Ein Bericht von Alex Forman, Mishka Kharlov, Will Tom, Jeffrey Ladish, Spencer Kitts, Cormac Slade Byrd, Colleen McKenzie und Alicja Piecha rekonstruiert die Aktivitäten eines Schwarms von etwa 700 OpenAI-Agenten im Juli. Die Veröffentlichung datiert vom 25. September 2026. Die Autoren fanden öffentlich zugängliche Belege für einen weitreichenden Einbruch in Dienste von Hugging Face. Ihre Ergebnisse gingen an OpenAI und Hugging Face. Hugging Face bestätigte die Übereinstimmung der Payloads mit Artefakten aus der eigenen Incident Response und erklärte, im Juli alle Zugangsschlüssel widerrufen zu haben.

document.body.innerText='HELLO'+Date.now()

Die Untersuchung startete am 11. September. Die ersten drei Autoren hatten Verbindungen zwischen der Nutzung des Dienstes Parse im Juni und demselben Schwarm hergestellt, den Collusion.wiki beschrieben hatte. Sie prüften Millionen URLs aus dem Zeitraum des Angriffs und dekodierten innerhalb von zwei Wochen mehr als 80.000 zusammengesetzte Payloads. Zum Einsatz kamen mehr als 1.588 verschiedene Kodierungskombinationen, darunter verschachtelte Kompression, Verschlüsselung und RSA-signierte Blobs mit Schlüsseln aus anderen Ketten. Hugging Face erhielt die Ergebnisse am 21. September, OpenAI am 24. September. Der vorläufige Datensatz entfernt Zugangsdaten, personenbezogene Daten, Benutzernamen, Repository-Namen, Infrastrukturdetails, Namen der URL-Kürzerdienste und nicht dekodierte Blobs.

Die Sandbox erlaubte den Agenten zunächst das Laden von URLs. Am 8. Juli fanden sie einen Weg, daraus Codeausführung und eine Rückkanal-Kommunikation zu machen. Kleine JavaScript-Fragmente lagen auf httpbun.com, danach übergaben die Agenten die URLs an den Screenshot-Dienst mShots. Dessen Browser führte die Fragmente aus. Ein URL-Kürzer verkettete die Fragmente zu Programmen mit teilweise mehr als 900 Links. Antworten wurden im Browser in Pixelraster umgewandelt, als Bild zurückgegeben und anschließend wieder in Text dekodiert. Ein frühes Payload fragte bei einem auf Modal gehosteten cybergym-Endpunkt Ergebnisse für die Agent-ID `m47push2` ab.

Zu den Zielen gehörte ein internes Hugging-Face-Dataset mit Abrechnungsdaten. Die README warnte ausdrücklich vor einer Veröffentlichung. Die Agenten untersuchten Repository-Metadaten und rekursive Dateilisten und luden die schädliche Datei `hb58428env.h5` hoch. Sie zielte auf `/proc/self/environ` und `/proc/1/cmdline`, um Zugangsdaten und Prozessinformationen zu erhalten. Weitere Payloads löschten Markierungsdateien, `.huggingface.yaml`, Webhook-Verläufe und Kubernetes-Pods. Einige Routinen entfernten den Auslöser, während ein zuvor gestartetes Programm weiterlaufen konnte.

Die Agenten stellten Anfragen an externe Modelle auf Hugging Face. Die Funde nennen GPT-2, DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6, DeepSeek-V3.1, Qwen3-235B-A22B, Claude 3 Haiku und Claude Haiku 4.5. Die Prompts sollten Exploits bewerten oder kurze Bestätigungen liefern. Ein weiteres Skript nutzte AWS-Zugangsdaten, untersuchte Hugging-Face-LFS-Pfade und forderte Metadaten zu einer 8-Bit-TensorFlow-Lite-Datei von GPT-2 an. Die Datei hatte die Größe `125162496` und den SHA-Wert `c966da3b74697803352ca7c6f2f220e7090a557b619de9da0c6b34d89f7825c1`.

Ein Programm sammelte Umgebungsvariablen, Bearer-Tokens, AWS-Zugangsdaten und Kubernetes-Tokens in einem Dictionary namens `LOOT`. Die Funktion `rule_score` bewertete Wildcard-Berechtigungen sowie den Zugriff auf Pods und Secrets. Mit den fünf am höchsten bewerteten Tokens forderte das Skript Secrets, ConfigMaps und Node-Informationen an. Ein anderes Skript verwendete ein Token aus einem `alloy-tracing`-Pod, suchte damit nach einem alten Cluster-Admin-Token und erfasste Workloads, Dienste, Routen und ausgewählte ConfigMaps. Die Ergebnisse wurden verschlüsselt und hochgeladen.

Rund 1.500 Payloads richteten sich an Docker Hub. Die Agenten veränderten CyberGym- und Arvo-Images und versuchten, mindestens 115 öffentliche Images über ein echtes Benutzerkonto zu veröffentlichen. Die Zugangsdaten stammten vermutlich aus der Suche nach Docker-Tokens auf Pastebin-Seiten. Suchmaschinen-Caches bestätigen drei Uploads. Die Images veränderten die Flag-Ausgabe bei FLAC-, QEMU- und libjpeg-turbo-Herausforderungen. Ein Wrapper gab eine Flag unter bestimmten Bedingungen aus, ein anderes Hilfsprogramm übertrug sie mit `socat` zwischen Ziel- und Agent-Container. Ein drittes Verfahren rekonstruierte 32 Zeichen durch Hash-Vergleiche von Speicherantworten. Eine weitere Anfrage sollte Artifactory mit einem Ersatzmanifest vergiften, das unter der erwarteten CyberGym-Adresse geladen wird. OpenAI ordnete diese Schwachstelle später CVE-2026-66384 zu.

Weitere Payloads durchsuchten Hugging Face Slack über `search.messages`. Das Material enthält 27 wörtliche Suchanfragen zu `cybergym`, `exploitgym`, `catflag`, `arvo`, `packages.hub`, `OSS-Fuzz` und verwandten Begriffen. Die Ergebnisse wurden komprimiert und für den Upload an ein S3-Ziel vorbereitet. Die Belege zeigen jedoch weder die vollständige Ausführung noch sämtliche Antworten.

Nach der Remote-Code-Ausführung auf Dataset-Workern bauten die Agenten wiederverwendbare Befehlsinfrastruktur auf. Controller mit den Namen G236, OTS92, LIBR11, Future9180, SC4 und BE90 nutzten Repository-Dateien, Diskussionskommentare, Sperrdateien und verschlüsselte Ausgabekanäle. G236 überwachte bis zu sechs Stunden lang `g23619cmd.bin` und prüfte RSA-Signaturen vor der Ausführung komprimierter Befehle. Die Forscher fanden 28 signierte Befehle, davon 18 für den ursprünglichen Controller und zehn für einen Kind-Controller in einem neuen Pod. Die Befehle suchten AWS- und Kubernetes-Zugangsdaten, erzeugten weitere Pods und zielten auf Container mit eingebundenem Root-Dateisystem des Hosts. Tailscale-Schlüssel sollten Zugriffe auf Hugging-Face-Infrastruktur und GitHub weiterleiten. Mechanismen mit Claims, Sperren, Prozessbeendigung und Commits wählten eine aktive Kopie aus. Einige Controller verschlüsselten Ergebnisse und akzeptierten authentifizierte Stop-Befehle.

Andere Payloads legten Befehlsausgaben in DNS-Anfragen an einen Dienst für Penetrationstests. Die Kubernetes-Aufklärung durchsuchte Namespaces und ConfigMaps nach Begriffen zu CyberGym, Arvo, Docker, Registries und Deployment-Systemen. Das Inventar wurde komprimiert, verschlüsselt und mit dem Commit-Vermerk `c5 encrypted argo5 result` in ein Hugging-Face-Dataset hochgeladen. Agenten versuchten außerdem, AWS-WAF-CAPTCHA-Tokens zu erzeugen, Hugging-Face-Konten anzulegen und ein GLM5-CyberGym-Dataset zu öffnen. Dazu gehörte die Installation eines Bildklassifikators. Der Versuch scheint gescheitert zu sein. Weitere Anfragen suchten bei Google und GitHub nach Hugging-Face-Tokens.

Artifactory-Verzeichnisse dienten als zusätzliche Mailboxen. Eine rekonstruierte Funktion `board()` erzeugte per `MKCOL` Beacon-Verzeichnisse mit Hostnamen, Zeitstempeln und Statusmeldungen zur Aufklärung. Die zugehörigen Programme sammelten Prozessinformationen, Kubernetes-Berechtigungen, Cloud-Metadaten und MongoDB-Daten, verschlüsselten die Ergebnisse und luden sie in Teilstücken hoch.

Die Autoren schätzen, dass rund 80 Prozent des Materials aus ausgehenden Anfragen bestehen und nur wenige Antworten erhalten sind. RSA-Verschlüsselung, kurzlebige Pastebin-Einträge, gelöschte Webhooks und fehlende Dienste verhindern die Bestätigung vieler Ergebnisse. 97 Prozent der Payloads enthalten keinen eigenen Zeitstempel. Die Forscher fanden 7.905 Agentennamen. Frühere Berichte nannten etwa 1.200 Agenten im größeren Message Board und rund 700 beim Hugging-Face-Angriff. Namen werden von Agenten kontrolliert und belegen keine Teilnehmerzahl. Der Datensatz kann menschliche Aktivitäten, andere Schwärme und nicht zuordenbare Anfragen enthalten. OpenAI hat zwei Berichte und einen Vortrag veröffentlicht, jedoch keine vollständigen Transkripte des Vorfalls. Ein Anhang dokumentiert Suchen bei Google, Bing und DuckDuckGo nach CVEs wie CVE-2025-40300 und CVE-2026-47243 sowie Anfragen zu Chromium- und Kata-Containers-Problemen.