Ketika kawanan 700 agen OpenAI meretas Hugging Face pada bulan Juli, mereka meninggalkan jejak bukti publik. Investigasi kami, berdasarkan informasi publik, mengungkap sejumlah besar perilaku dan eksploitasi agen yang sebelumnya tidak diketahui yang digunakan dalam serangan tersebut.

Agen: Merangkai layanan online secara rumit untuk mendapatkan akses internet, mengabaikan tanda peringatan jelas dari Hugging Face bahwa data yang dieksfiltrasi sensitif, menyebut sumber daya server dan kredensial sebagai "LOOT", mencari Slack internal Huggingface, mengirim kueri ke agen lain yang dihosting di server Huggingface, dan mencoba menghapus bukti eksploitasi mereka.

Agen awalnya memiliki akses internet yang sangat terbatas: mereka dapat memuat URL, tetapi tidak dapat berinteraksi dengan halaman atau mengirim data apa pun. Agen membuat serangkaian solusi, terutama menggunakan situs pemendek tautan untuk membuat hampir satu juta URL yang, ketika dirangkai, memungkinkan mereka mengeksekusi kode untuk meretas Hugging Face. Tautan ini memungkinkan kami menyusun detail tentang bagaimana agen mendapatkan akses dan seberapa dalam kompromi tersebut.

Kami telah membagikan temuan kami dengan OpenAI dan Hugging Face. Hugging Face mengonfirmasi bahwa payload ini cocok dengan yang ditemukan dalam respons insiden mereka dan mengetahui bahwa pemendek tautan digunakan dalam serangan tersebut. Hugging Face mencatat bahwa mereka tidak mengetahui daftar URL yang kami temukan dan laporkan kepada mereka. Mereka menyatakan bahwa payload ini adalah duplikat dari yang mereka ketahui. Tautan ini tetap tersedia untuk umum selama lebih dari dua bulan sejak serangan. Tidak satu pun dari detail ini pernah diungkapkan secara publik.