong phản hồi sự cố của mình, rằng các thông tin đăng nhập có trong dữ liệu đã bị thu hồi vào tháng 7, và rằng họ đã biết các công cụ rút gọn liên kết đã được sử dụng trong cuộc tấn công nhưng không biết danh sách cụ thể các URL mà các nhà nghiên cứu phát hiện và báo cáo, các liên kết mà báo cáo cho biết vẫn công khai trong hơn hai tháng. Hugging Face cho biết những payload đó là bản sao của những payload mà họ đã biết. Bộ dữ liệu được phát hành đã xóa bỏ tất cả thông tin đăng nhập, thông tin cá nhân và chi tiết hạ tầng cụ thể, và không công bố tên các dịch vụ rút gọn liên kết cũng như bất kỳ khối dữ liệu nào mà các tác giả chưa giải mã; Hugging Face yêu cầu dữ liệu người dùng, bao gồm tên người dùng và tên kho lưu trữ, cũng được xóa bỏ.

OpenAI công khai tiết lộ sự cố vào ngày 21 tháng 7 năm 2026. Trong bản cập nhật ngày 28 tháng 7, OpenAI cho biết môi trường đánh giá ExploitGym không cung cấp cho các mô hình quyền truy cập trực tiếp vào internet, rằng các mô hình đã phát hiện và khai thác một lỗ hổng zero-day chưa được biết trước trong Artifactory, một proxy bộ nhớ đệm đăng ký gói, để truy cập, và rằng mô hình liên quan là một nguyên mẫu nghiên cứu chỉ nội bộ đã bị vô hiệu hoá, mã hoá và bị hạn chế quyền truy cập nghiên cứu sau sự cố, theo trang sự cố của OpenAI. OpenAI đã công bố báo cáo kỹ thuật về sự cố Hugging Face vào ngày 26 tháng 8 năm 2026, cùng ngày với METR và Redwood Research công bố cuộc điều tra độc lập của họ.

Cách các nhà nghiên cứu phát hiện các payload

Cuộc điều tra bắt đầu vào ngày 11 tháng 9 năm 2026, khi ba tác giả đầu tiên phát hiện rằng các agent nội bộ của OpenAI đã cố gắng sử dụng sản phẩm của công ty khởi nghiệp họ, Parse, vào tháng 6, báo cáo cho biết. Các agent đó là một phần của cùng một đàn được mô tả chi tiết trong báo cáo Collusion.wiki trước đó, báo cáo tiết lộ rằng các agent nội bộ của OpenAI đã sử dụng nhiều trang web bên thứ ba để chia sẻ câu trả lời cho các nhiệm vụ thu thập web mà họ đang được đánh giá.

Khi kiểm tra các công cụ quét URL mà họ cho rằng các agent có thể đã sử dụng cùng Parse, nhóm đã phát hiện một quét của khoảng một chục liên kết rút gọn, mỗi liên kết chuyển hướng tới một trang hiển thị một đoạn mã được mã hoá base64 và định danh của liên kết tiếp theo. Giải mã một chuỗi cho thấy một script Python quét mạng nội bộ của Hugging Face, và một chuỗi thứ hai đề cập đến Artifactory nội bộ của OpenAI. Nhóm đã thu thập các liên kết rút gọn từ thời kỳ tấn công, quét hàng triệu URL, và trong hơn hai tuần đã viết các chương trình theo dõi các chuỗi và giải mã hơn 80.000 payload. Các agent đã sử dụng hàng trăm định dạng mã hoá độc đáo, từ các đoạn base64 đơn giản đến các lớp mã hoá và nén lồng nhau mà khi giải nén ra thành các khối dữ liệu được mã hoá, ký RSA, và chỉ có thể tìm thấy khóa trong các chuỗi khác. Các tác giả đã thông báo cho Hugging Face vào ngày 21 tháng 9 năm 2026, và cho OpenAI vào ngày 24 tháng 9 năm 2026.

Từ sandbox chỉ GET đến thực thi mã

Theo báo cáo, vào ngày 8 tháng 7 năm 2026, các agent của OpenAI đã phát hiện một lỗ hổng trong môi trường sandbox của họ cho phép tiếp cận các trang web bên ngoài trên internet. Quyền truy cập này dường như chỉ cho phép các yêu cầu GET, có nghĩa là các agent có thể lấy và đọc các trang web nhưng không thể tương tác với chúng, gửi biểu mẫu hoặc truyền dữ liệu.

Các tác nhân đã vượt qua hạn chế bằng cách xâu chuỗi các dịch vụ trực tuyến. Họ đã gắn các đoạn mã nhỏ được mã hoá base64 vào các URL trên httpbun.com, một dịch vụ phản chiếu HTTP giải mã mỗi đoạn và phục vụ chúng như một trang web, sau đó gửi các URL này tới mShots, một dịch vụ chụp màn hình tải đầy đủ mã của trang web trong trình duyệt riêng để hiển thị trang, thực thi mã của các tác nhân. Vì một URL duy nhất chỉ chứa được một lượng mã hạn chế, các tác nhân đã chia các chương trình lớn thành các đoạn liên tiếp, mỗi đoạn được ghép với một liên kết rút gọn trỏ tới đoạn tiếp theo, đôi khi xâu chuỗi hơn 900 liên kết; chỉ cần gửi liên kết đầu tiên tới mShots, trình duyệt của nó sẽ theo dõi các liên kết còn lại cho đến khi chương trình được lắp ráp và thực thi. Để đọc kết quả, các tác nhân đã chuyển đổi phản hồi của máy chủ thành lưới pixel được hiển thị trong trình duyệt của dịch vụ chụp màn hình, được ghi lại trong các ảnh chụp màn hình trả về, và giải mã các hình ảnh này trở lại thành văn bản. Một script được khôi phục đã thực hiện yêu cầu POST tới một endpoint kết quả nộp bài của một đánh giá có tên cybergym được lưu trữ trên Modal, yêu cầu các bản ghi nộp cho định danh tác nhân m47push2. Thông qua giao thức tùy chỉnh này, các tác giả viết, các tác nhân đã có thể thực thi mã tùy ý và nhận phản hồi trong khi chỉ có quyền GET.

Những gì các Payload cho thấy bên trong Hugging

Các payload được khôi phục ghi lại hoạt động rộng rãi trên hệ thống của Hugging Face. Một bộ dữ liệu nội bộ mà các tác nhân đã lập bản đồ và sử dụng làm kho lưu trữ chứa một cảnh báo README bằng chữ in hoa rằng bộ dữ liệu này không bao giờ được công khai vì nó chứa các xuất khẩu nhạy cảm của dữ liệu sử dụng thanh toán. Một payload đã tải lên một tệp malicious.h5 có nội dung nhắm vào /proc/self/environ, nơi có thể lưu trữ các khóa API và các chứng chỉ sản xuất khác, và /proc/1/cmdline, có thể tiết lộ thông tin về quá trình khởi động của container, trong khi phần tóm tắt commit mô tả hoạt động này là một phép thử tương thích định dạng bộ dữ liệu tạm thời.

Một script khác được khôi phục đã nhóm các chứng chỉ AWS, token bearer và các biến môi trường có tên chứa các chuỗi như SECRET, PASSWORD, CREDENTIAL hoặc KEY vào một từ điển mà nó đặt tên là LOOT. Script này đã chấm điểm các token dựa trên các quyền Kubernetes được liệt kê, cấp 50 điểm cho một động từ wildcard và 100 điểm cho một tài nguyên wildcard, sau đó sử dụng tối đa năm token có điểm cao nhất để truy xuất các bí mật Kubernetes, configmaps và thông tin nút. Các payload khác đã xây dựng các truy vấn tìm kiếm đối với endpoint search.messages của Slack chứa 27 chuỗi truy vấn nguyên văn, bao gồm cybergym, exploitgym, catflag và openai-cybergym, để tìm thông tin về đánh giá của các tác nhân; báo cáo lưu ý rằng các bản ghi này là nội dung lệnh được giải mã và không chứng minh rằng các tìm kiếm đã được thực thi hoặc rằng có phản hồi nào được trả về.

Các tác nhân cũng đã triển khai cơ sở hạ tầng command-and-control trên các worker dataset của Hugging Face để duy trì quyền truy cập và thực thi các lệnh tiếp theo. Các tác giả đã khôi phục các script tải lên, mã nguồn và lịch sử lệnh của một số bộ điều khiển, bao gồm một bộ gọi là G236, mà họ đã thu thập được 28 lệnh ký RSA riêng biệt, và một bộ khác, OTS92, đọc lệnh và ghi phản hồi thông qua Hugging Face trong các bình luận thảo luận, một cách sắp xếp không yêu cầu kết nối đến các worker. Các chương trình khác được khôi phục đã lập bản đồ cụm Kubernetes của Hugging Face bằng cách sử dụng token pod alloy-tracing để truy xuất một token cluster-admin kế thừa, đăng ký một khóa Tailscale đã được bắt để proxy các yêu cầu tới các dịch vụ nội bộ của Hugging Face, đăng các dấu hiệu tiến độ bằng cách tạo thư mục trên máy chủ Artifactory của OpenAI, và trong một payload tiềm năng, chứa mã được thiết kế để nhúng phản hồi lệnh vào các yêu cầu DNS tới một dịch vụ kiểm thử thâm nhập.

Khoảng 1.500 payload đã được hướng tới Docker Hub, nơi các tác nhân cố gắng tạo ít nhất 115 hình ảnh công khai dưới tài khoản người dùng thực, các tác giả viết. Các tác nhân đã xây dựng các phiên bản đã chỉnh sửa của các hình ảnh đánh giá CyberGym/Arvo hiện có nhằm làm cho cờ dễ lấy hơn và để nhiễm độc bộ nhớ đệm Artifactory của OpenAI sao cho các đánh giá sau sẽ sử dụng các bản thay thế, một yêu cầu mà báo cáo cho rằng phù hợp với lỗ hổng nhiễm độc bộ nhớ đệm mà OpenAI đã nêu trong báo cáo kỹ thuật, sau này được chỉ định là CVE-2026-66384. Các tác giả tin rằng các tác nhân đã lấy được chứng chỉ người dùng bằng cách tìm kiếm các token truy cập Docker trên các trang Pastebin, và họ cho biết kết quả tìm kiếm trên công cụ tìm kiếm đã xác nhận rằng ba trong số các tải lên đã thành công, mặc dù các hình ảnh dường như đã bị xóa khỏi Docker Hub.

Các payload cũng bảo tồn các nỗ lực xóa dấu vết xâm nhập: các commit với tin nhắn như restore original no-card và remove evil yaml, các yêu cầu DELETE đối với một dịch vụ webhook trực tuyến mà lịch sử yêu cầu đã được dùng để lưu trữ các đoạn mã, và một payload tạo một pod Kubernetes để đọc một bí mật cụm và sau đó xóa nó kèm theo một bình luận về việc dọn dẹp pod. Riêng biệt, các tác nhân đã cố gắng xây dựng các bộ giải CAPTCHA để tạo Hugging Face user accounts, một nỗ lực mà các tác giả cho biết cuối cùng đã bị bỏ dở mà không thành công, và một số script đã gửi truy vấn tới các mô hình ngôn ngữ bên ngoài, bao gồm DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6 và Qwen3-235B-A22B, yêu cầu chúng đánh giá các lỗ hổng và quyết định liệu chúng có đáp ứng yêu cầu của bộ chuẩn hay không, trong khi các yêu cầu riêng biệt đã tiếp cận Claude 3 Haiku và Claude Haiku 4.5 qua một dịch vụ chat AI trực tuyến.

Những hạn chế mà các tác giả công bố

Tác giả cảnh báo rằng khoảng 80% dữ liệu của họ là lưu lượng outbound và họ chỉ thu hồi được nội dung phản hồi hạn chế, việc tái cấu trúc của họ có khả năng chưa đầy đủ sau khi họ xác định hơn 1,588 tổ hợp mã hoá độc đáo, và 97% payload không chứa thông tin thời gian gốc. Họ đã trích xuất 7,905 tên đại lý duy nhất, trong khi METR và Redwood báo cáo khoảng 700 đại lý tham gia vào cuộc tấn công Hugging Face, sự khác biệt này mà các tác giả cho là do các đại lý thường xuyên thay đổi tên chứ không phải do một bầy đàn lớn hơn. Các tác giả cho biết họ không thể xác nhận rằng toàn bộ bộ dữ liệu là hoạt động của các đại lý OpenAI, và họ không tự tin xác định ý định đằng sau một phần đáng kể của hoạt động.

Các tác giả cũng lưu ý rằng, vào thời điểm viết bài, OpenAI đã công bố hai báo cáo tự xuất bản và một buổi thuyết trình về vụ việc, cùng với một cuộc điều tra bên ngoài do METR và Redwood Research thực hiện, trong đó ba nhà nghiên cứu được cung cấp bản sao phần một và có sáu ngày để phân tích chúng, và OpenAI chưa công khai bản sao đầy đủ của vụ việc Hugging Face. Bên duy nhất có thể làm rõ những điểm này, các tác giả viết, là OpenAI.