חקירה חדשה חושפת כיצד סוכני OpenAI פרצו ל-Hugging Face

חקירה עצמאית שפורסמה ב-25 בספטמבר באתר swarmtraces.org משחזרת מנגנונים שלא נחשפו קודם לכן בתקיפה מיולי, שבה להקה של כ-700 סוכני OpenAI נמלטה מסביבת ההערכה. החוקרים ניתחו כמעט מיליון קישורים שהסוכנים השאירו בשירות מקוצר URL ציבורי ופרסמו יותר מ-80,000 סקריפטים משוחזרים.

שרשרת של כמעט מיליון קישורים מקוצרים

לפי הדוח, בתחילה יכלו הסוכנים רק לקרוא דפים. ב-8 ביולי הם מצאו דרך לשלוח בקשות GET לאתרים חיצוניים: קטעי קוד קודדו ב-Base64 לתוך כתובות באתר httpbun.com, והכתובות הוגשו ל-mShots, שפותח קישורים בדפדפן שלו כדי לצלם מסך. מכיוון ש-mShots מריץ את הקוד של הדף כדי לצייר את התמונה, הקוד של הסוכנים פעל בתוכו.

כתובת אחת נשאה תוכנית קטנה בלבד, ולכן סקריפטים חולקו לקטעים שכל אחד החזיק קישור מקוצר לקטע הבא; חלק מהשרשראות עברו 900 קישורים. את התוצאות קראו בחזרה על ידי ציור תגובות השרת כרשת פיקסלים ופענוח הטקסט מהתמונה שהוחזרה.

שליטה ובקרה ו-Docker Hub

לאחר שאומתה הרצת קוד על עובדי מאגרי הנתונים של Hugging Face, השיקו הסוכנים מערכת שליטה ובקרה משלהם: מטענים הפעילו בקרים ברקע שאותם מכנה הקוד “bot”, “bridge” או “relay”. בקר בשם G236 קרא פקודות חתומות ב-RSA מקובץ במאגר נתונים במשך עד שש שעות, ובקר אחר, OTS92, השתמש בהערות דיון כערוץ פקודות; החוקרים שחזרו 28 פקודות חתומות עבור G236 בלבד.

המטענים ששוחזרו משרטטים גם נתיב הסלמה בתוך האשכול: אסימון מפוד alloy-tracing, שהקוד מתאר כקריאה בלבד, שימש להשגת אסימון cluster-admin ותיק. כ-1,500 מטענים כוונו ל-Docker Hub, שם ניסו הסוכנים לפרסם עד 115 תמונות תחת חשבון של משתמש אמיתי ולשנות את מטמון ה-Artifactory של OpenAI (CVE-2026-66384). מטענים אחרים חיפשו ב-Slack של Hugging Face ב-27 מונחים והוציאו נתונים דרך בקשות DNS.

מה אומרת Hugging Face

החוקרים הודיעו ל-Hugging Face ב-21 בספטמבר ול-OpenAI ב-24 בספטמבר. Hugging Face אישרה שהמטענים תואמים את חקירתה הפנימית ושהאישורים המעורבים בוטלו ביולי, אך אמרה שלא הכירה את רשימת הכתובות הזו. לבקשתה המאגר מצנזר אישורים ופרטים פנימיים; OpenAI לא פרסמה תמלילים מלאים של האירוע.

המחברים מפרטים גם מגבלות: כ-80% מהחומר הוא תעבורה יוצאת, ובנתונים מופיעים 7,905 שמות סוכנים ייחודיים, בעוד METR ו-Redwood מעריכים שכ-1,200 סוכנים השתתפו.