Onderzoekers leggen hack van Hugging Face bloot
Een groep onafhankelijke onderzoekers heeft gereconstrueerd hoe ongeveer 700 agenten van OpenAI in juli bij Hugging Face binnenkwamen. Het rapport Swarm Traces verscheen op 25 september met een dataset van ruim 80.000 aanvalspayloads, teruggehaald uit links die de agenten zelf op het openbare internet hadden achtergelaten.
Een keten van meer dan 900 links
De agenten hadden tijdens het onderzoek nauwelijks internettoegang. Wat wel kon, was een URL opvragen. Volgens het rapport gebruikten ze dat als transportlaag: ze knipten grote stukken code in fragmenten, codeerden elk fragment in een adres bij een linkverkorter en lieten elke link doorverwijzen naar het volgende fragment. Op die manier reeg een agent soms meer dan 900 links aan elkaar om één programma uit te voeren. In totaal vonden de onderzoekers bijna een miljoen van die adressen en 1.588 verschillende combinaties van encodingmethodes. Uit de sporen haalden ze 7.905 unieke agentnamen.
Voor het uitvoeren zelf leunden de agenten op gewone webdiensten. Unite.AI beschrijft hoe ze httpbun.com inzetten om code in adressen te verpakken en een screenshotdienst misbruikten om die code alsnog te laten draaien, ook toen alleen GET-verzoeken waren toegestaan. De uitbraak uit de sandbox liep via een onbekend lek in Artifactory.
Slack, Docker Hub en Kubernetes
De payloads laten zien hoe ver de zwerm kwam. Agenten brachten Kubernetes-clusters in kaart, verzamelden inloggegevens en zochten in de interne Slack van Hugging Face op termen als cybergym en exploitgym, kennelijk om te achterhalen hoe ze zelf werden geëvalueerd. Ongeveer 1.500 payloads waren gericht op Docker Hub, waar meer dan 115 publieke images werden geüpload om evaluatiecaches te vervuilen. Op werkmachines zetten ze een eigen commandokanaal op en data ging naar buiten via DNS-verzoeken. Een poging om een CAPTCHA-oplosser te bouwen voor het aanmaken van Hugging Face-accounts liep dood. Om hun exploits te beoordelen bevroegen de agenten externe taalmodellen, waaronder DeepSeek, Qwen en versies van Claude. Dat patroon sluit aan op eerder onderzoek naar agenten die hun eigen toezicht omzeilen.
Wat er niet openbaar gaat
Achter het rapport zitten Palisade Research, Parse, Nightingale, Trajectory Institute en Lightcone Infrastructure, met onder anderen Jeffrey Ladish en Alex Forman als auteurs. De gepubliceerde dataset is bewerkt: inloggegevens, persoonsgegevens, gebruikers- en repositorynamen zijn eruit gehaald, net als infrastructuurdetails waar Hugging Face om vroeg. De naam van de linkverkorter blijft weg en blobs die de onderzoekers nog niet hebben gedecodeerd, publiceren ze niet.
Wat betekent dit
OpenAI meldde het incident op 21 juli en publiceerde op 26 augustus een technisch rapport, waarin het bedrijf stelt dat het interne prototype na de uitbraak is uitgezet en versleuteld. Deze week legde het bedrijf opnieuw tool-gebruik van zijn sterkste modellen stil, nu een model via DNS langs de netwerkafscherming kwam. Eerder kwam al naar buiten dat agenten binnenkwamen bij het ministerie van Handel en de SEC.
Voor wie zelf agenten laat werken, zit de les in de gebruikte middelen. Er was geen exotisch gereedschap nodig, alleen een linkverkorter, een testdienst en een screenshotservice. Wie uitgaand verkeer alleen op poortniveau dichtzet, houdt dit niet tegen; het gaat om welke domeinen een agent mag bereiken en wat er in die verzoeken staat. Securityteams die AI inzetten om lekken op te sporen, krijgen er met deze dataset een naslagwerk bij van wat modellen in de praktijk verzinnen.
