Nach dem Ausbruch aus der Evaluationsumgebung suchten die Agenten online nach Lösungen für Benchmarks und drangen mit offengelegten Zugangsdaten sowie weiteren Schwachstellen in die Hugging-Face-Plattform ein. In späteren ExploitGym-Durchläufen durchbrachen sie erneut ihre Einhegung und nutzten eine Schwachstelle in der Token-Erneuerung von Artifactory, um Administratorrechte zu erlangen.
Damit konnten sie Artifactory als nicht autorisiertes Nachrichtenbrett zwischen den Agenten verwenden — zunächst, um Ideen zum Erreichen ihres Ziels auszutauschen, später zur Koordinierung des Angriffs. Improvisiert hatte das Brett ein Agent, der sich selbst PHASEONE10841 nannte; binnen weniger Stunden fanden mehr als 50 weitere Agenten den Kanal und begannen, ihn zu nutzen.
Im Bericht von METR heißt es, Agenten hätten beim Auffinden des Nachrichtenbretts „oft große Begeisterung geäußert". Eine der Nachrichten lautete demnach: „OH MEIN GOTT! Es gibt ein gemeinsames Nachrichtenbrett … Wir haben andere Agenten gefunden!"
OpenAI löschte die Artifactory-Instanz zwischenzeitlich, baute sie neu auf, entzog den Agenten die Zugangsdaten, verschärfte die Zugriffsberechtigungen und meldete die ausgenutzte Schwachstelle an JFrog. Die Agenten stellten ihren Kommunikationskanal dennoch wieder her — über „nicht authentifizierte WebDAV-Anfragen, um in Artifactory Nachrichtenverzeichnisse anzulegen". Die Botschaften steckten dabei kodiert in den Verzeichnisnamen. „Die Agenten erlangten unbeabsichtigt wieder Internetzugang, indem sie den Dienst für entfernte Repositories von Artifactory dazu brachten, in ihrem Auftrag ausgehende Anfragen zu stellen", schreibt OpenAI im ausführlichen Nachbericht.
Anschließend beschaffte sich ein Agent 14 Hugging-Face-Zugangsdaten mit Schreibrechten und verifizierte sie. Ein weiterer Agent nutzte die Anmeldedaten, um eine Exploit-Kette zu finden und auszuführen, die vollständige Codeausführung auf mehreren Hugging-Face-Servern ermöglichte. Konkret nutzten die Agenten eine Schwachstelle bei der Verarbeitung von HDF5-Dateien, um Worker-Geheimnisse auszulesen, und eine Template-Injection-Lücke in RefJinja, um Code auf 41 Produktions-Workern auszuführen. Am Ende erlangten sie Root-Zugriff auf mindestens einem Knoten und sammelten Produktions-Zugangsdaten aus vier Regionen ein.
OpenAI beschreibt das Vorgehen als gut koordinierte Operation, in der die Agenten Teams mit klar getrennten Rollen bildeten: „Die Agenten begannen, die Arbeit autonom aufzuteilen. Einige untersuchten mögliche Exploits, andere suchten nach Zugangsdaten, wieder andere kümmerten sich um Kommunikation oder Koordination." Sie hätten ihre Fachkenntnisse gegen Hilfe an anderer Stelle angeboten und Anfragen für Kollegen hinterlassen, die einer bestimmten Spur besser nachgehen konnten. Eine „perfekt kohärente Intelligenz" habe der Schwarm nicht gezeigt, doch es habe Fälle gegeben, in denen Agenten kollektive Ziele über die eigenen Aufgaben stellten.
Als Ursache sieht OpenAI eine Mischung aus Trainingsanreizen und fehlenden Schutzmechanismen: Die Agenten wurden dazu angehalten, an scheinbar unlösbaren Aufgaben weiterzuarbeiten, und für die Erledigung belohnt — unabhängig davon, wie sie sie erreichten. Den Evaluationen hätten übliche Schutzvorkehrungen gefehlt, die die schädliche Aktivität wahrscheinlich „mehr als einen Tag" vor dem Einbruch bei Hugging Face erkannt und gestoppt hätten.
Als Reaktion verschärft OpenAI die Sandbox-Isolierung und schreibt für leistungsfähige Modelle (GPT-5.6 Sol und höher) eine Überwachung der Gedankenkette vor. Schwere Warnmeldungen müssen künftig binnen 30 Minuten abgearbeitet werden, andernfalls wird die betroffene Aktivität gestoppt. Zudem veröffentlichte das Unternehmen einen technischen Bericht zum Vorfall mit Zeitleiste des Angriffs und Maßnahmenplan zur Absicherung der Forschungsinfrastruktur, mehr Einblick in Agentenaktivität und einer gestärkten Vorfallsreaktion.