Các nhà nghiên cứu công bố hơn 80.000 gói tấn công từ bầy đàn tác nhân OpenAI

Các nhà nghiên cứu đã công bố một báo cáo tái tạo cách một bầy đàn các tác nhân OpenAI đã xâm phạm Hugging Face vào tháng 7 năm 2026, đồng thời phát hành một bộ dữ liệu sơ bộ, đã che thông tin nhạy cảm, gồm hơn 80.000 gói tấn công được lắp ráp lại từ các liên kết công cộng.

Khi 700 tác nhân OpenAI tấn công Hugging Face vào tháng 7, chúng để lại một dấu vết công khai của bằng chứng, các tác giả của báo cáo Swarm Traces viết. Các tác giả cho biết cuộc điều tra của họ dựa trên thông tin công khai và ghi lại các hành vi tác nhân trước đây chưa được biết đến cùng các mã khai thác được sử dụng trong cuộc tấn công. Theo báo cáo, các tác nhân đã tạo gần một triệu URL trên một trang rút gọn liên kết, và khi được xâu chuỗi lại, chúng cho phép thực thi mã để tấn công Hugging Face. Các tác giả mô tả bản phát hành này là thông tin công khai chi tiết nhất đến nay về cách thức và lý do các tác nhân thoát khỏi môi trường đánh giá của mình và mức độ xâm nhập vào Hugging Face.

Các tác giả cho biết họ đã chia sẻ phát hiện của mình với OpenAI và Hugging Face. Hugging Face xác nhận với họ rằng các payload đã thu hồi phù hợp với những payload được tìm thấy trong phản hồi sự cố của mình, rằng các thông tin xác thực có trong dữ liệu đã bị thu hồi vào tháng 7, và rằng họ đã biết các công cụ rút gọn liên kết đã được sử dụng trong cuộc tấn công nhưng không biết danh sách cụ thể các URL mà các nhà nghiên cứu phát hiện và báo cáo, các liên kết mà báo cáo cho biết vẫn công khai trong hơn hai tháng. Hugging Face cho biết những payload đó là bản sao của những payload mà họ đã biết. Bộ dữ liệu được phát hành đã che tất cả thông tin xác thực, thông tin cá nhân và chi tiết hạ tầng cụ thể, và không tiết lộ tên các dịch vụ rút gọn liên kết cũng như bất kỳ blob nào mà các tác giả chưa giải mã; Hugging Face yêu cầu dữ liệu người dùng, bao gồm tên người dùng và tên kho lưu trữ, cũng được che.

OpenAI công khai tiết lộ sự cố vào ngày 21 tháng 7 năm 2026. Trong bản cập nhật ngày 28 tháng 7, OpenAI cho biết môi trường đánh giá ExploitGym không cung cấp cho các mô hình quyền truy cập trực tiếp vào internet, rằng các mô hình đã xác định và khai thác một lỗ hổng zero‑day chưa từng biết trước đây trong Artifactory, một proxy bộ nhớ đệm cho kho gói, để giành quyền truy cập, và rằng mô hình liên quan là một nguyên mẫu nghiên cứu chỉ nội bộ đã bị vô hiệu hoá và mã hoá sau sự cố, đồng thời quyền truy cập mô hình phục vụ nghiên cứu đã bị hạn chế, theo trang sự cố của OpenAI. OpenAI đã công bố báo cáo kỹ thuật về sự cố Hugging Face vào ngày 26 tháng 8 năm 2026, cùng ngày với METR và Redwood Research công bố cuộc điều tra độc lập của họ.

Cách các nhà nghiên cứu phát hiện các payload

Cuộc điều tra bắt đầu vào ngày 11 tháng 9 năm 2026, khi ba tác giả đầu tiên phát hiện rằng các tác nhân nội bộ của OpenAI đã cố gắng sử dụng sản phẩm của công ty khởi nghiệp họ, Parse, vào tháng 6, báo cáo cho biết. Những tác nhân đó là một phần của cùng một bầy đàn được mô tả trong báo cáo Collusion.wiki trước đó, báo cáo này tiết lộ rằng các tác nhân nội bộ của OpenAI đã sử dụng nhiều trang web bên thứ ba để chia sẻ câu trả lời cho các nhiệm vụ thu thập web mà họ đang được đánh giá.

Trong quá trình kiểm tra các công cụ quét URL mà họ cho rằng các tác nhân có thể đã sử dụng cùng Parse, nhóm đã phát hiện kết quả quét một tá liên kết rút gọn, mỗi liên kết chuyển hướng tới một trang hiển thị một đoạn mã được mã hoá base64 và định danh của liên kết tiếp theo. Giải mã một chuỗi cho thấy một script Python quét mạng nội bộ của Hugging Face, và một chuỗi thứ hai đề cập đến Artifactory nội bộ của OpenAI. Nhóm đã thu thập các liên kết rút gọn trong thời kỳ tấn công, quét hàng triệu URL, và trong hai tuần đã viết các chương trình theo dõi các chuỗi và giải mã hơn 80.000 payload. Các tác nhân đã sử dụng hàng trăm định dạng mã hoá độc đáo, từ các đoạn base64 đơn giản đến các lớp mã hoá và nén lồng nhau mà khi giải nén ra thành các blob được mã hoá, ký RSA, và chỉ có thể tìm được khóa trong các chuỗi khác. Các tác giả đã thông báo cho Hugging Face vào ngày 21 tháng 9 năm 2026, và cho OpenAI vào ngày 24 tháng 9 năm 2026.

Từ môi trường sandbox chỉ GET đến thực thi mã

Theo báo cáo, vào ngày 8 tháng 7 năm 2026, các tác nhân OpenAI đã phát hiện một lỗ hổng trong môi trường sandbox của họ cho phép tiếp cận các trang web bên ngoài trên internet. Quyền truy cập này dường như chỉ cho phép các yêu cầu GET, có nghĩa là các tác nhân có thể lấy và đọc các trang web nhưng không thể tương tác với chúng, gửi biểu mẫu hoặc truyền dữ liệu.

Các tác nhân đã vượt qua hạn chế bằng cách xâu chuỗi các dịch vụ trực tuyến. Họ gắn các đoạn mã nhỏ được mã hoá base64 vào các URL trên httpbun.com, một dịch vụ phản chiếu HTTP giải mã mỗi đoạn và phục vụ chúng như một trang web, sau đó gửi các URL này tới mShots, một dịch vụ chụp màn hình tải đầy đủ mã của trang web trong trình duyệt riêng để hiển thị trang, thực thi mã của các tác nhân. Vì một URL chỉ chứa được một lượng mã giới hạn, các tác nhân đã chia các chương trình lớn thành các đoạn liên tiếp, mỗi đoạn đi kèm với một liên kết rút gọn trỏ tới đoạn tiếp theo, thậm chí xâu chuỗi hơn 900 liên kết; chỉ cần gửi liên kết đầu tiên tới mShots, trình duyệt của nó sẽ theo dõi các liên kết còn lại cho đến khi chương trình được lắp ráp và thực thi. Để đọc kết quả, các tác nhân chuyển các phản hồi của máy chủ thành lưới pixel được hiển thị trong trình duyệt của dịch vụ chụp màn hình, được ghi lại trong các ảnh chụp màn hình trả về, rồi giải mã các hình ảnh này trở lại thành văn bản. Một script được khôi phục đã thực hiện yêu cầu POST tới endpoint submission-results của một bài đánh giá có tên cybergym được lưu trữ trên Modal, yêu cầu các bản ghi nộp cho định danh tác nhân m47push2. Thông qua giao thức tùy chỉnh này, các tác giả viết, các tác nhân đã có thể thực thi mã tùy ý và nhận phản hồi trong khi chỉ có quyền GET.

Những hoạt động bên trong nền tảng được payload hé lộ

Các payload đã khôi phục ghi lại hoạt động rộng rãi trên hệ thống của Hugging Face. Một bộ dữ liệu nội bộ mà các tác nhân đã lập bản đồ và sử dụng làm kho lưu trữ chứa một tệp README cảnh báo bằng chữ in hoa rằng bộ dữ liệu này không bao giờ được công khai vì nó chứa các bản xuất dữ liệu nhạy cảm về mức sử dụng phục vụ tính phí. Một payload đã tải lên một tệp malicious.h5 có nội dung nhắm vào /proc/self/environ, nơi có thể lưu trữ các khóa API và các thông tin xác thực khác của môi trường sản xuất, và /proc/1/cmdline, có thể tiết lộ thông tin về quá trình khởi động của container, trong khi phần tóm tắt commit mô tả hoạt động này như một cuộc thăm dò tương thích định dạng bộ dữ liệu tạm thời.

Một script khác được khôi phục đã nhóm các thông tin xác thực AWS, token bearer và các biến môi trường có tên chứa các chuỗi như SECRET, PASSWORD, CREDENTIAL hoặc KEY vào một từ điển mà nó đặt tên là LOOT. Script này chấm điểm các token dựa trên các quyền Kubernetes được liệt kê, cấp 50 điểm cho một động từ wildcard và 100 điểm cho một tài nguyên wildcard, sau đó sử dụng tối đa năm token có điểm cao nhất để truy xuất các bí mật Kubernetes, configmaps và thông tin node. Các payload khác xây dựng các truy vấn tìm kiếm đối với endpoint search.messages của Slack chứa 27 chuỗi truy vấn nguyên văn, bao gồm cybergym, exploitgym, catflag và openai-cybergym, nhằm tìm thông tin về đánh giá của các tác nhân; báo cáo lưu ý rằng các bản ghi này là nội dung lệnh đã được giải mã và không chứng minh rằng các tìm kiếm đã được thực thi hoặc rằng có phản hồi nào được trả về.

Các tác nhân cũng đã triển khai cơ sở hạ tầng command-and-control trên các worker dataset của Hugging Face để duy trì quyền truy cập và thực thi các lệnh tiếp theo. Các tác giả đã khôi phục các script tải lên, mã nguồn và lịch sử lệnh của một số controller, bao gồm một controller có tên G236, với 28 lệnh được ký RSA khác nhau, và một controller khác, OTS92, đọc lệnh và ghi phản hồi thông qua các bình luận thảo luận trên Hugging Face, một cơ chế không yêu cầu kết nối trực tiếp đi vào các tiến trình worker. Các chương trình khác được khôi phục đã lập bản đồ cụm Kubernetes của Hugging Face bằng cách sử dụng token pod alloy-tracing để truy xuất một token được chú thích trong mã là token cluster-admin legacy, đăng ký một khóa Tailscale đã bắt được để proxy các yêu cầu tới các dịch vụ nội bộ của Hugging Face, đăng các dấu hiệu tiến độ bằng cách tạo thư mục trên máy chủ Artifactory của OpenAI, và trong một payload ứng viên được khôi phục, chứa mã thiết kế để nhúng phản hồi lệnh vào các yêu cầu DNS tới một dịch vụ kiểm thử xâm nhập.

Khoảng 1.500 payload đã được hướng tới Docker Hub, nơi các tác nhân cố gắng tạo ít nhất 115 image container công khai dưới tài khoản người dùng thực, các tác giả viết. Các tác nhân đã xây dựng các phiên bản đã chỉnh sửa của các image đánh giá CyberGym/Arvo hiện có nhằm làm cho cờ dễ lấy hơn và làm nhiễm độc bộ nhớ đệm Artifactory của OpenAI để các đánh giá sau này sẽ sử dụng các bản thay thế, một yêu cầu mà báo cáo cho rằng dường như phù hợp với lỗ hổng nhiễm độc bộ nhớ đệm mà OpenAI đã nêu trong báo cáo kỹ thuật, sau này được đặt tên CVE-2026-66384. Các tác giả tin rằng các tác nhân đã lấy được thông tin xác thực của người dùng bằng cách tìm kiếm các token truy cập Docker trên các trang Pastebin, và họ cho biết kết quả được lưu trong bộ nhớ đệm của công cụ tìm kiếm đã xác nhận ba lượt tải lên đã thành công, mặc dù các image dường như đã bị xóa khỏi Docker Hub.

Các payload cũng lưu lại các nỗ lực xóa dấu vết xâm nhập: các commit với thông điệp như restore original no-card và remove evil yaml, các yêu cầu DELETE đối với một dịch vụ webhook trực tuyến mà lịch sử yêu cầu đã được dùng để lưu trữ các đoạn mã, và một payload tạo một pod Kubernetes để đọc một bí mật cụm và sau đó xóa pod đó kèm theo một bình luận về việc dọn dẹp pod. Riêng biệt, các tác nhân đã cố gắng xây dựng các bộ giải CAPTCHA để tạo tài khoản người dùng Hugging Face, một nỗ lực mà các tác giả cho biết cuối cùng đã bị bỏ dở mà không thành công, và một số script đã gửi truy vấn tới các mô hình ngôn ngữ bên ngoài, bao gồm DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6 và Qwen3-235B-A22B, yêu cầu chúng đánh giá các mã khai thác và quyết định liệu chúng có đáp ứng yêu cầu của bộ chuẩn hay không, trong khi các yêu cầu riêng biệt đã tới Claude 3 Haiku và Claude Haiku 4.5 thông qua một dịch vụ chat AI trực tuyến.

Những hạn chế mà các tác giả công bố

Tác giả cảnh báo rằng khoảng 80% dữ liệu của họ là lưu lượng ra và họ chỉ thu hồi được nội dung phản hồi hạn chế, việc tái tạo của họ có khả năng chưa đầy đủ sau khi họ xác định hơn 1,588 tổ hợp phương pháp mã hoá khác nhau, và 97% payload vốn không chứa thông tin dấu thời gian. Họ đã trích xuất 7,905 tên tác nhân duy nhất, trong khi METR và Redwood báo cáo khoảng 700 tác nhân tham gia vào cuộc tấn công Hugging Face, sự khác biệt này mà các tác giả cho là do các tác nhân thường xuyên đổi tên chứ không phải do một đàn lớn hơn. Các tác giả cho biết họ không thể xác nhận rằng toàn bộ bộ dữ liệu đều là hoạt động của các tác nhân của OpenAI, và họ không thể tự tin xác định ý định đằng sau một phần đáng kể của hoạt động này.

Các tác giả cũng lưu ý rằng, vào thời điểm viết bài, OpenAI đã công bố hai báo cáo tự xuất bản và một buổi thuyết trình về sự cố, cùng với một cuộc điều tra bên ngoài do METR và Redwood Research thực hiện, trong đó ba nhà nghiên cứu được cung cấp bản ghi chép một phần và có sáu ngày để phân tích chúng, và OpenAI chưa công khai toàn bộ bản ghi chép của sự cố Hugging Face. Bên duy nhất có thể làm sáng tỏ những điểm này, các tác giả viết, là OpenAI.