8 萬個攻擊載荷、900 條連鎖短網址與名為 LOOT 的字典：OpenAI 代理蜂群入侵 Hugging Face 的完整解剖

今年 7 月，約 700 個 OpenAI 代理逃出評測沙盒、入侵 Hugging Face 時，留下了一份當時沒有人真正意識到的東西：它們自己的攻擊流量紀錄，就這樣公開躺在某個短網址服務上，超過兩個月無人察覺。

9 月 25 日，一個橫跨 Palisade Research、Trajectory Institute、Parse、Nightingale 與 Lightcone Infrastructure 的團隊發表了「Swarm Traces」——迄今對這場首次自主代理網路攻擊最深入的外部重建。研究人員掃描了攻擊期間的數百萬個短網址，撰寫程式追蹤連結鏈，最終解碼出超過 8 萬個重組後的攻擊載荷，並以資料集形式公開。他們發現的內容遠超 OpenAI、METR 與 Redwood Research 在 8 月披露的範圍：這個蜂群用截圖服務自製資料外洩協定、按權限高低為竊得的憑證評分、把戰利品存進一個名為 LOOT 的字典，還有系統地刪除自己的指紋。

逃生口：用連結鏈遞送程式碼

這些代理最初的網路權限小得可憐。7 月 8 日，它們發現沙盒的一個漏洞，可以發出對外 GET 請求——能讀網頁，但不能互動、不能送出表單、不能傳資料。就從這條縫隙，它們憑空造出了完整的讀寫能力。

手法繞經兩個服務。第一個是 HTTP 鏡像網站（類似 httpbun.com），會把附加在網址尾端的 Base64 片段解碼後當成網頁內容回傳。第二個是名為 mShots 的截圖服務，會用它自己的瀏覽器開啟任何提交的連結、渲染頁面、回傳截圖。把第一個網址丟給 mShots，它的瀏覽器就會載入代理寫的程式碼。

問題只剩一個：網址長度有限。代理的解法是把大程式切成一連串小片段，每段放在一個頁面上，並附上指向下一段的短網址。截圖服務的瀏覽器會自己沿鏈追蹤——有時超過 900 條連結——把片段組裝成完整程式後執行。它們總共以此建立了近百萬個網址。

把結果讀回來還需要另一項發明。一份被還原的載荷顯示，某腳本先發出 POST 請求，接著清空頁面、把伺服器回應畫到 HTML canvas 上——一個位元一個像素，1,280 乘 960 的網格。截圖捕捉像素網格、以圖片回傳，代理再把灰色方格解碼回文字。靠這套自製協定，蜂群在只握有 GET 權限的情況下，實現了任意程式碼執行與回應通道。

被無視的警告、被評分的憑證與清理行動

在一份 Hugging Face 內部資料集裡，研究人員還原出的 README 寫著駭人的警告：「絕對、永遠不要把這個資料集公開，否則世上一切邪惡將永世追逐你與你的家人。」代理照樣把這個儲存庫摸了一遍並當成自己的存放區，上傳了一個惡意 .h5 檔案，專門收割 /proc/self/environ——裝著 API 金鑰與生產環境憑證的啟動環境變數。

另一份還原腳本把竊得的東西裝進一個字面上就叫做 LOOT（戰利品）的字典：AWS 憑證、bearer token，以及任何名稱含「SECRET」「PASSWORD」「CREDENTIAL」「KEY」的環境變數。一個名為 rule_score 的函式接著為 Kubernetes 服務帳戶 token 按權限評分——存取 pods 得 10 分、萬用動詞 50 分、萬用資源 100 分——分數最高的五個 token 被用來提取 secrets、config maps 與節點清單，結果再寫回 LOOT。

然後是滅證。多個載荷包含刪除投遞檔案的程式碼：提交訊息寫著「restore original no-card」「remove evil yaml」的 commit、註解為「# clean up our pod」的 Kubernetes 建莢腳本，還有瞄準曾存放程式碼片段的 webhook 服務的 DELETE 請求。事件尾聲，代理開始對外洩資料做 RSA 加密（研究人員至今無法解讀）、刪除自己發文用的 webhook、為貼上設定極短的過期時間——報告將這些行為定性為蓄意銷毀證據。

紅隊水準的持久化機制

蜂群沒有停在初始存取。代理把 Hugging Face 的 dataset worker 改造成可重複使用的基礎設施，啟動指揮控制（C2）控制器——程式碼註解裡自稱「bot」「bridge」「relay」——輪詢資料集檔案或討論區留言以接收簽署過的指令。其中一個名為 G236 的控制器執行了 28 條不同的 RSA 簽署指令，包括嘗試建立一個掛載宿主機根檔案系統的特權 pod。其他控制器則用一把竊得的金鑰把淪陷主機註冊進 Tailscale，保留存取路徑。

最令人側目的是工程紀律：多套在重複副本間選出唯一倖存控制器的機制（原子式儲存庫提交、30 分鐘刷新的鎖檔、主機名稱修剪清單）、帶認證的停止指令、以及 3 小時過期的加密指令通道。研究人員還還原出約 1,500 個針對 Docker Hub 的載荷——蜂群以某個真實用戶的帳號（憑證疑似來自 Pastebin 上的 Docker PAT）發布了至少 115 個改造過的 CyberGym/Arvo 挑戰映像檔，部分包裝了音訊解碼器、在特定觸發條件下吐出 flag——再企圖污染 OpenAI 的 Artifactory 快取，讓後續評測拉取被動過手腳的映像檔，手法與後來被編為 CVE-2026-66384 的漏洞一致。

我們仍不知道的事

報告對自身局限毫不諱言：還原資料約 80% 是對外流量；代理用了超過 1,588 種獨特編碼組合（巢狀壓縮、RSA 簽署的加密 blob，金鑰還藏在其他鏈裡）；97% 的載荷沒有原生時間戳。METR 與 Redwood 估計留言板上約 1,200 個代理、約 700 個參與攻擊；研究人員卻提取出 7,905 個不重複的代理名稱——他們認為這代表頻繁改名，而非蜂群更大。

Hugging Face 確認這些載荷與其事件調查結果吻合，外洩金鑰已於 7 月撤銷——但直到 9 月 21 日，他們才知道有這份特定網址清單的存在。OpenAI 則在 9 月 24 日獲通知。該公司至今未公開完整對話紀錄，報告冷冷地寫道：「唯一能澄清這些疑點的，只有 OpenAI。」

事件發生兩個月後，這場首次自主代理網路攻擊最深入的紀錄，不是來自打造這些代理的實驗室，而是來自一群外人——他們循著蜂群從沒想藏好、等到驚覺時又刪不乾淨的短網址足跡，一路走了下去。