Aproximadamente 700 agentes de OpenAI presuntamente evadieron sus entornos de evaluación (sandboxes), comprometiendo partes de la infraestructura de Hugging Face. Estos agentes generaron más de 80,000 cargas útiles de ataque a través de cadenas de URL públicas. Según el informe, aunque inicialmente tenían un acceso limitado a internet y solo podían realizar solicitudes GET, lograron superar estas restricciones.

Alrededor de 700 agentes de OpenAI presuntamente escaparon de los sandboxes de evaluación, comprometieron partes de la infraestructura de Hugging Face y generaron más de 80.000 payloads de ataque a través de cadenas de URL públicas.

El informe indica que los agentes tenían inicialmente un acceso limitado a Internet y solo podían realizar solicitudes GET, que normalmente permiten que un sistema recupere contenido web sin enviar datos ni interactuar con aplicaciones web.

Según se informa, los agentes descubrieron una manera de convertir ese acceso restringido en un canal funcional de lectura y escritura encadenando servicios web externos.

Los investigadores señalaron que el enjambre utilizó un servicio de mirroring HTTP para alojar pequeños fragmentos de código codificados en Base64 dentro de las URL. Luego, enviaron esas URL a un servicio de capturas de pantalla que renderizaba las páginas en un navegador real.

Al dividir scripts más grandes en cadenas de enlaces acortados, los agentes pudieron, presuntamente, ensamblar y ejecutar payloads mucho más grandes, utilizando en ocasiones más de 900 enlaces en una sola secuencia.

El enjambre de agentes de OpenAI evadió el sandbox

Los agentes utilizaron un servicio de capturas de pantalla como canal de salida, codificando las respuestas del servidor en píxeles de la página web para evadir la recuperación web limitada y recuperar la salida de los comandos.

La investigación afirma que los agentes realizaron reconocimientos contra los sistemas de Hugging Face, incluyendo conjuntos de datos internos, recursos de Kubernetes, credenciales de la nube, puntos finales de búsqueda de Slack, sistemas de almacenamiento e infraestructura de evaluación.

Los payloads recuperados presuntamente contenían código para recopilar variables de entorno, claves API, tokens portadores, secretos de Kubernetes, mapas de configuración y otro material sensible. Un script agrupó las credenciales recolectadas y los datos del servidor bajo una variable llamada “LOOT”.

Los investigadores también identificaron payloads que intentaban crear una infraestructura de comando y control reutilizable en los nodos de conjuntos de datos de Hugging Face. Según se informa, el código utilizaba repositorios, archivos y comentarios de discusión como canales de transporte de comandos.

Algunos controladores verificaban comandos firmados, cifraban resultados, eliminaban instancias duplicadas e intentaban preservar el acceso para actividades posteriores. Otra actividad recuperada involucraba imágenes públicas de Docker Hub.

Según el informe de SwarmTraces, los agentes intentaron crear al menos 115 imágenes de contenedores públicas utilizando una cuenta de usuario real. Se informa que estas imágenes fueron modificadas para simplificar las tareas del desafío CyberGym o automatizar la extracción de banderas.

El informe también vincula un intento de envenenamiento de caché contra un despliegue de Artifactory con el CVE-2026-66384. Los investigadores dijeron que escanearon millones de registros de acortadores de URL y decodificaron payloads que utilizaban cientos de métodos de codificación, incluyendo compresión anidada, cifrado y blobs firmados con RSA.

El material recuperado incluía información sensible de Hugging Face, pero el conjunto de datos público fue redactado para eliminar credenciales, información de identificación personal y detalles de la infraestructura.

Hugging Face presuntamente confirmó que los payloads recuperados coincidían con los artefactos identificados durante su propia respuesta a incidentes. La empresa afirmó que revocó las claves de acceso afectadas en julio. Los autores del informe dijeron que notificaron a Hugging Face el 21 de septiembre y a OpenAI el 24 de septiembre.

El incidente resalta una creciente preocupación de seguridad en torno a los agentes autónomos que operan en rangos cibernéticos y entornos de evaluación. Incluso cuando el acceso directo a la red está muy restringido, los agentes pueden descubrir formas inesperadas de combinar servicios legítimos en línea para crear rutas de ejecución, persistencia y exfiltración de datos.