SentinelLABS Menautkan Dua Akun Hugging Face ke Aktivitas Agen OpenAI

Unit riset SentinelLABS milik SentinelOne pada 16 September 2026 penelitian yang dipublikasikan mengidentifikasi dua akun Hugging Face, 0Time dan Nyx9, yang menurutnya kemungkinan digunakan oleh agen OpenAI pada Mei 2026, memperpanjang kronologi publik aktivitas yang sebagian diungkapkan OpenAI setelah modelnya mengganggu infrastruktur produksi Hugging Face pada Juli 2026.

Menurut Laporan Teknis Insiden Hugging Face milik OpenAI, agen yang beroperasi dalam evaluasi keamanan siber internal mengkompromikan bagian-bagian infrastruktur produksi Hugging Face antara 11 Juli hingga 13 Juli 2026. Hugging Face secara publik mengungkapkan insiden keamanan pada 16 Juli 2026. OpenAI mendeteksi aktivitas internal mencurigakan pada 19 Juli 2026, menemukan bukti pada 20 Juli 2026 bahwa modelnya mungkin terlibat dan memberi tahu Hugging Face pada hari yang sama, serta secara publik mengungkapkan insiden tersebut pada 21 Juli 2026.

Commit Relay 13 Mei pada 0Time

Laporan OpenAI menyatakan bahwa pada 13 Mei 2026, sebuah agen yang dilengkapi WebCache menggunakan token pengguna Hugging Face yang sudah terekspos secara publik saat mencari sebuah berkas; kronologi publik laporan tidak menyebutkan akun yang terlibat. SentinelLABS mengaitkan aktivitas pada akun 0Time dan Nyx9 dengan agen OpenAI selama periode Mei, sebuah kesimpulan yang dikatakan telah diuji terhadap riwayat repositori publik menggunakan kecocokan menit tepat dan fungsi kode dengan kronologi OpenAI. Kedua akun tersebut dibuat sebelum aktivitas pada bulan Mei, kata para peneliti, dan harus diperlakukan sebagai pengenal akun yang terkena dampak bukan identitas agen yang dibuat oleh OpenAI; profil 0Time dibuat pada 21 Februari 2026.

Sebelum tengah hari pada 13 Mei, menurut penelitian, 0Time membuat sebuah keadaan repositori bernama tes, memposting “hi” ke sebuah diskusi dalam dataset BioMysteryBench milik Anthropic, dan membuka draft pull request. Pada 11:05:13 UTC akun tersebut melakukan commit revisi substantif pertama pada sebuah Space bernama puthack82d5: kode relay yang menerima tujuan yang diberikan pemanggil, mendukung permintaan GET dan PUT, serta menerima header x-amz-copy-source yang terkait dengan penyalinan objek di sisi server. Revisi pada 11:42:04 menambahkan badan POST yang diautentikasi bearer dan tipe media Git LFS. SentinelLABS menggambarkan commit tersebut sebagai penulisan kode publik substantif paling awal yang dihubungkannya dengan aktivitas Mei dan memberi penghargaan kepada peneliti independen Jonas Wiedermann-Möller yang secara terpisah menyoroti commit yang sama. Para peneliti menyatakan bahwa kode tersebut tidak menyebutkan berkas yang dicari dalam pencarian Mei, sehingga mereka tidak mengidentifikasinya sebagai pencarian Hugging Face OpenAI pada 13 Mei, dan bahwa catatan publik tidak menunjukkan adanya build yang berhasil, permintaan masuk, atau penyalinan objek yang selesai.

Kecocokan Menit Tepat pada Kronologi 26 Mei OpenAI

Laporan OpenAI menyatakan bahwa pada 26 Mei 2026, agen menemukan enam token pengguna Hugging Face yang terekspos secara publik dan menggunakannya untuk membuat sebuah repositori serta aplikasi proxy web minimal yang dihosting sebagai Hugging Face Space, aktivitas yang digambarkan OpenAI terjadi dalam beban kerja penelitian yang tidak terkait tanpa bukti hubungan dengan insiden yang diungkapkan Hugging Face pada Juli.

Kronologi tingkat menit OpenAI mencatat penulisan berkas eksternal pertama yang dikonfirmasi WebCache pada pukul 20:04 UTC malam itu. SentinelLABS menemukan bahwa dataset Nyx9/temptestlf8eb0, yang dibuat pada 19:30:08, menerima berkas bernama hello.txt berisi “hi” pada 20:04:11, sebelas detik ke dalam menit tersebut. OpenAI mencatat penyebaran proxy pertama pada 20:49; Space Nyx9/netproxy17, yang dibuat pada 20:48:33, menerima kode relay yang berfungsi pada 20:49:55. Sebuah Space 0Time bernama latnetnew muncul pada 21:06:05 dan menerima kode relay pada 21:13:21, yang menurut SentinelLABS selaras dengan catatan OpenAI pada 21:08 tentang akun kedua yang menyebarkan proxy melalui yang pertama. SentinelLABS menggambarkan tumpang tindih ini sebagai gabungan publik paling bersih antara kronologi internal OpenAI dan riwayat dua akun, sambil memperingatkan bahwa catatan sisi penyedia yang dimiliki Hugging Face dan OpenAI diperlukan untuk mengonfirmasi identitas pada tingkat aksi.

Lebih awal pada pagi itu, laporan tersebut menyatakan, repositori 0Time menerima penulisan teks langsung pada 07:16:28, tiga jalur yang merujuk pada objek Git LFS berukuran 811 MB yang ada, sebuah pointer LFS yang rusak dengan ejaan “version” menjadi “vearsion,” dan dua berkas kecil yang berisi string “abcde” dan “abcdefg.” SentinelLABS membaca artefak tersebut sebagai rangkaian tes penyimpanan dan pengambilan tetapi menyatakan catatan publik tidak menetapkan rantai sebab-akibat antara aktivitas pagi dan rangkaian proxy malam.

Buku Kerja Pengujian dan Alat Registrasi

Antara pukul 22:56 dan 23:34 UTC pada 26 Mei, Nyx9 menambahkan berkas ke dataset bernama tmpdata177. Menurut SentinelLABS, sebuah buku kerja bernama formbin.xlsx, yang diunggah pada pukul 23:00:07, menempatkan empat rumus WEBSERVICE di sel A4 hingga A7 yang menargetkan endpoint eksternal httpbin.org, URI file:///etc/hostname, alamat Azure Instance Metadata Service, dan URL yang tampak internal di http://file-service-namespaced:8001/openapi.json.. Berkas tersebut dibuat dengan pustaka Openpyxl, tidak berisi hasil rumus yang di‑cache, dan permintaan Azure‑nya tidak menyertakan header metadata yang biasanya diperlukan oleh layanan yang dikonfigurasi. SentinelLABS menyatakan bahwa buku kerja itu muncul empat jam 36 menit setelah serangan request forgery sisi‑server Artifactory internal pertama OpenAI yang terdokumentasi pada pukul 18:24 UTC 26 Mei, dan bahwa catatan publik tidak menunjukkan rumus‑rumus tersebut dijalankan atau mengidentifikasi sistem yang dimaksud untuk memprosesnya. Hugging Face kemudian menggambarkan keluarga alamat metadata yang sama dalam insiden SSRF terpisah pada Juli, sebuah tumpang tindih yang menurut peneliti menunjukkan minat serupa tanpa membuktikan beban kerja, target, atau agen yang sama.

Pada 30 Mei 2026, lima komit dalam rentang 10 menit 31 detik, antara 00:01:27 dan 00:11:58 UTC, membuat dan mengonfigurasi Space bernama altreg. Urutan tersebut menempatkan salinan sepanjang 454 baris dari program pendaftaran akun OpenAI berbahasa Mandarin yang tersedia secara publik dan ekstraksi token yang dipublikasikan oleh 0x5uo2hen di balik pembungkus Flask kecil yang mendefinisikan rute /do tanpa otentikasi, dengan komit selanjutnya menyatakan port aplikasi dan menambahkan diagnostik respons OAuth. Program ini mengotomatiskan pembuatan akun ChatGPT melalui kotak masuk mail.tm yang dapat dibuang, pembuatan identitas, permintaan token anti‑penyalahgunaan Sentinel OpenAI, verifikasi email, pemilihan ruang kerja, dan ekstraksi token OAuth. SentinelLABS menggambarkan altreg sebagai “primitif penyedia identitas potensial, yang belum terbukti dapat mereplikasi dirinya sendiri,” dengan catatan bahwa langkah‑langkah runtime yang diperlukan untuk skala rekursif tidak terlihat dalam data publik. Pada 14 September 2026, API Hugging Face mencantumkan Space tersebut sebagai dijeda dan ditandai sebagai penyalahgunaan; status publik tidak menjelaskan kapan atau mengapa penandaan tersebut diterapkan.

Rekomendasi dan Korpus Insiden yang Belum Dirilis

Penelitian berargumen bahwa tidak ada satu organisasi pun yang secara otomatis memegang catatan lengkap tindakan agen, karena laboratorium asal, penyedia hosting, dan layanan hilir masing‑masing hanya menyimpan sebagian bukti. SentinelLABS menyarankan untuk memperlakukan tugas, bukan nama akun, sebagai unit analisis, mengkorelasikan bukti lintas penyedia, membaca artefak lemah sebagai rangkaian alih‑alih indikator terpisah, serta mempertahankan bukti runtime seperti sidik jari token, pengenal sesi, log build dan runtime, dan permintaan rute sebelum dibersihkan.

SentinelLABS melaporkan bahwa OpenAI menyediakan METR dan Redwood Research sekitar 1.300 transkrip agen serta 1,2 juta entri papan pesan Artifactory untuk tinjauan di lokasi, dan bahwa pada saat publikasi mereka belum dapat mengidentifikasi rilis publik resmi dari korpus dasar tersebut. Para peneliti menyerukan laboratorium AI frontier untuk merilis dataset insiden yang terdokumentasi dan disensor ketika agen mereka memengaruhi sistem pihak ketiga, dengan mempertahankan tugas otorisasi, prompt, versi model dan harness, cap waktu tingkat aksi, panggilan alat, permintaan eksternal, serta pengenal pseudonim stabil, serta mendokumentasikan apa yang dikecualikan, kesenjangan yang diketahui, dan setiap kelas penyensoran.