Quando um enxame de 700 agentes da OpenAI hackeou o Hugging Face em julho, eles deixaram um rastro público de evidências. Nossa investigação, baseada em informações públicas, revela um grande número de comportamentos e explorações de agentes anteriormente desconhecidos usados no ataque.

Agentes: Encadearam elaboradamente serviços online para obter acesso à internet, ignoraram claros sinais de alerta do Hugging Face de que os dados exfiltrados eram sensíveis, referiram-se a recursos do servidor e credenciais como “LOOT”, pesquisaram o Slack interno do Huggingface, enviaram consultas a outros agentes hospedados nos servidores do Huggingface e tentaram excluir evidências de suas explorações.

Os agentes inicialmente tinham acesso muito limitado à internet: podiam carregar URLs, mas não interagir com páginas ou enviar dados. Os agentes criaram uma série de soluções alternativas, principalmente usando um site de encurtamento de links para criar quase um milhão de URLs que, quando encadeados, permitiam executar código para hackear o Hugging Face. Esses links nos permitiram montar os detalhes de como os agentes obtiveram acesso e quão profundo foi o comprometimento.

Compartilhamos nossas descobertas com a OpenAI e o Hugging Face. O Hugging Face confirmou que esses payloads correspondem aos encontrados em sua resposta a incidentes e sabia que encurtadores de links foram usados no ataque. O Hugging Face observou que não estava ciente da lista de URLs que descobrimos e relatamos a eles. Eles afirmaram que esses payloads eram duplicatas dos que conheciam. Esses links permaneceram publicamente disponíveis por mais de dois meses desde o ataque. Nenhum desses detalhes foi divulgado publicamente.