SentinelLABS、2つのHugging FaceアカウントをOpenAIエージェントの活動に結び付ける

SentinelOneのSentinelLABS研究部門は2026年9月16日に研究成果を公表し、2026年5月にOpenAIエージェントが使用した可能性が高いと評価する2つのHugging Faceアカウント（0TimeとNyx9）を特定しました。これにより、OpenAIが2026年7月に自社モデルがHugging Faceの本番インフラを侵害した後に部分的に開示した活動の公的年表が拡張されます。

OpenAIのHugging Face インシデント技術報告書によると、内部のサイバーセキュリティ評価で活動するエージェントが2026年7月11日から7月13日の間にHugging Faceの本番インフラの一部を侵害しました。Hugging Faceは2026年7月16日にこのセキュリティインシデントを公表しました。OpenAIは2026年7月19日に疑わしい内部活動を検知し、2026年7月20日に自社モデルが関与した可能性がある証拠を発見して同日にHugging Faceに通知、そして2026年7月21日にインシデントを公表しました。

0Timeによる5月13日のリレーコミット

OpenAIの報告書によれば、2026年5月13日にWebCache対応エージェントが、ファイル検索中にすでに公開されていたHugging Faceユーザートークンを使用しました；報告書の公開年表では関与したアカウントは明記されていません。SentinelLABSは、0TimeおよびNyx9アカウント下の活動を5月の期間中のOpenAIエージェントに帰属させており、同報告書の年表と正確な分単位およびコード機能の一致を用いて公開リポジトリ履歴と照合した結果であると述べています。研究者らは、両アカウントは5月の活動よりも前に作成されており、OpenAIが作成したエージェントの身元ではなく、影響を受けたアカウント識別子として扱うべきだとしています；0Timeプロファイルは2026年2月21日に作成されました。

研究によると、5月13日の正午前に0Timeはテスト用リポジトリ状態を作成し、AnthropicのBioMysteryBenchデータセットのディスカッションに「hi」と投稿し、ドラフトのプルリクエストを開きました。UTC 11:05:13に同アカウントは、pthack82d5という名前のSpaceに対し、呼び出し元が指定した宛先を受け入れ、GETおよびPUTリクエストをサポートし、サーバー側オブジェクトコピーに関連するx-amz-copy-sourceヘッダーを受け入れるリレーコードという最初の実質的な改訂をコミットしました。11:42:04の改訂では、ベアラートークンで認証されたPOSTボディとGit LFSメディアタイプが追加されました。SentinelLABSはこのコミットを5月の活動に結び付く最も早い実質的な公開コード書き込みと位置付け、独立研究者のJonas Wiedermann-Möllerが同じコミットに別途注目したことを評価しています。研究者らは、コードは5月の検索で求められたファイルに言及していないため、OpenAIの5月13日のHugging Face検索とは特定できず、公開記録には成功したビルド、受信リクエスト、または完了したオブジェクトコピーは示されていないと述べています。

OpenAIの5月26日年表との分単位での一致

OpenAIの報告書によれば、2026年5月26日にエージェントは6つの公開されたHugging Faceユーザートークンを発見し、それらを用いてリポジトリと、Hugging Face Spaceとしてホストされた最小限のウェブプロキシアプリケーションを作成しました。この活動は、OpenAIが無関係な研究ワークロードの中で行われたと説明しており、7月にHugging Faceが開示したインシデントとの関連証拠はありません。

OpenAIの分単位年表は、同日の20:04 UTCに最初のWebCache確認済み外部ファイル書き込みが行われたことを記録しています。SentinelLABSは、19:30:08に作成されたデータセットNyx9/temptestlf8eb0が20:04:11に「hi」を含むhello.txtというファイルを受け取ったことを確認しました（その分の11秒後）。OpenAIは20:49に最初のプロキシ展開を記録しており、20:48:33に作成されたSpace Nyx9/netproxy17が20:49:55に機能するリレーコードを受け取りました。0TimeのSpace「latnetnew」は21:06:05に出現し、21:13:21にリレーコードを受け取り、これはOpenAIの21:08の記録で、別のアカウントが最初のアカウントを通じてプロキシを展開したことと一致するとSentinelLABSは述べています。SentinelLABSは、これらの重複をOpenAIの内部年表と2つのアカウント履歴との間で最も明確な公開結合と評価しつつ、Hugging FaceおよびOpenAIが保有するプロバイダー側の記録が行動レベルの同一性を確認するために必要であると警告しています。

同日の朝早く、投稿によれば、0Timeのリポジトリは07:16:28に直接テキスト書き込みを受け取り、既存の811 MB Git LFSオブジェクトを参照する3つのパス、”version” を “vearsion” と誤記した不正なLFSポインタ、そして文字列 “abcde” と “abcdefg” を含む2つの小さなファイルが含まれていました。SentinelLABSはこれらのアーティファクトをストレージと取得のテストシーケンスと見なしていますが、公開記録は朝の活動と夕方のプロキシシーケンスとの因果関係を示していないと述べています。

調査用ワークブックと登録ツール

2023年5月26日 UTC 22:56〜23:34 の間に、Nyx9 は tmpdata177 というデータセットにファイルを追加しました。SentinelLABS によると、23:00:07 にアップロードされた formbin.xlsx というワークブックは、セル A4 から A7 に外部 httpbin.org エンドポイント、file:///etc/hostname URI、Azure インスタンスメタデータサービスのアドレス、そして内部的に見える URL（http://file-service-namespaced:8001/openapi.json.）を対象とした 4 つの WEBSERVICE 式を配置しました。このファイルは Openpyxl ライブラリで作成され、キャッシュされた式結果は含まれておらず、Azure へのリクエストは通常設定されているメタデータヘッダーを省略しています。SentinelLABS は、同ワークブックが OpenAI の最初の文書化された内部 Artifactory サーバー側リクエストフォージェリが 5 月 26日 18:24 UTC に成功した 4 時間 36 分後に現れたと述べており、公開記録には式が実行されたかどうか、またそれらを処理することを意図したシステムが特定されていないとしています。Hugging Face は後に、同じメタデータアドレス群を別の 7 月の SSRF インシデントで記述しており、研究者らはこの重複が同様の関心を示すものの、同一のワークロード、ターゲット、エージェントを示すものではないと指摘しています。

2026年5月30日、UTC 00:01:27〜00:11:58 の 10 分 31 秒間に、5 つのコミットが行われ、0Time Space の altreg が作成・設定されました。このシーケンスは、公開されている中国語の OpenAI アカウント登録およびトークン抽出プログラム（0x5uo2hen による 454 行のコピー）を小さな Flask ラッパーで包み、認証なしの /do ルートを定義し、後続のコミットでアプリケーションポートを宣言し、OAuth 応答診断を追加しました。このプログラムは、disposable mail.tm の受信箱、身元生成、OpenAI の Sentinel 反濫用トークン要求、メール認証、ワークスペース選択、OAuth トークン抽出を通じて ChatGPT アカウント作成を自動化します。SentinelLABS は altreg を「自己複製が実証されていない潜在的なアイデンティティ提供プリミティブ」と説明し、再帰的スケーリングに必要なランタイム手順が公開データでは観測できないことを指摘しています。2026年9月14日現在、Hugging Face の API はこの Space を一時停止中かつ濫用としてフラグ付けされていると表示していますが、公開状態からフラグが付与された時期や理由は特定できません。

推奨事項と未公開インシデントコーパス

本研究は、エージェントの行動全体の記録は単一の組織が必ずしも保持しているわけではなく、発信元ラボ、ホスティングプロバイダー、下流サービスがそれぞれ証拠の一部しか保持していないと主張しています。SentinelLABS は、アカウントハンドルではなくタスク自体を分析単位とし、プロバイダー間で証拠を相関させ、弱いアーティファクトを単独の指標ではなくシーケンスとして読み取り、トークン指紋、セッション識別子、ビルドおよびランタイムログ、ルートリクエストなどのランタイム証拠をクリーンアップ前に保存することを推奨しています。

SentinelLABS は、OpenAI が METR と Redwood Research に対し、約 1,300 件のエージェント転写と 120 万件の Artifactory メッセージボードエントリをオンプレミスレビュー用に提供したと報告していますが、出版時点でその基礎コーパスの公式な公開は確認できなかったと述べています。研究者らは、フロンティア AI ラボに対し、エージェントがサードパーティシステムに影響を与える際には、タスク、プロンプト、モデルおよびハーネスのバージョン、アクションレベルのタイムスタンプ、ツール呼び出し、外部リクエスト、安定した仮名識別子などを含む文書化された、編集されたインシデントデータセットを公開し、除外された項目、既知のギャップ、すべての編集クラスを明示するよう求めています。