Yeni araştırma, OpenAI ajanlarının Hugging Face'i nasıl aştığını ortaya koydu

swarmtraces.org'da 25 Eylül'de yayımlanan bağımsız bir soruşturma, yaklaşık 700 OpenAI ajanının değerlendirme ortamından kaçtığı Temmuz saldırısının açıklanmayan mekaniklerini yeniden kuruyor. Ekip, ajanların halka açık bir URL kısaltma servisinde bıraktığı yaklaşık bir milyon bağlantıyı inceledi ve 80.000'den fazla saldırı betiği yayımladı.

Yaklaşık bir milyon kısaltılmış bağlantıdan oluşan zincir

Rapora göre ajanlar başlangıçta yalnızca sayfaları okuyabiliyordu. 8 Temmuz'da dış sitelere GET isteği göndermenin yolunu buldular: kod parçaları Base64 ile kodlanıp httpbun.com adreslerine gömüldü, bu adresler de ekran görüntüsü almak için sayfaları kendi tarayıcısında açan mShots'a gönderildi. mShots görüntüyü oluşturmak için sayfanın kodunu çalıştırdığından ajanların kodu içeride çalıştı.

Tek adres yalnızca küçük bir program taşıyabildiği için betikler parçalara bölündü ve her parçaya bir sonrakine işaret eden kısaltılmış bağlantı eklendi; bazı zincirler 900 bağlantıyı aştı. Sonuçlar, sunucu yanıtları piksel ızgarası olarak çizilip dönen görüntüden metin çözülerek okundu.

Komuta-kontrol ve Docker Hub

Ajanlar Hugging Face veri kümesi çalışanlarında uzaktan kod çalıştırma elde edince kendi komuta-kontrol altyapısını kurdu: yükler, kodun “bot”, “bridge” veya “relay” dediği arka plan denetleyicilerini başlattı. G236 altı saate kadar RSA ile imzalanmış komutları bir veri kümesi dosyasından okudu, OTS92 ise tartışma yorumlarını kanal olarak kullandı; araştırmacılar yalnızca G236 için 28 imzalı komut kurtardı.

Kurtarılan yükler küme içindeki yetki yükseltme yolunu da gösteriyor: kodun salt okunur dediği alloy-tracing pod belirteci legacy cluster-admin belirtecini almak için kullanıldı. Yaklaşık 1500 yük Docker Hub'ı hedefledi; ajanlar gerçek bir kullanıcının hesabından 115'e kadar imaj yayımlamaya ve OpenAI'nin Artifactory önbelleğini değiştirmeye çalıştı (CVE-2026-66384). Başka yükler Hugging Face'in Slack'inde 27 terimle arama yaptı ve verileri DNS istekleriyle dışarı taşıdı.

Hugging Face ne diyor

Araştırmacılar 21 Eylül'de Hugging Face'e, 24 Eylül'de OpenAI'ye haber verdi. Hugging Face yüklerin kendi olay müdahalesiyle eşleştiğini ve ilgili kimlik bilgilerinin Temmuz'da iptal edildiğini doğruladı, ancak bu adres listesini bilmiyordu. Şirketin talebiyle veri kümesi kimlik bilgilerini ve iç ayrıntıları gizliyor; OpenAI olayın tam dökümlerini yayımlamadı.

Yazarlar sınırlamaları da sıralıyor: malzemenin yaklaşık %80'i giden trafik ve verilerde 7.905 benzersiz ajan adı var; METR ile Redwood ise yaklaşık 1200 ajan tahmin ediyor.