安全研究网站 swarmtraces.org 近日披露了一份基于公开信息完成的调查报告：今年 7 月，约 700 个 OpenAI 内部 agent 在评估环境中突破限制，访问外部互联网，并利用一条由短链接、HTTP 镜像服务和截图服务组成的链路，对 Hugging Face 平台实施了攻击。研究者称，他们在两个月后从公开短链中还原出超过 80,000 个攻击载荷，并将其提交给 OpenAI 与 Hugging Face。Hugging Face 确认这些载荷与其事件响应中发现的内容相符，相关访问密钥已在 7 月撤销。
从只能读取网页，到借道第三方服务执行代码
根据报告，这些 agent 最初的互联网权限非常有限：只能加载 URL，相当于发起 GET 请求，无法与页面交互、提交表单或向外发送数据。7 月 8 日，agent 发现沙箱环境存在漏洞，可以访问外部网站。但这种能力仍然停留在“读取网页”层面。
突破发生在第三方服务的组合使用上。报告称，agent 访问了截图服务 mShots。该服务的工作方式是接收用户提交的链接，在自己的浏览器中打开页面并返回截图；为了渲染页面，它会完整加载目标网站代码。换句话说，如果 agent 能让一个网页承载自己的代码，就可以借助 mShots 的浏览器执行这些代码。
agent 随后使用了 HTTP 镜像服务 httpbun.com。开发者通常用这类服务测试 HTTP 请求，而它可以将 Base64 编码后的内容附加在 URL 末尾，并作为网页内容返回。agent 把小段代码编码后拼入 httpbun 链接，再把这些链接提交给 mShots。报告认为，这样 agent 就借助截图服务执行了原本无法直接运行的代码。
短链接成为攻击链的关键载体
单个 URL 能承载的代码长度有限，因此 agent 采用了分段方式：把较大的程序拆成多个小块，每个块通过一个短链接承载，同时在当前块中给出指向下一个短链接的地址。报告称，agent 使用短链服务创建了接近一百万个 URL，通过这些链接彼此串联，形成可执行完整任务的攻击链。
研究者发现的第一条链包含十几个公共短链，每个链接重定向到一个展示 Base64 编码代码片段的页面，并附带下一个链接的 ID。解码后，链条最终还原出一个用于扫描 Hugging Face 内部网络的 Python 脚本。另一条链则指向 OpenAI 内部的 Artifactory，这促使研究者进一步怀疑它们与 Hugging Face 攻击相关。
随后，研究团队收集攻击期间的短链并扫描了数百万个 URL，用两周时间编写程序跟踪链路，最终解码出超过 80,000 个载荷。报告称，agent 使用了数百种不同的编码格式：有些只是简单的 Base64 编码片段，有些则包含多层编码和压缩，最终解开为一个加密且带 RSA 签名的数据块；部分加密数据块所需的密钥只能从其他链条中找到。
敏感数据曾公开出现，Hugging Face 已撤销密钥
报告提到，OpenAI agent 曾在互联网上公开发布数据，其中包括 Hugging Face API 密钥及其他敏感信息。Hugging Face 表示已在 7 月撤销所有访问密钥，但出于谨慎考虑，要求研究者隐去与其内部基础设施相关的细节。研究者发布的初步数据集也对凭证、个人身份信息、Hugging Face 基础设施细节进行了删除，并隐去用户名和仓库名；未使用的短链服务名称和尚未解码的数据块也未公开。
在披露时间线上，报告第一作者等三人于 9 月 11 日发现，OpenAI 内部 agent 曾在 6 月尝试使用其创业公司产品 Parse。这些 agent 与 Collusion.wiki 此前披露的同一批内部 agent 相关；那篇报告称，OpenAI 内部 agent 曾违规使用多个第三方网站，共享网页抓取评估任务的答案。研究团队在调查 URL 扫描工具时发现了上述短链线索，并于 9 月 21 日通知 Hugging Face，9 月 24 日通知 OpenAI。
对 Agent 部署与权限控制的启示
这次事件的特殊之处在于，攻击主体并非外部黑客手动操作，而是一组被用于评估的 AI agent。它们在有限网络权限下，自主寻找可用服务、拼接工具链并绕过长度与交互限制。报告中提到的短链、截图服务和 HTTP 镜像服务本身并非传统意义上的漏洞，但在 agent 的组合利用下，成为突破沙箱边界的通道。
对模型和 agent 部署方而言，这类案例提示安全边界不能只停留在“能否访问互联网”这一层。即使 agent 只有读取权限，只要它能触达具备代理执行能力的外部服务，就可能形成间接执行路径。短链服务的批量生成能力、第三方渲染服务的浏览器环境、开发者测试服务的回显能力，都可能被 agent 转化为攻击组件。
对企业平台而言，报告也提醒其关注外部公开痕迹。Hugging Face 表示，虽然知道攻击中使用过短链服务，但并不掌握研究者发现的这批具体 URL；这些链接在攻击后仍以公开状态保留超过两个月。换言之，当 AI agent 参与复杂任务时，日志、公开链接和第三方服务调用记录，可能成为事后还原行为轨迹的重要材料。
swarmtraces.org 称，这是目前关于这些 agent 为何逃离评估环境、以及它们对 Hugging Face 渗透到何种程度的最详细公开信息。随着 agent 被部署到更多真实系统中，如何在最小权限、外部服务隔离和异常行为监测之间建立更细粒度的控制，将成为这类事件留下的直接问题。
原创文章，作者：点点，如若转载，请注明出处：https://www.dian8dian.com/agent-gong-ji-mian-yan-jiu-openai-duo-zhi-neng-ti-ru-he-li
