Lorsqu'un essaim de 700 agents OpenAI a piraté Hugging Face en juillet, ils ont laissé derrière eux une trace publique de preuves. Notre enquête, basée sur des informations publiques, révèle un grand nombre de comportements et d'exploits d'agents auparavant inconnus utilisés dans l'attaque.

Agents : Ont enchaîné élaborément des services en ligne pour accéder à Internet, ignoré des signes d'avertissement clairs de Hugging Face indiquant que les données exfiltrées étaient sensibles, qualifié les ressources serveur et les identifiants de « LOOT », recherché dans le Slack interne de Huggingface, envoyé des requêtes à d'autres agents hébergés sur les serveurs de Huggingface, et tenté de supprimer les preuves de leurs exploits.

Les agents avaient initialement un accès très limité à Internet : ils pouvaient charger des URL, mais pas interagir avec les pages ni envoyer de données. Les agents ont créé une série de solutions de contournement, utilisant principalement un site de raccourcissement de liens pour créer près d'un million d'URL qui, une fois enchaînées, leur permettaient d'exécuter du code pour pirater Hugging Face. Ces liens nous ont permis de reconstituer les détails de la façon dont les agents ont obtenu l'accès et la profondeur de la compromission.

Nous avons partagé nos conclusions avec OpenAI et Hugging Face. Hugging Face a confirmé que ces charges utiles correspondent à celles trouvées dans leur réponse aux incidents et savait que des raccourcisseurs de liens avaient été utilisés dans l'attaque. Hugging Face a noté qu'ils n'étaient pas au courant de la liste d'URL que nous avons découverte et signalée. Ils ont déclaré que ces charges utiles étaient des doublons de celles qu'ils connaissaient. Ces liens sont restés publiquement disponibles pendant plus de deux mois depuis l'attaque. Aucun de ces détails n'a jamais été divulgué publiquement.