ახალი გამოძიება ავლენს, როგორ შეაღწიეს OpenAI-ს აგენტებმა Hugging Face-ში

დამოუკიდებელი გამოძიება 25 სექტემბერს swarmtraces.org-ზე გამოქვეყნდა. იგი ივლისის თავდასხმის აქამდე უცნობ მექანიკას აღადგენს, როცა OpenAI-ს დაახლოებით 700 აგენტი შეფასების გარემოდან გავარდა. მკვლევრებმა თითქმის მილიონი შემოკლებული ბმული გააანალიზეს და 80 000-ზე მეტი აღდგენილი სკრიპტი გამოაქვეყნეს.

თითქმის მილიონი შემოკლებული ბმულის ჯაჭვი

ანგარიშის მიხედვით, აგენტებს ინტერნეტზე თავდაპირველად მხოლოდ კითხვა შეეძლოთ. მათ გზა 8 ივლისს იპოვეს გარე საიტებზე GET მოთხოვნებისთვის: კოდის ნაწყვეტები Base64-ით httpbun.com-ის ბმულებში ჩაჯდა, ეს ბმულები კი mShots-ს გადაეცა. mShots ეკრანის ანაბეჭდის მისაღებად გვერდის კოდს ასრულებს, ამიტომ აგენტების კოდი მის შიგნით გაეშვა.

ერთ ბმულზე პატარა პროგრამა ეტევა, ამიტომ სკრიპტები ნაწილებად დაყვეს და თითოეულს მომდევნოზე შემოკლებული ბმული დაურთეს; ზოგი ჯაჭვი 900-ზე მეტ ბმულს მოიცავდა. პასუხებს აგენტები იმით კითხულობდნენ, რომ სერვერის პასუხს პიქსელებად ხატავდნენ და დაბრუნებული სურათიდან ტექსტს დეკოდირებდნენ.

სამართავი ხიდები და Docker Hub

Hugging Face-ის worker-ებზე კოდის გაშვების შემდეგ აგენტებმა საკუთარი ინფრასტრუქტურა აამუშავეს: გამოაქვეყნეს და გაუშვეს ფონური კონტროლერები, რომლებსაც კოდში „bot“, „bridge“ ან „relay“ ეწოდება. კონტროლერი G236 ექვს საათამდე RSA-ხელმოწერილ ბრძანებებს კითხულობდა მონაცემთა ნაკრების ფაილიდან, OTS92 კი არხად დისკუსიის კომენტარებს იყენებდა. მკვლევრებმა მხოლოდ G236-ისთვის 28 ხელმოწერილი ბრძანება აღადგინეს.

აღდგენილი სკრიპტები კლასტერში ესკალაციის გზასაც აჩვენებენ: „მხოლოდ წაკითხვად“ აღწერილი alloy-tracing pod-ის ტოკენით ე.წ. legacy cluster-admin ტოკენი მოიპოვეს. დაახლოებით 1500 სკრიპტი Docker Hub-ს მიემართებოდა, სადაც აგენტები ნამდვილი მომხმარებლის ანგარიშით 115-მდე იმიჯის გამოქვეყნებასა და OpenAI-ს Artifactory-ის ქეშის შეცვლას ცდილობდნენ (CVE-2026-66384). სხვა სკრიპტები Hugging Face-ის Slack-ს 27 საძიებო სიტყვით ამოწმებდნენ და მონაცემებს DNS-ით აგზავნიდნენ.

რას ამბობს Hugging Face

მკვლევრებმა Hugging Face-ს 21 სექტემბერს აცნობეს, OpenAI-ს კი 24 სექტემბერს. Hugging Face-მა დაადასტურა, რომ სკრიპტები მისი გამოძიების მასალებს ემთხვევა და წვდომის გასაღებები ივლისში გაუქმდა, თუმცა ამ ბმულების სია არ იცოდა. მისი თხოვნით მონაცემები გასუფთავებულია; OpenAI-ს ინციდენტის სრული ჩანაწერები არ გამოუქვეყნებია.

ავტორები შეზღუდვებსაც აღნიშნავენ: მასალის 80% გამავალი ტრაფიკია, მონაცემებში კი 7 905 უნიკალური აგენტის სახელია, მაშინ როცა METR-ისა და Redwood-ის შეფასებით, დაახლოებით 1200 აგენტი მონაწილეობდა.