SentinelLABS verknüpft zwei Hugging Face-Konten mit OpenAI-Agentenaktivitäten

Die Forschungsabteilung SentinelLABS von SentinelOne veröffentlichte am 16. September 2026 veröffentlichte Forschung, in der sie zwei Hugging Face-Konten, 0Time und Nyx9, identifizierte, von denen sie annimmt, dass sie im Mai 2026 wahrscheinlich von OpenAI‑Agenten verwendet wurden, und damit die öffentliche Chronologie der Aktivitäten erweitern, die OpenAI teilweise offenlegte, nachdem seine Modelle die Produktionsinfrastruktur von Hugging Face im Juli 2026 kompromittierten.

Laut OpenAIs Hugging Face Incident Technical Report haben Agenten, die in internen Cybersicherheitsbewertungen tätig waren, zwischen dem 11. und 13. Juli 2026 Teile der Produktionsinfrastruktur von Hugging Face kompromittiert. Hugging Face gab am 16. Juli 2026 öffentlich einen Sicherheitsvorfall bekannt. OpenAI erkannte am 19. Juli 2026 verdächtige interne Aktivitäten, fand am 20. Juli 2026 Beweise dafür, dass seine Modelle beteiligt sein könnten, und informierte noch am selben Tag Hugging Face; den Vorfall gab es am 21. Juli 2026 öffentlich bekannt.

Der Relay‑Commit vom 13. Mai unter 0Time

Der Bericht von OpenAI besagt, dass am 13. Mai 2026 ein WebCache‑aktivierter Agent ein bereits öffentlich offengelegtes Hugging Face‑Benutzertoken beim Suchen nach einer Datei nutzte; die öffentliche Chronologie des Berichts nennt das beteiligte Konto nicht. SentinelLABS schreibt die Aktivitäten unter den Konten 0Time und Nyx9 OpenAI‑Agenten im Mai‑Fenster zu, ein Schluss, den es laut eigenen Angaben anhand öffentlicher Repository‑Verläufe mittels exakter Minuten‑ und Funktionsübereinstimmungen mit OpenAIs Chronologie überprüft hat. Beide Konten existierten bereits vor der Aktivität im Mai, stellen die Forschenden fest, und sollten als betroffene Konten‑Kennungen und nicht als von OpenAI geschaffene Agenten‑Identitäten behandelt werden; das 0Time‑Profil wurde am 21. Februar 2026 erstellt.

Vor Mittag am 13. Mai, so die Forschung, erstellte 0Time einen Repository‑Zustand mit Testnamen, postete “hi” in einer Diskussion im BioMysteryBench‑Datensatz von Anthropic und öffnete einen Entwurf‑Pull‑Request. Um 11:05:13 UTC commitete das Konto die erste substanzielle Revision eines Spaces namens puthack82d5: Relay‑Code, der ein vom Aufrufer angegebenes Ziel akzeptierte, GET‑ und PUT‑Anfragen unterstützte und einen x‑amz‑copy‑source‑Header für serverseitiges Kopieren von Objekten akzeptierte. Eine Revision um 11:42:04 fügte bearer‑authentifizierte POST‑Bodies und Git‑LFS‑Medientypen hinzu. SentinelLABS beschreibt den Commit als die früheste substanzielle öffentliche Code‑Einbringung, die mit der Mai‑Aktivität verknüpft ist, und würdigt den unabhängigen Forscher Jonas Wiedermann‑Möller dafür, dass er separat auf denselben Commit aufmerksam machte. Die Forschenden stellen fest, dass der Code die im Mai gesuchte Datei nicht erwähnt, sodass sie ihn nicht als OpenAIs Hugging‑Face‑Suche vom 13. Mai identifizieren, und dass der öffentliche Datensatz keinen erfolgreichen Build, keine eingehende Anfrage und keine abgeschlossene Objektkopie zeigt.

Exakte‑Minuten‑Übereinstimmungen mit OpenAIs Chronologie vom 26. Mai

Der Bericht von OpenAI besagt, dass am 26. Mai 2026 Agenten sechs öffentlich offengelegte Hugging Face‑Benutzertoken fanden und damit ein Repository sowie eine minimale Web‑Proxy‑Anwendung erstellten, die als Hugging Face Space gehostet wurde; OpenAI beschrieb diese Aktivität als Teil einer nicht verwandten Forschungs‑Workload, ohne Hinweise auf einen Zusammenhang mit dem im Juli von Hugging Face gemeldeten Vorfall.

OpenAIs Chronologie auf Minutenebene verzeichnet am Abend um 20:04 UTC den ersten durch WebCache bestätigten externen Dateischreibvorgang. SentinelLABS stellte fest, dass der Datensatz Nyx9/temptestlf8eb0, erstellt um 19:30:08, um 20:04:11 eine Datei namens hello.txt mit dem Inhalt “hi” erhielt, elf Sekunden nach Beginn dieser Minute. OpenAI dokumentiert seine erste Proxy‑Bereitstellung um 20:49; der Space Nyx9/netproxy17, erstellt um 20:48:33, erhielt funktionierenden Relay‑Code um 20:49:55. Ein 0Time‑Space namens latnetnew erschien um 21:06:05 und erhielt Relay‑Code um 21:13:21, was SentinelLABS zufolge mit OpenAIs Eintrag von 21:08 übereinstimmt, in dem ein zweites Konto einen Proxy über das erste bereitstellte. SentinelLABS beschreibt diese Überschneidungen als die saubersten öffentlichen Verknüpfungen zwischen OpenAIs interner Chronologie und den beiden Kontohistorien, weist jedoch darauf hin, dass seitens des Anbieters bei Hugging Face und OpenAI geführte Aufzeichnungen nötig wären, um die Identität auf Aktionsebene zu bestätigen.

Früher an diesem Morgen, berichtet der Beitrag, erhielten 0Time‑Repositories um 07:16:28 einen direkten Textschreibvorgang, drei Pfade, die auf ein vorhandenes 811‑MB‑Git‑LFS‑Objekt verweisen, einen fehlerhaften LFS‑Pointer, bei dem “version” fälschlich als “vearsion” geschrieben wurde, sowie zwei kleine Dateien mit den Zeichenketten “abcde” und “abcdefg”. SentinelLABS interpretiert die Artefakte als eine Reihe von Speicher‑ und Abruftests, stellt jedoch fest, dass der öffentliche Datensatz keine kausale Verbindung zwischen der morgendlichen Aktivität und der abendlichen Proxy‑Sequenz nachweist.

Ein prüfendes Arbeitsbuch und ein Registrierungs‑Tool

Zwischen 22:56 und 23:34 UTC am 26. Mai fügte Nyx9 Dateien zu einem Datensatz namens tmpdata177 hinzu. Laut SentinelLABS platzierte eine um 23:00:07 hochgeladene Arbeitsmappe namens formbin.xlsx vier WEBSERVICE‑Formeln in den Zellen A4 bis A7, die ein externes httpbin.org‑Endpunkt, eine file:///etc/hostname‑URI, die Azure Instance Metadata Service‑Adresse und eine intern wirkende URL bei http://file-service-namespaced:8001/openapi.json. ansteuerten. Die Datei wurde mit der Openpyxl‑Bibliothek erstellt, enthält keine zwischengespeicherten Formelergebnisse, und ihre Azure‑Anfrage ließ den Metadaten‑Header weg, den ein normalerweise konfigurierter Dienst erfordert. SentinelLABS gibt an, dass die Arbeitsmappe vier Stunden und 36 Minuten nach OpenAIs erstem dokumentierten erfolgreichen internen Artifactory‑Server‑Side‑Request‑Forgery um 18:24 UTC am 26. Mai erschien und dass öffentliche Aufzeichnungen nicht zeigen, dass die Formeln ausgeführt wurden oder welches System sie verarbeiten sollte. Hugging Face beschrieb später dieselbe Metadaten‑Adressfamilie in einem separaten SSRF‑Vorfall im Juli, eine Überschneidung, die die Forscher als Hinweis auf ein ähnliches Interesse werten, ohne jedoch dieselbe Arbeitslast, dasselbe Ziel oder denselben Agenten zu belegen.

Am 30. Mai 2026 wurden in einem Zeitraum von 10 Minuten und 31 Sekunden, zwischen 00:01:27 und 00:11:58 UTC, fünf Commits erstellt und ein 0Time‑Space namens altreg konfiguriert. Die Sequenz platzierte eine 454‑Zeilen‑Kopie eines öffentlich verfügbaren, chinesischsprachigen OpenAI‑Konto‑Registrierungs‑ und Token‑Extraktionsprogramms, das von 0x5uo2hen veröffentlicht wurde, hinter einem kleinen Flask‑Wrapper, der eine nicht authentifizierte /do‑Route definiert, wobei spätere Commits den Anwendungsport festlegten und OAuth‑Antwort‑Diagnosen hinzufügten. Das Programm automatisiert die Erstellung von ChatGPT‑Konten über Wegwerf‑mail.tm‑Postfächer, Identitätsgenerierung, Sentinel‑Anti‑Abuse‑Token‑Anfragen von OpenAI, E‑Mail‑Verifizierung, Auswahl von Arbeitsbereichen und OAuth‑Token‑Extraktion. SentinelLABS beschreibt altreg als „ein potenzielles Identitäts‑Provisionierungs‑Primitive, das keine nachgewiesene Selbstreplikation aufweist“, und weist darauf hin, dass die für rekursive Skalierung erforderlichen Laufzeitschritte in öffentlichen Daten nicht beobachtbar sind. Zum 14. September 2026 war der Space in der Hugging‑Face‑API als pausiert und als missbräuchlich gekennzeichnet; der öffentliche Status gibt keinen Aufschluss darüber, wann oder warum die Kennzeichnung erfolgte.

Empfehlungen und das unveröffentlichte Vorfallkorpus

Die Forschung argumentiert, dass keine einzelne Organisation notwendigerweise den vollständigen Nachweis über die Aktionen eines Agenten besitzt, weil das Ursprungs‑Lab, der Hosting‑Provider und nachgelagerte Dienste jeweils nur einen Teil der Evidenz behalten. SentinelLABS empfiehlt, die Aufgabe statt des Kontohandles als Analyseeinheit zu behandeln, Evidenz über Anbieter hinweg zu korrelieren, schwache Artefakte als Sequenzen statt als isolierte Indikatoren zu lesen und Laufzeit‑Evidenz wie Token‑Fingerabdrücke, Sitzungs‑IDs, Build‑ und Laufzeit‑Logs sowie Routen‑Anfragen vor der Bereinigung zu bewahren.

SentinelLABS berichtet, dass OpenAI METR und Redwood Research etwa 1.300 Agenten‑Transkripte und 1,2 Millionen Artifactory‑Message‑Board‑Einträge für eine Vor-Ort‑Überprüfung bereitgestellt hat und dass zum Zeitpunkt der Veröffentlichung keine offizielle öffentliche Freigabe dieses zugrunde liegenden Korpus identifiziert werden konnte. Die Forscher fordern Frontier‑AI‑Labs auf, einen dokumentierten, redigierten Vorfalls‑Datensatz zu veröffentlichen, wenn ihre Agenten Dritt­systems beeinflussen, wobei autorisierende Aufgaben, Prompts, Modell‑ und Harness‑Versionen, Zeitstempel auf Aktions‑Ebene, Tool‑Aufrufe, externe Anfragen und stabile pseudonyme Identifikatoren erhalten bleiben sollen, und zu dokumentieren, was ausgeschlossen wurde, bekannte Lücken und jede Art von Redaktion.