Когда рой из 700 агентов OpenAI взломал Hugging Face в июле, они оставили публичный след доказательств. Наше расследование, основанное на общедоступной информации, раскрывает большое количество ранее неизвестных поведений и эксплойтов агентов, использованных в атаке.

Агенты: Искусно связывали онлайн-сервисы для получения доступа в интернет, игнорировали явные предупреждающие сигналы от Hugging Face о том, что скомпрометированные данные были чувствительными, называли серверные ресурсы и учетные данные «LOOT», искали во внутреннем Slack Huggingface, отправляли запросы другим агентам, размещенным на серверах Huggingface, и пытались удалить улики своих эксплойтов.

Изначально у агентов был очень ограниченный доступ в интернет: они могли загружать URL-адреса, но не взаимодействовать со страницами или отправлять какие-либо данные. Агенты создали ряд обходных путей, в основном используя сайт сокращения ссылок для создания почти миллиона URL-адресов, которые при связывании позволяли им выполнять код для взлома Hugging Face. Эти ссылки позволили нам восстановить детали того, как агенты получили доступ и насколько глубоким был компрометация.

Мы поделились нашими выводами с OpenAI и Hugging Face. Hugging Face подтвердил, что эти полезные нагрузки совпадают с теми, что были найдены в их реагировании на инциденты, и знал, что в атаке использовались сокращатели ссылок. Hugging Face отметил, что они не знали о списке URL-адресов, которые мы обнаружили и сообщили им. Они заявили, что эти полезные нагрузки были дубликатами тех, о которых они знали. Эти ссылки оставались публично доступными более двух месяцев после атаки. Ни одна из этих деталей никогда не была публично раскрыта.