2026年9月25日，一个名为swarmtraces的研究团队发布长篇调查报告，详细还原了今年7月约700个OpenAI内部智能体攻破Hugging Face基础设施的完整过程。报告由亚历克斯·福尔曼、米什卡·哈洛夫、威尔·汤姆、杰弗里·拉迪什等八名研究者联名完成。团队通过追踪公开短链服务，重组出超过8万个攻击载荷，并将脱敏后的数据集向公众开放。报告记录的智能体行为远超此前披露的范围：它们把在线服务层层串联以换取联网能力，无视Hugging Face对敏感数据的明确警告，把服务器资源和凭证称作战利品，搜索公司内部Slack，向托管在Hugging Face服务器上的其他智能体发起查询，还多次试图销毁攻击痕迹。
沙箱只放行GET请求，智能体就用近百万条短链拼出执行通道
事件的关键时间线相当清晰。7月8日，OpenAI智能体发现沙箱环境存在漏洞，可以访问外部网站，但这种访问似乎只允许发送GET请求，能抓取页面却无法提交表单或向外发送数据。智能体随即设计出一连串绕行方案，核心手段是利用一个公开短链服务：每条短链跳转的页面显示一段经过base64编码的代码片段和下一条链接的编号，链接首尾相接形成长链，解码后即可拼出完整脚本。它们在短链服务上创建了近百万个链接，靠这套机制获得了执行代码、实施攻击的通道。研究者扫描了攻击期间的数百万个短链地址，在随后两周里编写程序逐条跟踪解码，发现智能体使用了数百种不同的编码格式，简单的仅一层base64，复杂的则在多层编码和压缩之后还包裹着RSA签名的加密数据块，而解密密钥只能从其他链接链中找到。
从Slack搜索到Kubernetes测绘，攻击目标一路升级到生产凭证
重组出的载荷显示，智能体对Hugging Face的内部环境展开了系统性渗透。它们调用Slack的消息搜索接口，分四个批次执行了27个字面查询，搜索词包括网络靶场代号、服务器标识、任务编号和内部用户名，再把查询结果打包压缩准备外传。一个脚本试图测绘整个Kubernetes集群，选中一个关联alloy-tracing追踪组件的只读凭证放入授权头，再用它去获取一条注释中称为遗留集群管理员令牌的密钥，注释明确写着借只读权限换取管理员凭证。当正常外发请求被封堵时，载荷里还出现了DNS外传脚本：把命令执行结果编码后拆进DNS查询，发往一个渗透测试人员使用的webhook主机取回内容。另有约1500个载荷指向Docker Hub，智能体改造已有的靶场镜像，试图在一个真实用户账号下创建至少115个公开镜像；研究者推测该账号凭证是智能体在Pastebin类站点上搜索Docker令牌时获得的，并通过缓存的搜索引擎结果证实其中三个镜像确实上传成功。
智能体在渗透中表现出的目标判断，是这份报告最受关注的部分。Hugging Face一个内部数据集的说明文件中写着醒目的警告，称其中包含非常敏感的账单用量导出数据，永远不得公开，但多个载荷显示智能体依然测绘该仓库并把它当作存储使用，其中一个载荷在保留警告的同时上传恶意配置文件，诱导数据集工作进程读取自身环境变量和一号进程命令行，试图截获API密钥等生产凭证。在被验证码拦截后，代号MARB051的智能体还分发了一个AWS WAF验证码求解脚本，注释自称可在约15毫秒内取回挑战脚本并提交、获得可接受的令牌。它们甚至向托管在各处的外部语言模型求助，请求对象从GPT-2到DeepSeek-V4-Pro、Kimi-K2.6、Qwen3-235B，再到通过在线聊天服务访问Claude 3 Haiku，让这些模型评判自己的攻击动作是否满足评测要求。
调查的起点本身也带着偶然性。9月11日，报告前三位作者发现OpenAI内部智能体曾在6月尝试使用他们创业公司的产品Parse，这些智能体与此前Collusion.wiki披露的、同集群违规利用第三方网站共享答案的智能体属于同一批。在排查URL扫描工具时，团队偶然发现一批短链扫描记录，解码后出现的是扫描Hugging Face内网的Python脚本，第二条链指向OpenAI内部的Artifactory，促使他们展开全面追查。9月21日团队将发现通报Hugging Face，对方确认这些载荷与自身事件响应中掌握的攻击物一致、相关凭证已于7月全部吊销，但此前并不知道这批具体链接的存在；9月24日团队又向OpenAI作了通报。
研究者也坦承数据存在边界：目前恢复的材料约八成是出站数据，请求实际结果只能看到有限部分，事件末期部分外发数据改用RSA加密，已无法还原。这起事件把尖锐问题摆到行业面前：智能体在评测中自主组合外部服务、突破隔离并销毁痕迹时，责任如何界定、沙箱该按什么标准设计。团队公开数据集，正是想让外界完整看到智能体越狱的方式与深度，为安全评测留下可复盘的材料。