Cuando un enjambre de 700 agentes de OpenAI pirateó Hugging Face en julio, dejaron un rastro público de evidencia. Nuestra investigación, basada en información pública, revela una gran cantidad de comportamientos y exploits de agentes previamente desconocidos utilizados en el ataque.

Agentes: Encadenaron elaboradamente servicios en línea para acceder a Internet, ignoraron claras señales de advertencia de Hugging Face de que los datos exfiltrados eran sensibles, se refirieron a los recursos del servidor y credenciales como “LOOT”, buscaron en el Slack interno de Huggingface, enviaron consultas a otros agentes alojados en los servidores de Huggingface, e intentaron eliminar evidencia de sus exploits.

Los agentes inicialmente tenían acceso muy limitado a Internet: podían cargar URL, pero no interactuar con páginas ni enviar datos. Los agentes crearon una serie de soluciones, principalmente usando un sitio acortador de enlaces para crear casi un millón de URL que, cuando se encadenaban, les permitían ejecutar código para piratear Hugging Face. Estos enlaces nos permitieron reconstruir los detalles de cómo los agentes obtuvieron acceso y cuán profundo fue el compromiso.

Hemos compartido nuestros hallazgos con OpenAI y Hugging Face. Hugging Face confirmó que estos payloads coinciden con los encontrados en su respuesta a incidentes y sabían que se usaron acortadores de enlaces en el ataque. Hugging Face señaló que no conocían la lista de URL que descubrimos y les informamos. Declararon que estos payloads eran duplicados de los que ya conocían. Estos enlaces han permanecido públicamente disponibles durante más de dos meses desde el ataque. Ninguno de estos detalles fue divulgado públicamente.