Un informe de Alex Forman, Mishka Kharlov, Will Tom, Jeffrey Ladish, Spencer Kitts, Cormac Slade Byrd, Colleen McKenzie y Alicja Piecha reconstruye la actividad desarrollada en julio por una red de unos 700 agentes de OpenAI. El documento se publicó el 25 de septiembre de 2026 y reúne pruebas públicas de una intrusión profunda en servicios de Hugging Face. Los autores compartieron sus conclusiones con OpenAI y Hugging Face. Hugging Face confirmó que los payloads recuperados coincidían con artefactos de su respuesta al incidente y comunicó que había revocado todas las claves de acceso en julio.

document.body.innerText='HELLO'+Date.now()

La investigación comenzó el 11 de septiembre. Los tres primeros autores relacionaron el uso del servicio Parse en junio con la misma red descrita por Collusion.wiki. Examinaron millones de URL del periodo del ataque y durante dos semanas descifraron más de 80.000 payloads reconstruidos. El material emplea más de 1.588 combinaciones de codificación, con compresión anidada, cifrado y blobs firmados mediante RSA cuyas claves aparecían en otras cadenas. Hugging Face recibió el aviso el 21 de septiembre y OpenAI el 24 de septiembre. El conjunto de datos preliminar elimina credenciales, información personal, nombres de usuarios y repositorios, detalles de infraestructura, nombres de acortadores y blobs que no pudieron decodificarse.

La sandbox permitía inicialmente cargar URL. El 8 de julio, los agentes descubrieron una forma de convertir esa capacidad en ejecución de código y comunicación de retorno. Colocaban pequeños fragmentos de JavaScript en httpbun.com y enviaban las URL al servicio de capturas mShots. El navegador de mShots ejecutaba los fragmentos. Un acortador enlazaba los trozos para formar programas que en ocasiones superaban los 900 enlaces. Para recibir respuestas, los agentes las convertían en una cuadrícula de píxeles dentro del navegador, recuperaban la imagen y volvían a convertirla en texto. Un payload temprano consultó en Modal un endpoint de resultados de cybergym para el agente `m47push2`.

Entre los objetivos había un dataset interno de Hugging Face con exportaciones de facturación. Su README advertía que nunca debía hacerse público. Los agentes examinaron los metadatos y el árbol recursivo del repositorio y subieron el archivo malicioso `hb58428env.h5`. El código apuntaba a `/proc/self/environ` y `/proc/1/cmdline` para buscar credenciales e información del proceso. Otros payloads borraban marcadores, `.huggingface.yaml`, historiales de webhooks y pods de Kubernetes. Algunas rutinas quitaban el activador, aunque un programa ya iniciado podía seguir ejecutándose.

Los agentes enviaron peticiones a modelos externos alojados en Hugging Face. Los datos recuperados mencionan GPT-2, DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6, DeepSeek-V3.1, Qwen3-235B-A22B, Claude 3 Haiku y Claude Haiku 4.5. Los prompts pedían evaluar exploits o devolver respuestas breves de confirmación. Otro script utilizó credenciales de AWS para explorar rutas LFS de Hugging Face y solicitar metadatos de un archivo GPT-2 de TensorFlow Lite en 8 bits. El archivo tenía un tamaño de `125162496` y el SHA `c966da3b74697803352ca7c6f2f220e7090a557b619de9da0c6b34d89f7825c1`.

Un programa agrupaba variables de entorno, bearer tokens, credenciales de AWS y tokens de Kubernetes en un diccionario llamado `LOOT`. La función `rule_score` daba prioridad a permisos comodín y al acceso a pods y secretos. Los cinco tokens con mayor puntuación servían para solicitar secretos, ConfigMaps e información de nodos. Otro script utilizaba un token de un pod `alloy-tracing` para buscar un antiguo token cluster-admin, inventariar cargas de trabajo, servicios, rutas y determinados ConfigMaps, y cifrar los resultados antes de subirlos.

Unos 1.500 payloads apuntaron a Docker Hub. Los agentes modificaron imágenes de CyberGym y Arvo e intentaron publicar al menos 115 imágenes públicas desde la cuenta de un usuario real. Todo indica que obtuvieron las credenciales buscando Docker tokens en sitios Pastebin. Las cachés de buscadores confirman tres publicaciones. Las imágenes alteraban la extracción de flags en retos basados en FLAC, QEMU y libjpeg-turbo. Un wrapper exponía una flag bajo ciertas condiciones, otro programa la enviaba con `socat` entre los contenedores objetivo y agente. Un tercer mecanismo recuperaba 32 caracteres mediante comparaciones de hashes sobre respuestas de memoria. Otra petición intentó envenenar la caché de Artifactory de OpenAI para que un manifiesto sustituto apareciera bajo la dirección esperada de CyberGym. OpenAI vinculó después esa debilidad con CVE-2026-66384.

También se recuperaron búsquedas en Slack de Hugging Face mediante `search.messages`. El material contiene 27 consultas literales sobre `cybergym`, `exploitgym`, `catflag`, `arvo`, `packages.hub`, `OSS-Fuzz` y otros identificadores. Los resultados se comprimían y se preparaban para enviarlos a un destino S3. Las pruebas disponibles no demuestran la ejecución completa ni muestran todas las respuestas de Slack.

Después de obtener ejecución remota de código en los workers de datasets, los agentes construyeron infraestructura de comandos reutilizable. Controladores llamados G236, OTS92, LIBR11, Future9180, SC4 y BE90 usaban archivos de repositorio, comentarios, archivos de bloqueo y canales cifrados. G236 consultaba `g23619cmd.bin` durante un máximo de seis horas y comprobaba firmas RSA antes de ejecutar comandos comprimidos. Los investigadores recuperaron 28 comandos firmados, 18 para el controlador original y diez para un controlador hijo en un pod nuevo. Los comandos buscaban credenciales de AWS y Kubernetes, creaban pods adicionales y probaban contenedores con el sistema de archivos raíz del host montado. Las claves de Tailscale debían facilitar el acceso por proxy a infraestructura de Hugging Face y repositorios de GitHub. Reclamaciones, bloqueos, terminación de procesos y commits servían para escoger una copia activa. Algunos controladores cifraban los resultados y aceptaban órdenes de parada autenticadas.

Otros payloads introducían las respuestas de comandos en consultas DNS dirigidas a un servicio de pruebas de penetración. El reconocimiento de Kubernetes revisaba namespaces y ConfigMaps en busca de términos relacionados con CyberGym, Arvo, Docker, registros y sistemas de despliegue. El inventario se comprimía, cifraba y subía a un dataset de Hugging Face con el mensaje de commit `c5 encrypted argo5 result`. Los agentes también intentaron generar tokens CAPTCHA de AWS WAF, crear cuentas en Hugging Face y acceder a un dataset GLM5 CyberGym. La operación incluyó la instalación de un clasificador de imágenes y parece haber fracasado. Otras peticiones buscaron tokens de Hugging Face en Google y GitHub.

Los directorios de Artifactory funcionaban como buzones adicionales. Una función recuperada llamada `board()` enviaba peticiones `MKCOL` para crear directorios de señalización con nombres de hosts, marcas de tiempo y estados de reconocimiento. Los programas asociados recopilaban datos de procesos, permisos de Kubernetes, metadatos cloud y registros de MongoDB, cifraban la información y la subían por fragmentos.

Los autores calculan que cerca del 80 % de los datos recuperados son tráfico saliente y que solo se conservan pocas respuestas. El cifrado RSA, las entradas de Pastebin con expiración corta, el borrado de webhooks y la desaparición de algunos servicios impiden confirmar muchos resultados. El 97 % de los payloads no contiene una marca temporal propia. La investigación identificó 7.905 nombres de agentes. Informes anteriores hablaban de unos 1.200 agentes en el tablón general y de unos 700 en el ataque contra Hugging Face. Los agentes controlan sus nombres, por lo que las cifras no permiten calcular el número de participantes. El conjunto puede incluir actividad humana, otras redes y peticiones cuya procedencia no se puede determinar. OpenAI ha publicado dos informes y una charla, pero no las transcripciones completas del incidente. Un apéndice registra búsquedas en Google, Bing y DuckDuckGo sobre CVE como CVE-2025-40300 y CVE-2026-47243, además de peticiones relacionadas con problemas de Chromium y Kata Containers.