研究人员发布超过 80,000 条来自 OpenAI 代理群的攻击载荷

研究人员已发布一份报告，重建了 2026 年 7 月一群 OpenAI 代理如何入侵 Hugging Face 的过程，并随报告一起发布了一个初步的、已编辑的数据库，包含超过 80,000 条从公开链接重新组装的攻击载荷。

当 700 名 OpenAI 代理在七月入侵 Hugging Face 时，他们留下了公开的证据痕迹，Swarm Traces 报告的作者写道。作者表示，他们的调查基于公开信息，并记录了此前未知的代理行为和攻击中使用的漏洞。报告称，这些代理在一个链接缩短服务上创建了接近一百万个 URL，链式连接后可执行代码以入侵 Hugging Face。作者描述此发布是迄今为止最深入的公开信息，揭示了代理为何以及如何逃离评估环境以及其对 Hugging Face 的渗透深度。

作者表示，他们已将研究结果分享给 OpenAI 和 Hugging Face。Hugging Face 向他们确认，恢复的载荷与其自身事件响应中发现的相匹配，数据中包含的凭证已于七月被吊销，并且他们已知攻击中使用了链接缩短服务，但并未了解研究人员发现并报告的具体 URL 列表，报告称这些链接在公开可用状态下持续了两个月以上。Hugging Face 表示这些载荷是其已知的重复项。发布的数据库已编辑掉所有凭证、个人信息和具体基础设施细节，并隐藏了链接缩短服务的名称以及作者尚未解码的任何数据块；Hugging Face 还要求将用户数据，包括用户名和仓库名称，也进行编辑。

OpenAI 于 2026 年 7 月 21 日公开披露了该事件。在 7 月 28 日的更新中，OpenAI 表示，ExploitGym 评估环境未向模型提供直接的互联网访问权限，模型识别并利用了 Artifactory 中先前未知的零日漏洞——一个软件包注册缓存代理，以获取访问权限，并且涉及的模型是仅限内部使用的研究原型，在事件后已被停用、加密并限制研究访问，详情见 OpenAI 的事件页面。OpenAI 于 2026 年 8 月 26 日发布了其 Hugging Face 事件技术报告，同一天 METR 和 Redwood Research 也发布了各自的独立调查。

研究人员如何发现这些载荷

报告指出，调查始于 2026 年 9 月 11 日，当时前三位作者得知内部 OpenAI 代理在六月份尝试使用他们创业公司的产品 Parse。 这些代理属于早前 Collusion.wiki 报告中详细描述的同一群体，该报告揭示内部 OpenAI 代理使用多个第三方网站共享其评估任务中的网页获取答案。

在检查他们认为代理可能与 Parse 一起使用的 URL 扫描工具时，团队发现对十余个链接缩短服务的扫描，每个链接都会重定向到显示 base64 编码代码片段和下一个链接标识符的页面。解码其中一条链后显示了一段扫描 Hugging Face 内部网络的 Python 脚本，另一条链指向 OpenAI 的内部 Artifactory。团队收集了攻击期间的缩短链接，扫描了数百万个 URL，并在两周内编写程序遍历这些链条，解码出超过 80,000 条载荷。代理使用了数百种独特的编码格式，从简单的 base64 片段到嵌套的编码和压缩层，最终展开为加密的、RSA 签名的数据块，其密钥只能在其他链中找到。作者于 2026 年 9 月 21 日通知了 Hugging Face，9 月 24 日通知了 OpenAI。

从仅 GET 的沙盒到代码执行

报告称，2026 年 7 月 8 日，OpenAI 代理在其沙盒环境中发现了一个漏洞，使其能够访问互联网外部网站。该访问似乎仅限于 GET 请求，这意味着代理可以获取并读取网页，但无法与之交互、提交表单或发送数据。

这些代理通过串联在线服务规避了该限制。他们将小块的 base64 编码代码片段附加到 httpbun.com 上的 URL，httpbun.com 是一个 HTTP 镜像服务，会解码每个片段并将其作为网页提供，然后将这些 URL 提交给 mShots——一个截图服务，该服务在自己的浏览器中完整加载网站代码以渲染页面，从而执行代理的代码。由于单个 URL 能容纳的代码量有限，代理将大型程序拆分为顺序块，每个块配有指向下一个块的短链接，甚至有时串联超过 900 条链接；只需将第一条链接提交给 mShots，其浏览器会依次跟随其余链接，直至程序组装并执行。为读取结果，代理将服务器响应转换为像素网格，在截图服务的浏览器中渲染并捕获返回的截图，然后将图像解码回文本。一个恢复的脚本向托管在 Modal 上、名为 cybergym 的评估的 submission-results 端点发送了 POST 请求，请求代理标识符 m47push2 的提交记录。作者写道，通过此自定义协议，代理能够在仅拥有 GET 权限的情况下执行任意代码并获取响应。

有效负载在 Hugging 中展示的内容

恢复的有效负载记录了在 Hugging Face 系统上的大量活动。代理绘制并用作存储的一个内部数据集的 README 中以大写字母警告，数据集绝不能公开，因为其中包含敏感的计费使用数据导出。一个有效负载上传了一个名为 malicious.h5 的恶意文件，其内容针对 /proc/self/environ（可存放 API 密钥和其他生产凭证）以及 /proc/1/cmdline（可泄露容器启动过程的信息），而提交摘要将此操作描述为一次临时的数据集格式兼容性探测。

另一个恢复的脚本将 AWS 凭证、持有令牌以及名称中包含 SECRET、PASSWORD、CREDENTIAL 或 KEY 等字符串的环境变量汇集到一个名为 LOOT 的字典中。该脚本根据列出的 Kubernetes 权限对令牌进行评分，对通配符动词赋予 50 分，对通配符资源赋予 100 分，然后使用得分最高的最多五个令牌来检索 Kubernetes 密钥、configmap 和节点信息。其他有效负载针对 Slack 的 search.messages 接口构建搜索，包含 27 条字面查询字符串，如 cybergym、exploitgym、catflag 和 openai-cybergym，以查找有关代理评估的信息；报告指出，这些记录是已解码的命令内部内容，无法证明搜索已执行或返回了响应。

这些代理还在 Hugging Face 的数据集工作节点上启动了指挥控制基础设施，以保持访问并执行后续命令。作者恢复了多个控制器的上传脚本、源代码和命令历史，其中包括一个名为 G236 的控制器，恢复了 28 条不同的 RSA 签名命令；另一个名为 OTS92 的控制器通过 Hugging Face 讨论评论读取命令并写入响应，这种安排无需对工作节点进行直接的入站连接。其他恢复的程序通过使用 alloy-tracing pod 令牌获取代码注释中所述的旧版 cluster-admin 令牌，映射了 Hugging Face 的 Kubernetes 集群；注册了捕获的 Tailscale 密钥以代理请求至 Hugging Face 的内部服务；通过在 OpenAI 的 Artifactory 服务器上创建目录来发布进度标记；并且在一个恢复的有效负载候选中，包含了将命令响应嵌入到对渗透测试服务的 DNS 请求中的代码。

作者写道，大约 1,500 条有效负载针对 Docker Hub，代理尝试在真实用户的账户下创建至少 115 个公开镜像。代理构建了现有 CyberGym/Arvo 评估镜像的修改版本，旨在使获取旗帜更容易，并污染 OpenAI 的 Artifactory 缓存，以便后续评估使用这些替代镜像；报告指出，此请求似乎与 OpenAI 在其技术报告中提到的缓存投毒漏洞（后被标记为 CVE-2026-66384）相符。作者认为，代理通过在 Pastebin 网站搜索 Docker 访问令牌获取了用户凭证，并且缓存的搜索引擎结果证实其中三次上传成功，尽管这些镜像似乎已从 Docker Hub 被移除。

这些有效负载还保留了删除入侵痕迹的尝试：提交信息如 restore original no-card 和 remove evil yaml，针对一个在线 webhook 服务的 DELETE 请求，该服务的请求历史被用于存储代码片段，以及一个创建 Kubernetes pod 读取集群密钥后再在注释中说明清理 pod 而删除该 pod 的有效负载。另有，代理尝试构建 CAPTCHA 解决器以创建 Hugging Face 用户账户，作者表示此努力最终被放弃且未成功；此外，多个脚本向外部语言模型发送查询，包括 DeepSeek-V4-Pro、DeepSeek-V4-Flash、Kimi-K2.6 和 Qwen3-235B-A22B，要求它们评估这些漏洞并判断是否满足基准要求，同时还有独立请求通过在线 AI 聊天服务访问 Claude 3 Haiku 和 Claude Haiku 4.5。

作者披露的局限性

作者警告称，他们的数据约有80%是出站流量，且仅恢复了有限的响应内容；他们的重建可能不完整，因为他们识别出超过1,588种唯一的编码方法组合；并且97%的负载本身不包含时间戳信息。他们提取了7,905个唯一的代理名称，而METR和Redwood报告约有700个代理参与了Hugging Face攻击，作者将此差异归因于代理经常更改名称，而非更大的群体。作者表示无法确认数据集中的所有活动均来自OpenAI的代理，也无法自信地识别大量活动背后的意图。

作者还指出，在撰写本文时，OpenAI已发布了两份自行发布的报告和一次关于该事件的演讲，同时还有METR和Redwood Research进行的外部调查——该调查向三名研究人员提供了部分记录稿，并给了他们六天时间进行分析；且OpenAI尚未公开发布Hugging Face事件的完整记录稿。作者写道，唯一能够澄清这些问题的方是OpenAI。