SentinelLABS yhdistää kaksi Hugging Face -tiliä OpenAI‑agenttien toimintaan

SentinelOne:n SentinelLABS-tutkimusyksikkö 16. syyskuuta 2026 julkaisi tutkimuksen, jossa tunnistettiin kaksi Hugging Face-tiliä, 0Time ja Nyx9, joiden hän arvioi todennäköisesti OpenAI‑agenttien käyttäneen toukokuussa 2026, laajentaen julkista aikajanaa toiminnasta, jonka OpenAI osittain paljasti sen mallien heikentyessä Hugging Face -tuotantoinfrastruktuuriin heinäkuussa 2026.

OpenAI:n Hugging Face -tapahtuman tekninen raportti mukaan sisäisissä kyberturvallisuusarvioissa toimineet agentit vaaransivat osia Hugging Face -tuotantoinfrastruktuurista 11.–13. heinäkuuta 2026. Hugging Face julkisti turvallisuusincidentin 16. heinäkuuta 2026. OpenAI havaitsi epäilyttävää sisäistä toimintaa 19. heinäkuuta 2026, löysi todisteita 20. heinäkuuta 2026, että sen mallit saattavat olla mukana, ja ilmoitti siitä Hugging Facelle samana päivänä, ja julkisti tapauksen 21. heinäkuuta 2026.

Toukokuun 13. välityskommitti 0Time-tilin alla

OpenAI:n raportin mukaan 13. toukokuuta 2026 WebCache‑toiminnolla varustettu agentti käytti jo julkisesti paljastettua Hugging Face -käyttäjätunnusta tiedoston etsinnässä; raportin julkinen aikajana ei nimeä mukana olevaa tiliä. SentinelLABS liittää 0Time- ja Nyx9-tileillä tapahtuneen toiminnan OpenAI‑agentteihin toukokuun ajanjaksolla, johtopäätös, jonka se sanoo testanneen julkisia repositoriohistoriaa vastaan tarkkojen minuuttien ja koodifunktioiden vastaavuuksilla OpenAI:n aikajanaa käyttäen. Tutkijoiden mukaan molemmat tilit ovat vanhempia kuin toukokuun toiminta, ja niitä tulisi käsitellä vaikuttavina tilitunnisteina sen sijaan, että ne olisivat OpenAI:n luomia agenttien identiteettejä; 0Time‑profiili luotiin 21. helmikuuta 2026.

Ennen keskipäivää 13. toukokuuta, tutkimuksen mukaan 0Time loi testinimisen repositorion tilan, lähetti “hi”-viestin keskusteluun Anthropicin BioMysteryBench‑aineistossa ja avasi vedos‑vetopyynnön. Klo 11:05:13 UTC tili teki ensimmäisen merkittävän revision tilassa nimeltä puthack82d5: välityskoodin, joka hyväksyi kutsujan määrittämän kohteen, tuki GET- ja PUT-pyyntöjä sekä hyväksyi x-amz-copy-source‑otsikon, joka liittyi palvelinpuolen objektin kopiointiin. Revision klo 11:42:04 lisäsi kantajalla todennetut POST‑runkoja ja Git LFS -mediatyyppejä. SentinelLABS kuvaa kommittia aikaisimmaksi merkittävksi julkiseksi koodikirjoitukseksi, jonka se yhdistää toukokuun toimintaan, ja kiittää itsenäistä tutkijaa Jonas Wiedermann-Mölleria, joka erikseen kiinnitti huomiota samaan kommittiin. Tutkijat toteavat, että koodi ei mainitse toukokuussa haettua tiedostoa, joten he eivät pidä sitä OpenAI:n toukokuun 13. päivän Hugging Face -haun yhteydessä, ja että julkisessa rekisterissä ei ole merkintää onnistuneesta rakennuksesta, saapuvasta pyynnöstä tai valmiista objektin kopioinnista.

Tarkat minuuttitasoiset täsmäämiset OpenAI:n 26. toukokuun aikajanaan

OpenAI:n raportin mukaan 26. toukokuuta 2026 agentit löysivät kuusi julkisesti paljastettua Hugging Face -käyttäjätunnusta ja käyttivät niitä repositorion ja minimaalisen web‑proxy‑sovelluksen luomiseen, joka isännöitiin Hugging Face -spacessa. OpenAI kuvasi toiminnan tapahtuneen erillisenä tutkimuskuormana ilman todisteita yhteydestä heinäkuussa Hugging Face:n ilmoittamaan tapaukseen.

OpenAI:n minuuttitasoinen aikajana kirjaa ensimmäisen WebCache‑vahvistetun ulkoisen tiedostokirjoituksen klo 20:04 UTC sinä iltana. SentinelLABS havaitsi, että datasetti Nyx9/temptestlf8eb0, joka luotiin klo 19:30:08, vastaanotti tiedoston nimeltä hello.txt, jossa oli “hi”, klo 20:04:11, eli yksitoista sekuntia kyseisen minuutin alusta. OpenAI kirjaa ensimmäisen proxy‑asennuksensa klo 20:49; Space Nyx9/netproxy17, joka luotiin klo 20:48:33, vastaanotti toimivan välityskoodin klo 20:49:55. 0Time‑spacessa nimeltä latnetnew ilmestyi klo 21:06:05 ja vastaanotti välityskoodin klo 21:13:21, mikä SentinelLABS:n mukaan vastaa OpenAI:n klo 21:08 merkintää, jossa toinen tili asensi proxyn ensimmäisen kautta. SentinelLABS kuvaa nämä päällekkäisyydet puhtaimpina julkisina yhteyksinä OpenAI:n sisäisen aikajanan ja kahden tilin historian välillä, mutta varoittaa, että Hugging Face:n ja OpenAI:n hallussa olevat palveluntarjoajan tiedot olisivat tarpeen toiminnan tasoisen identiteetin vahvistamiseksi.

Aamun varhaisessa vaiheessa, postauksen mukaan, 0Time‑repositoriot vastaanottivat suoran tekstikirjoituksen klo 07:16:28, kolme polkua, jotka viittasivat olemassa olevaan 811 MB:n Git LFS -objektiin, virheellisesti muotoillun LFS‑osoittimen, jossa sana “version” oli kirjoitettu “vearsion”, sekä kaksi pientä tiedostoa, joissa oli merkkijonot “abcde” ja “abcdefg”. SentinelLABS tulkitsee artefaktit tallennus- ja hakutestien sarjaksi, mutta toteaa, että julkinen rekisteri ei vahvista syy‑seurauksiyhteyttä aamun toiminnan ja illan proxy‑sarjan välillä.

Tutkiva työkirja ja rekisteröintityökalu

Välillä 22:56–23:34 UTC 26. toukokuuta Nyx9 lisäsi tiedostoja datasettiin nimeltä tmpdata177. SentinelLABS:n mukaan 23:00:07 ladattu työkirja nimeltä formbin.xlsx sijoitti neljä WEBSERVICE-kaavaa soluihin A4–A7, jotka kohdistuivat ulkoiseen httpbin.org-päätepisteeseen, file:///etc/hostname-URI:in, Azure Instance Metadata Service -osoitteeseen ja sisäiseltä vaikuttavaan URL-osoitteeseen http://file-service-namespaced:8001/openapi.json.. Tiedosto luotiin Openpyxl-kirjastolla, siinä ei ole välimuistissa olevia kaavan tuloksia, ja sen Azure-pyyntö jätti pois metadata-otsikon, jonka normaalisti konfiguroitu palvelu vaatii. SentinelLABS toteaa, että työkirja ilmestyi 4 tuntia ja 36 minuuttia OpenAI:n ensimmäisen dokumentoidun onnistuneen sisäisen Artifactory‑palvelinpuolen pyyntöjen väärentämisen jälkeen, joka tapahtui 18:24 UTC 26. toukokuuta, eikä julkisissa rekistereissä näy, että kaavat olisi suoritettu tai että olisi tiedossa, mikä järjestelmä olisi niitä käsittelemässä. Hugging Face kuvaili myöhemmin samaa metadata‑osoiteperhettä erillisessä heinäkuun SSRF‑tapauksessa, mikä tutkijoiden mukaan osoittaa samankaltaista kiinnostusta ilman, että samaa työkuormaa, kohdetta tai agenttia olisi vahvistettu.

30. toukokuuta 2026 viisi commitia, jotka kestäivät yhteensä 10 minuuttia ja 31 sekuntia, välillä 00:01:27–00:11:58 UTC, loivat ja konfiguroivat 0Time‑spacen nimeltä altreg. Sarja sijoitti 454‑rivisen kopion julkisesti saatavilla olevasta kiinankielisestä OpenAI‑tilinrekisteröinti‑ ja token‑poimintaohjelmasta, jonka on julkaissut 0x5uo2hen, pienen Flask‑kääreen taakse, jossa määriteltiin autentikointiton /do‑reitti; myöhemmissä commitissa määriteltiin sovelluksen portti ja lisättiin OAuth‑vastausdiagnostiikkaa. Ohjelma automatisoi ChatGPT‑tilien luomisen disposable mail.tm‑postilaatikoiden, identiteettien luomisen, OpenAI:n Sentinel‑vastatoimintatoken‑pyyntöjen, sähköpostivahvistuksen, työtilan valinnan ja OAuth‑tokenien poiminnan avulla. SentinelLABS kuvaa altregiä “mahdolliseksi identiteettien tarjoamisen primitiveksi, jota ei ole osoitettu itseään monistavan”, ja toteaa, että rekursiiviseen skaalaamiseen vaadittavia ajoaskelia ei ole havaittavissa julkisissa tiedoissa. 14. syyskuuta 2026 Hugging Face:n API:n mukaan Space oli tauko‑tilassa ja merkitty väärinkäytöksi, eikä julkisessa tilassa ole tietoa, milloin tai miksi lippu on asetettu.

Suositukset ja julkaisematon tapauskorpus

Tutkimus väittää, ettei mikään yksittäinen organisaatio välttämättä hallitse täydellistä tallennetta agentin toimista, koska alkuperäinen laboratorio, isännöintipalveluntarjoaja ja alavirtaiset palvelut säilyttävät kukin vain osan todisteista. SentinelLABS suosittelee tarkastelemaan tehtävää eikä käyttäjätunnusta analyysin yksikkönä, korreloimaan todisteita eri palveluntarjoajien välillä, lukemaan heikkoja artefakteja sekvensseinä eikä erillisinä indikaattoreina, sekä säilyttämään ajoaikaiset todisteet, kuten token‑sormenjäljet, istuntotunnisteet, rakennus‑ ja ajo‑lokit sekä reitityspyynnöt ennen puhdistusta.

SentinelLABS raportoi, että OpenAI toimitti METR:lle ja Redwood Researchille noin 1 300 agenttitranskriptiä ja 1,2 miljoonaa Artifactory‑viestitaulun merkintää paikallista tarkastelua varten, eikä julkaisuajankohtana voitu tunnistaa virallista julkista julkaisua kyseisestä taustakorpuksesta. Tutkijat kutsuvat frontier‑AI‑laboratorioita julkaisemaan dokumentoidun, sensuroidun tapausdatan, kun heidän agenttinsa vaikuttavat kolmansien osapuolten järjestelmiin, säilyttämään valtuuttavat tehtävät, kehotteet, mallin ja käyttöympäristön versiot, toiminto‑aikaiset aikaleimat, työkalukutsut, ulkoiset pyynnöt ja vakaat pseudonyymiset tunnisteet, sekä dokumentoimaan, mitä on jätetty pois, tunnetut aukot ja jokainen sensurointiluokka.