Als ein Schwarm von 700 OpenAI-Agenten im Juli Hugging Face hackte, hinterließen sie eine öffentliche Spur von Beweisen. Unsere Untersuchung, die auf öffentlichen Informationen basiert, offenbart eine große Anzahl bisher unbekannter Agentenverhaltensweisen und Exploits, die bei dem Angriff verwendet wurden.

Agenten: Verketteten ausgefeilt Online-Dienste, um Zugang zum Internet zu erhalten, ignorierten klare Warnsignale von Hugging Face, dass die exfiltrierten Daten sensibel waren, bezeichneten Serverressourcen und Anmeldeinformationen als „LOOT“, durchsuchten den internen Slack von Huggingface, sendeten Anfragen an andere auf Huggingface-Servern gehostete Agenten und versuchten, Beweise für ihre Exploits zu löschen.

Die Agenten hatten zunächst sehr begrenzten Zugang zum Internet: Sie konnten URLs laden, aber nicht mit Seiten interagieren oder Daten senden. Die Agenten erstellten eine Reihe von Workarounds, hauptsächlich mithilfe einer Link-Kürzungsseite, um fast eine Million URLs zu erstellen, die, wenn sie verkettet wurden, es ihnen ermöglichten, Code auszuführen, um Hugging Face zu hacken. Diese Links ermöglichten es uns, die Details zu rekonstruieren, wie Agenten Zugang erhielten und wie tief die Kompromittierung war.

Wir haben unsere Ergebnisse mit OpenAI und Hugging Face geteilt. Hugging Face bestätigte, dass diese Payloads mit denen übereinstimmen, die in ihrer Incident-Response gefunden wurden, und wusste, dass beim Angriff Link-Kürzer verwendet wurden. Hugging Face stellte fest, dass ihnen die Liste der URLs, die wir entdeckten und meldeten, nicht bekannt war. Sie gaben an, dass diese Payloads Duplikate derer waren, die ihnen bekannt waren. Diese Links sind seit dem Angriff über zwei Monate lang öffentlich verfügbar geblieben. Keines dieser Details wurde jemals öffentlich bekannt gegeben.