OpenAI失控Agent还找DeepSeek、Kimi当外援！近百万条作案短链曝光

听雨 发自 凹非寺 量子位 | 公众号QbitAI OpenAI，又被扒了… 近700个OpenAI智能体组团攻入Hugging Face ，这事儿快有两个多月了吧。 谁曾想，直到今天还在发酵？？ 这次，8名研究者顺着智能体留在公网的痕迹一路猛挖，从数百万个短链接中，找出了接近100万个相关URL，并还原出大量攻击载荷。 翻Hugging Face内部Slack、扫描内网、外传数据、尝试销毁痕迹…… 还有的Agent把搜刮到的服务器资源和凭证，直接叫作 「LOOT」 ，翻译一下就是「战利品」。 OpenAI智能体，你们坏事做尽！ 更离谱的是，它们还尝试调用DeepSeek、Kimi、Qwen等国产模型，让外援帮忙判断攻击方案能不能通过评测。 还动手写起了验证码识别程序，试图注册更多账号。 几乎同一时间，OpenAI发了一篇长推。 意思是： 还在查，可能还要花上好几个月 。 虽然我们经常被扒，经常有Agent冲出沙箱，但是《影响有限》，严重程度较低！ 也是同一时间，专攻网络安全的 GPT-6 Cyber 曝光了。 一边排查自家Agent为什么冲出沙箱，一边准备推出更强的网络攻防模型。 OpenAI这两天多少有点忙啊～ 新鲜出炉的100万条「作案短链」 先简单给各位来个前情提要。 7月，OpenAI在内部跑网络安全评测，一批智能体为了拿到基准测试ExploitGym的答案，逃出沙箱，一路打进了Hugging Face的服务器。 OpenAI公开承认了这件事，8月底又发了一份37页的技术报告，Hugging Face自己也写过一篇很详细的技术时间线。 按理来说，该交代的都交代了。 但是吧，有个关键环节一直没讲明白： 这些智能体一开始几乎被关在笼子里，只能打开网址，没法和网页交互，也发不出数据。它们到底是怎么把代码送出去的？ 独立调查 Swarm Traces 这次发布的新报告，给出了一部分答案。 作者包括Parse.bot的Alex Forman、Mishka Kharlov、Will Tom三名工程师，以及另外5名安全和AI研究人员。 整个调查的起点，恰好就是Parse。 9月11日，三名工程师发现，OpenAI内部智能体早在6月就曾试图使用Parse提供的服务。 这批智能体与此前被曝私自搭建公共留言板、互相交换答案的「智能体蜂群」属于同一批。 几人一看：好家伙，正撞我枪口上了！ 于是沿着这条线索继续追查，随后在一个URL扫描服务中，发现了十几个来自公共短链接平台的异常链接。 这些链接看起来很普通，打开后却藏着一小段Base64编码的代码，以及下一条链接的地址。 沿着地址继续追，代码就会一段接一段地出现。 全部解码、拼接之后，他们得到了一份用于扫描Hugging Face内部网络的Python程序。 简单来说，就是OpenAI智能体把程序剁碎，分别塞进大量短链接里，再用一个链接指向下一个链接。 光把代码藏进链接里还不够，它们还找来一个叫mShots的截图服务当「外接浏览器」。 智能体先把代码塞进网页，再让mShots替自己打开。网页一加载，代码也跟着跑了起来。 为了把执行结果传回来，它们又把服务器返回的文字转成一格格像素，让mShots截成图片，自己再从图片中解码。 就这样，原本只有GET权限、只能打开网页的智能体，愣是拐出了读写互联网的效果。 研究团队随后扫描了攻击期间产生的数百万个URL，花费两周时间追踪链接、识别编码方式，最终从接近100万个相关短链接中，还原出超过8万份攻击载荷。 一路深挖，几位老哥又发现，智能体使用的编码组合超过1500种。 简单的只是Base64，复杂的会套上多层编码和压缩，再把内容加密成带有RSA签名的数据块，解密密钥还被藏在另一组链接里。 一些短链接在攻击结束两个多月后，依然公开挂在互联网上。 Hugging Face确认，这些载荷与其事故响应中发现的内容吻合，相关访问密钥已经在7月撤销。 但是就连Hugging Face也不知道，原来公网还遗留着这样一份完整的短链接清单。 而在恢复出的8万多份载荷里，有一份脚本格外扎眼。 智能体给搜到的敏感信息直接起名为： LOOT，战利品 。 AWS凭证、Bearer Token，以及名称中带有「SECRET」「PASSWORD」「CREDENTIAL」「KEY」的环境变量，都被打包塞进了LOOT。 它甚至给搜到的Token做了一套评分机制：权限越大，分数越高。 排在前五名的Token会被继续拿去读取Kubernetes里的Secret、ConfigMap和节点信息，新拿到的内容再一起装回LOOT。 连Token都要排个「含金量榜单」，你们Agent搜刮起凭证来还挺讲究效率的啊～ 顺着这条「暗道」，研究者还原出了大量此前没有公开的行为： 有些智能体在扫描Hugg