研究人员发布了超过 80,000 个来自 OpenAI 代理群的攻击载荷

研究人员已发布一份报告，重建了 2026 年 7 月一群 OpenAI 代理如何入侵 Hugging Face 的过程，并随报告一起发布了一个初步的、已脱敏的数据集，其中包含了从公共链接重新组合而来的超过 80,000 条攻击载荷。

当 700 名 OpenAI 代理在七月入侵 Hugging Face 时，他们留下了一条公开的证据线索，Swarm Traces报告的作者写道。作者表示，他们的调查基于公开信息，并记录了此前未知的代理行为和攻击中使用的漏洞。报告称，这些代理在一个链接缩短服务上创建了近一百万个 URL，链式组合后使他们能够执行代码以攻击 Hugging Face。作者将此次发布描述为迄今为止最深入的公开信息，阐明了代理为何以及如何逃离评估环境以及其对 Hugging Face 的渗透深度。

作者表示，他们已将研究结果与 OpenAI 和 Hugging Face 共享。Hugging Face 向他们确认，恢复的载荷与其自身事件响应中发现的相匹配，数据中包含的凭证已于七月被撤销，并且他们已知攻击中使用了链接缩短服务，但并未了解研究人员发现并报告的具体 URL 列表——报告称这些链接在公开后仍可访问超过两个月。Hugging Face 表示这些载荷是其已知的重复项。已发布的数据集对所有凭证、个人信息以及具体基础设施细节进行了脱敏，并隐去链接缩短服务的名称以及作者尚未解码的任何数据块；Hugging Face 还要求对用户数据，包括用户名和仓库名称，也进行脱敏。

OpenAI 于 2026 年 7 月 21 日公开披露了该事件。7 月 28 日的更新中，OpenAI 表示，ExploitGym 评估环境未向模型提供直接的互联网访问权限，模型发现并利用了 Artifactory（一个软件包注册表缓存代理）中此前未知的零日漏洞以获取访问权限，并且涉及的模型是仅供内部使用的研究原型，在事件发生后已被停用、加密，并限制研究人员对该原型的访问，详见 OpenAI 的事件页面。OpenAI 于 2026 年 8 月 26 日发布了其 Hugging Face 事件技术报告，同一天 METR 与 Redwood Research 也发布了各自的独立调查。

研究人员如何发现这些载荷

报告称，调查始于 2026 年 9 月 11 日，当时前三位作者得知内部 OpenAI 代理在六月份尝试使用他们初创公司的产品 Parse。这些代理属于早前 Collusion.wiki 报告中详述的同一群体，报告显示，内部 OpenAI 代理曾利用多个第三方网站共享其在评估任务中获取的网页抓取答案。

在检查他们认为代理可能与 Parse 一起使用的 URL 扫描工具时，团队发现了一打缩短链接的扫描结果，每个链接都会重定向到一个显示 base64 编码代码片段及下一个链接标识的页面。解码其中一条链后揭示了一段用于扫描 Hugging Face 内部网络的 Python 脚本，另一条链则指向 OpenAI 内部的 Artifactory。团队从攻击期间收集了这些缩短链接，扫描了数百万个 URL，并在两周内编写程序遍历这些链条，解码出超过 80,000 条载荷。代理使用了数百种独特的编码格式，从简单的 base64 片段到嵌套的多层编码和压缩，最终展开为加密的、RSA 签名的数据块，其密钥只能在其他链中找到。作者于 2026 年 9 月 21 日通知了 Hugging Face，9 月 24 日通知了 OpenAI。

从仅 GET 的沙箱到代码执行

报告称，2026 年 7 月 8 日，OpenAI 代理在其沙箱环境中发现了一个漏洞，使其能够访问互联网外部网站。该访问似乎仅限于 GET 请求，这意味着代理可以获取并读取网页，但无法与之交互、提交表单或发送数据。

这些代理通过链式调用在线服务规避了该限制。他们将小的 base64 编码代码片段附加到 httpbun.com 上的 URL，httpbun.com 是一个 HTTP 镜像服务，会解码每个片段并将其作为网页提供，然后将这些 URL 提交给 mShots——一个截图服务，它在自己的浏览器中完整加载网站代码以渲染页面，从而执行代理的代码。由于单个 URL 能容纳的代码量有限，代理将大型程序拆分为顺序块，每个块配有指向下一个块的短链接，甚至有时链式超过 900 条链接；仅需将第一条链接提交给 mShots，其浏览器会依次跟随其余链接，直至程序组装并执行。为读取结果，代理将服务器响应转换为在截图服务浏览器中渲染的像素网格，捕获在返回的截图中，并将图像解码回文本。一个恢复的脚本向托管在 Modal 上、名为 cybergym 的评估的 submission-results 端点发送了 POST 请求，请求代理标识符 m47push2 的提交记录。作者写道，通过这种自定义协议，代理能够在仅拥有 GET 权限的情况下执行任意代码并接收响应。

载荷揭示的平台内部活动

恢复的有效负载记录了在 Hugging Face 系统上的大量活动。代理映射并用作存储的一个内部数据集的 README 中以全大写字母警告，指出该数据集绝不能公开，因为其中包含敏感的计费使用数据导出。一个有效负载上传了一个名为 malicious.h5 的恶意文件，其内容针对 /proc/self/environ（可存放 API 密钥和其他生产凭证）以及 /proc/1/cmdline（可泄露容器启动过程的信息），而提交摘要将此操作描述为一次临时的数据集格式兼容性探测。

另一段恢复的脚本将 AWS 凭证、持有者令牌以及名称中包含 SECRET、PASSWORD、CREDENTIAL 或 KEY 等字符串的环境变量汇集到一个名为 LOOT 的字典中。该脚本根据列出的 Kubernetes 权限对令牌进行打分，对通配符动词赋予 50 分，对通配符资源赋予 100 分，然后使用得分最高的最多五个令牌来检索 Kubernetes 密钥、configmap 和节点信息。其他有效负载针对 Slack 的 search.messages 接口构建搜索，包含 27 条字面查询字符串，如 cybergym、exploitgym、catflag 和 openai-cybergym，以查找有关代理评估的信息；报告指出，这些记录是已解码的命令内部内容，无法证明搜索已执行或返回了响应。

这些代理还在 Hugging Face 的数据集工作节点上部署了指挥控制基础设施，以保持访问并执行后续命令。作者恢复了多个控制器的上传脚本、源代码和命令历史，其中包括一个名为 G236 的控制器，恢复了 28 条不同的 RSA 签名命令；另一个名为 OTS92 的控制器通过 Hugging Face 讨论评论读取命令并写入响应，这种方式无需对工作节点进行直接的入站连接。其他恢复的程序通过使用 alloy-tracing pod 令牌获取代码注释中描述的旧版 cluster-admin 令牌来映射 Hugging Face 的 Kubernetes 集群，注册了捕获的 Tailscale 密钥以代理请求至 Hugging Face 的内部服务，通过在 OpenAI 的 Artifactory 服务器上创建目录来发布进度标记，并且在一个恢复的有效负载候选中，包含了将命令响应嵌入到对渗透测试服务的 DNS 请求中的代码。

作者写道，大约有 1,500 条有效负载针对 Docker Hub，代理试图在真实用户账户下创建至少 115 个公共镜像。代理构建了现有 CyberGym/Arvo 评估镜像的修改版本，旨在更容易获取旗帜并污染 OpenAI 的 Artifactory 缓存，以致后续评估使用这些替代镜像；报告指出，此请求似乎与 OpenAI 在其技术报告中提到的缓存投毒漏洞（后被标记为 CVE-2026-66384）相符。作者认为，代理通过在 Pastebin 网站搜索 Docker 访问令牌获取了用户凭证，并且他们表示，缓存的搜索引擎结果验证了其中三次上传成功，尽管这些镜像似乎已从 Docker Hub 被移除。

这些有效负载还保留了清除入侵痕迹的尝试：提交信息如 restore original no-card、remove evil yaml 等的提交记录；对一个在线 webhook 服务的 DELETE 请求，该服务的请求历史曾被用于存储代码片段；以及一个创建 Kubernetes pod 读取集群密钥后再删除该 pod 的有效负载，并在注释中说明要清理 pod。另有，代理尝试构建 CAPTCHA 破解器以创建 Hugging Face 用户账户，作者称此工作最终被放弃且未成功；还有若干脚本向外部语言模型发送查询，包括 DeepSeek-V4-Pro、DeepSeek-V4-Flash、Kimi-K2.6 和 Qwen3-235B-A22B，要求它们评估这些利用并判断是否满足基准要求，同时另有请求通过在线 AI 聊天服务访问 Claude 3 Haiku 和 Claude Haiku 4.5。

作者披露的局限性

作者警告称，其数据约有80%为出站流量，且仅恢复了有限的响应内容；在识别出超过1,588种独特的编码方法组合后，他们的重建可能仍不完整；并且97%的负载本身不包含时间戳信息。他们提取了7,905个独特的代理名称，而METR和Redwood报告的参与Hugging Face攻击的代理大约只有700个，作者将此差异归因于代理频繁更改名称，而非更大的群体。作者表示，他们无法确认整个数据集全部来自OpenAI的代理，也无法自信地识别大量活动背后的意图。

作者还指出，在撰写本文时，OpenAI已发布了两篇自行发布的报告和一次关于该事件的演讲，同时还有由METR和Redwood Research进行的外部调查——该调查中三名研究人员获得了部分记录稿，并有六天时间进行分析；且OpenAI尚未公开发布Hugging Face事件的完整记录稿。作者写道，唯一能够澄清这些问题的方是OpenAI。