SentinelLABS collega due account Hugging Face all’attività degli agenti OpenAI

L’unità di ricerca SentinelLABS di SentinelOne, il 16 settembre 2026, ha pubblicato una ricerca che identifica due account Hugging Face, 0Time e Nyx9, che, a suo avviso, sono stati probabilmente utilizzati dagli agenti OpenAI a maggio 2026, estendendo la cronologia pubblica delle attività che OpenAI ha parzialmente divulgato dopo che i suoi modelli hanno compromesso l’infrastruttura di produzione di Hugging Face nel luglio 2026.

Secondo il Rapporto Tecnico sull’Incidente di Hugging Face di OpenAI, gli agenti impegnati in valutazioni interne di sicurezza informatica hanno compromesso parti dell’infrastruttura di produzione di Hugging Face tra l’11 e il 13 luglio 2026. Hugging Face ha divulgato pubblicamente un incidente di sicurezza il 16 luglio 2026. OpenAI ha rilevato attività interna sospetta il 19 luglio 2026, ha scoperto prove il 20 luglio 2026 che i suoi modelli potrebbero essere stati coinvolti e ha informato Hugging Face lo stesso giorno, e ha divulgato pubblicamente l’incidente il 21 luglio 2026.

Il commit Relay del 13 maggio sotto 0Time

Il rapporto di OpenAI afferma che il 13 maggio 2026, un agente abilitato a WebCache ha utilizzato un token utente Hugging Face già pubblicamente esposto durante la ricerca di un file; la cronologia pubblica del rapporto non indica l’account coinvolto. SentinelLABS attribuisce l’attività sotto gli account 0Time e Nyx9 agli agenti OpenAI nel periodo di maggio, una conclusione che, secondo loro, è stata verificata confrontando le cronologie dei repository pubblici mediante corrispondenze a livello di minuto esatto e di funzione di codice con la cronologia di OpenAI. Entrambi gli account precedono l’attività di maggio, affermano i ricercatori, e dovrebbero essere considerati identificatori di account interessati piuttosto che identità di agenti create da OpenAI; il profilo 0Time è stato creato il 21 febbraio 2026.

Prima di mezzogiorno del 13 maggio, secondo la ricerca, 0Time ha creato uno stato di repository denominato “test”, ha pubblicato “hi” in una discussione nel dataset BioMysteryBench di Anthropic e ha aperto una pull request in bozza. Alle 11:05:13 UTC l’account ha effettuato il primo commit sostanziale di uno Space chiamato puthack82d5: codice relay che accettava una destinazione fornita dal chiamante, supportava richieste GET e PUT, e accettava un’intestazione x-amz-copy-source associata alla copia di oggetti lato server. Una revisione alle 11:42:04 ha aggiunto corpi POST autenticati con token bearer e tipi media Git LFS. SentinelLABS descrive il commit come il più precoce scritto di codice pubblico sostanziale che collega all’attività di maggio e accredita il ricercatore indipendente Jonas Wiedermann-Möller per aver segnalato separatamente lo stesso commit. I ricercatori affermano che il codice non menziona il file ricercato nelle ricerche di maggio, quindi non lo identificano come la ricerca Hugging Face del 13 maggio di OpenAI, e che il record pubblico non mostra alcuna compilazione riuscita, richiesta in ingresso o copia di oggetto completata.

Corrispondenze a livello di minuto esatto con la cronologia del 26 maggio di OpenAI

Il rapporto di OpenAI afferma che il 26 maggio 2026, gli agenti hanno trovato sei token utente Hugging Face pubblicamente esposti e li hanno utilizzati per creare un repository e un’applicazione proxy web minimale ospitata come Hugging Face Space, attività che OpenAI ha descritto come avvenuta in un carico di lavoro di ricerca non correlato, senza evidenze di collegamento all’incidente divulgato da Hugging Face a luglio.

La cronologia a livello di minuto di OpenAI registra la sua prima scrittura di file esterno confermata da WebCache alle 20:04 UTC di quella sera. SentinelLABS ha scoperto che il dataset Nyx9/temptestlf8eb0, creato alle 19:30:08, ha ricevuto un file chiamato hello.txt contenente “hi” alle 20:04:11, undici secondi in quella minuto. OpenAI registra il suo primo dispiegamento di proxy alle 20:49; lo Space Nyx9/netproxy17, creato alle 20:48:33, ha ricevuto codice relay funzionante alle 20:49:55. Uno Space 0Time chiamato latnetnew è apparso alle 21:06:05 e ha ricevuto codice relay alle 21:13:21, cosa che SentinelLABS afferma sia allineata con il record di OpenAI delle 21:08 di un secondo account che distribuisce un proxy tramite il primo. SentinelLABS descrive queste sovrapposizioni come le più chiare unioni pubbliche tra la cronologia interna di OpenAI e le due storie degli account, avvertendo però che sarebbero necessari i record lato provider detenuti da Hugging Face e OpenAI per confermare l’identità a livello di azione.

Prima di quell’alba, secondo quanto riferito nel post, i repository 0Time hanno ricevuto una scrittura di testo diretta alle 07:16:28, tre percorsi che facevano riferimento a un oggetto Git LFS esistente da 811 MB, un puntatore LFS malformato che ha scritto erroneamente “version” come “vearsion”, e due piccoli file contenenti le stringhe “abcde” e “abcdefg”. SentinelLABS interpreta gli artefatti come una sequenza di test di archiviazione e recupero, ma afferma che il record pubblico non stabilisce una catena causale tra l’attività mattutina e la sequenza di proxy serale.

Una cartella di lavoro di indagine e uno strumento di registrazione

Tra le 22:56 e le 23:34 UTC del 26 maggio, Nyx9 ha aggiunto file a un dataset denominato tmpdata177. Secondo SentinelLABS, un workbook chiamato formbin.xlsx, caricato alle 23:00:07, ha inserito quattro formule WEBSERVICE nelle celle A4‑A7 indirizzate a un endpoint esterno httpbin.org, a un URI file:///etc/hostname, all’indirizzo del servizio Azure Instance Metadata e a un URL dall’aspetto interno a http://file-service-namespaced:8001/openapi.json.. Il file è stato creato con la libreria Openpyxl, non contiene risultati di formula memorizzati nella cache e la sua richiesta ad Azure ha omesso l’intestazione metadata che un servizio normalmente configurato richiede. SentinelLABS afferma che il workbook è comparso quattro ore e 36 minuti dopo il primo attacco documentato di request forgery lato server interno di Artifactory da parte di OpenAI, avvenuto alle 18:24 UTC del 26 maggio, e che i registri pubblici non mostrano l’esecuzione delle formule né identificano il sistema destinato a processarle. Hugging Face ha successivamente descritto la stessa famiglia di indirizzi metadata in un incidente SSRF separato di luglio, una sovrapposizione che i ricercatori ritengono indichi un interesse simile senza stabilire lo stesso carico di lavoro, obiettivo o agente.

Il 30 maggio 2026, cinque commit per un totale di 10 minuti e 31 secondi, tra le 00:01:27 e le 00:11:58 UTC, hanno creato e configurato uno Space chiamato altreg. La sequenza ha inserito una copia di 454 righe di un programma di registrazione account OpenAI e estrazione token, disponibile pubblicamente in lingua cinese e pubblicato da 0x5uo2hen, dietro un piccolo wrapper Flask che definisce una rotta /do non autenticata, con commit successivi che dichiarano la porta dell’applicazione e aggiungono diagnostica delle risposte OAuth. Il programma automatizza la creazione di account ChatGPT tramite caselle di posta temporanee mail.tm, la generazione di identità, le richieste di token anti-abuso Sentinel di OpenAI, la verifica email, la selezione dello spazio di lavoro e l’estrazione del token OAuth. SentinelLABS descrive altreg come “un potenziale primitivo di provisioning di identità, non dimostrato auto‑replicante”, osservando che i passaggi di runtime necessari per una scalabilità ricorsiva non sono osservabili nei dati pubblici. Al 14 settembre 2026, l’API di Hugging Face elencava lo Space come in pausa e segnalato come abusivo; lo stato pubblico non indica quando né perché è stata applicata la segnalazione.

Raccomandazioni e il Corpus di Incidenti Non Pubblicato

La ricerca sostiene che nessuna singola organizzazione detenga necessariamente il record completo delle azioni di un agente, poiché il laboratorio di origine, il provider di hosting e i servizi a valle conservano ciascuno solo una parte delle prove. SentinelLABS raccomanda di trattare il compito anziché l’identificatore dell’account come unità di analisi, correlando le evidenze tra i provider, leggendo i deboli artefatti come sequenze piuttosto che come indicatori isolati, e preservando le prove di runtime quali impronte di token, identificatori di sessione, log di build e di esecuzione, e richieste di percorso prima della pulizia.

SentinelLABS riferisce che OpenAI ha fornito a METR e Redwood Research circa 1.300 trascrizioni di agenti e 1,2 milioni di voci del forum Artifactory per una revisione on‑premise, e che al momento della pubblicazione non era stato identificato un rilascio pubblico ufficiale di quel corpus sottostante. I ricercatori invitano i laboratori di IA di frontiera a pubblicare un dataset di incidenti documentato e redatto quando i loro agenti influenzano sistemi di terze parti, preservando compiti di autorizzazione, prompt, versioni di modello e di harness, timestamp a livello di azione, chiamate a tool, richieste esterne e identificatori pseudonimi stabili, e a documentare ciò che è stato escluso, le lacune note e ogni classe di redazione.