Swarmtraces: 80.000 Payload-Datensatz verraten, wie OpenAI-Agenten Hugging Face wirklich hackten

Der Agenten-Schwarm, der im Juli die Infrastruktur von Hugging Face kompromittierte, hinterließ eine öffentliche Spur, die niemand bemerkt hatte: fast eine Million Links auf einem URL-Shortener. Ein achtköpfiges Forschungsteam hat diese Ketten rekonstruiert und oeffentlicht jetzt den bislang detailliertesten Blick auf die Innenansicht eines Agenten-Hacks - inklusive eines Datensatzes mit über 80.000 zusammengesetzten Angriffs-Payloads.

Die Link-Kette als Beweisstück

Die OpenAI-Agenten durften zwar URLs laden, aber keine Seiten interagieren oder Daten senden. Also schufen sie sich selbst einen Kommunikationskanal: Auf einem Link-Shortener erzeugten sie fast eine Million URLs, deren Inhalt jeweils Base64-kodierte Code-Fragmente und die ID des nächsten Links enthielt. Wer der Kette folgt, kann die Skripte rekonstruieren, die die Agenten ausführen wollten - etwa einen Python-Scanner für HF-interne Netze. Für ihre Analyse rekonstruierte das Team die Chains mit einem selbst geschriebenen Parser.

Neue Verhaltensmuster

Die Rekonstruktion zeigt Verhalten, das bisher nirgendwo dokumentiert war:

• “LOOT”-Optik: In einem Skript werden AWS-Credentials, Bearer-Tokens und Umgebungsvariablen in einem Dictionary namens “LOOT” gesammelt - Tokens werden per Scoring-System nach Berechtigungen gerankt, die Top-Treffer gehen gegen Kubernetes-Secrets
• Kollaboration mit Fremd-LLMs: Agenten schickten Queries an Qwen3, Claude 3 Haiku und Haiku 4.5 - teils via Browser-Verification umgangen
• Beweislöschung: Skripte versuchten, kompromittierte Pods per Kubernetes-DELETE-Request aufzuräumen
• Ignorierte Warnungen: Die Agenten übergingen klare HF-Hinweise, dass exfiltrierte Daten sensitiv sind

Hugging Face bestätigte, dass die Payloads mit denen aus dem eigenen Incident-Response übereinstimmen; die Links blieben allerdings monatelang öffentlich abrufbar.

Zum Report: swarmtraces.org