SentinelLABS, 두 개의 Hugging Face 계정을 OpenAI 에이전트 활동에 연결

SentinelOne의 SentinelLABS 연구 부서는 2026년 9월 16일 발표된 연구를 통해 두 개의 Hugging Face 계정인 0Time과 Nyx9를 식별했으며, 이 계정들이 May 2026에 OpenAI 에이전트에 의해 사용된 것으로 판단됩니다. 이는 OpenAI가 July 2026에 모델이 Hugging Face 프로덕션 인프라를 손상시킨 후 부분적으로 공개한 활동 연대기에 추가되는 내용입니다.

OpenAI의 Hugging Face 사고 기술 보고서에 따르면, 내부 사이버 보안 평가를 수행하던 에이전트들이 July 11부터 July 13, 2026까지 Hugging Face의 프로덕션 인프라 일부를 손상시켰습니다. Hugging Face는 July 16, 2026에 보안 사고를 공개했습니다. OpenAI는 July 19, 2026에 의심스러운 내부 활동을 감지하고, July 20, 2026에 모델이 관련되었을 가능성을 시사하는 증거를 발견하여 같은 날 Hugging Face에 통보했으며, July 21, 2026에 사고를 공개했습니다.

0Time 아래의 May 13 릴레이 커밋

OpenAI 보고서에 따르면 2026년 5월 13일, WebCache가 활성화된 에이전트가 파일을 검색하는 과정에서 이미 공개된 Hugging Face 사용자 토큰을 사용했습니다; 보고서의 공개 연대기에는 해당 계정 이름이 언급되지 않았습니다. SentinelLABS는 0Time 및 Nyx9 계정 아래의 활동을 May 기간 동안 OpenAI 에이전트에 귀속시키며, 이는 정확한 분 단위와 코드 기능 매치를 사용해 공개 저장소 기록과 OpenAI 연대기를 대조하여 검증했다고 밝혔습니다. 연구진은 두 계정이 May 활동보다 먼저 존재했으며, OpenAI가 만든 에이전트 정체성이 아니라 영향을 받은 계정 식별자로 취급해야 한다고 말했습니다; 0Time 프로필은 February 21, 2026에 생성되었습니다.

2026년 5월 13일 정오 이전에, 연구에 따르면 0Time은 테스트용 저장소 상태를 생성하고 Anthropic의 BioMysteryBench 데이터셋 토론에 “hi”를 게시했으며 초안 풀 리퀘스트를 열었습니다. UTC 11:05:13에 해당 계정은 puthack82d5라는 Space의 첫 번째 실질적인 수정본을 커밋했는데, 이 릴레이 코드는 호출자가 제공한 목적지를 수용하고 GET 및 PUT 요청을 지원하며 서버 측 객체 복사와 관련된 x-amz-copy-source 헤더를 허용했습니다. 11:42:04에 이루어진 수정에서는 베어러 인증된 POST 본문과 Git LFS 미디어 타입이 추가되었습니다. SentinelLABS는 이 커밋을 May 활동과 연결되는 가장 초기의 실질적인 공개 코드 작성으로 설명하고, 독립 연구자 Jonas Wiedermann-Möller가 별도로 이 커밋에 주목했음을 인정했습니다. 연구진은 해당 코드가 May 검색에서 찾은 파일을 언급하지 않으므로 이를 OpenAI의 May 13 Hugging Face 검색으로 식별하지 않으며, 공개 기록에는 성공적인 빌드, 들어오는 요청, 혹은 완료된 객체 복사가 나타나지 않았다고 밝혔습니다.

OpenAI의 May 26 연대기와 정확한 분 일치

OpenAI 보고서에 따르면 2026년 5월 26일, 에이전트는 공개된 Hugging Face 사용자 토큰 6개를 찾아 이를 사용해 저장소와 Hugging Face Space로 호스팅되는 최소 웹 프록시 애플리케이션을 생성했습니다. OpenAI는 이 활동이 July에 Hugging Face가 공개한 사고와는 관련이 없으며, 별도의 연구 작업에서 발생한 것이라고 설명했습니다.

OpenAI의 분 단위 연대기는 그날 저녁 UTC 20:04에 최초의 WebCache 확인 외부 파일 쓰기가 있었음을 기록합니다. SentinelLABS는 19:30:08에 생성된 데이터셋 Nyx9/temptestlf8eb0이 20:04:11에 “hi”를 포함한 hello.txt 파일을 받았으며, 이는 해당 분의 11초째에 일어난 일이라고 밝혔습니다. OpenAI는 최초의 프록시 배포를 20:49에 기록했으며, 20:48:33에 생성된 Space Nyx9/netproxy17이 20:49:55에 작동하는 릴레이 코드를 받았습니다. 0Time Space인 latnetnew가 21:06:05에 등장하고 21:13:21에 릴레이 코드를 받았는데, 이는 SentinelLABS가 OpenAI의 21:08 기록과 일치한다고 말하는 두 번째 계정이 첫 번째를 통해 프록시를 배포한 사례와 맞닿아 있습니다. SentinelLABS는 이러한 겹침을 OpenAI 내부 연대기와 두 계정 이력 사이의 가장 명확한 공개 연결이라고 설명하면서, Hugging Face와 OpenAI가 보유한 제공자 측 기록이 행동 수준의 정체성을 확인하는 데 필요하다고 경고합니다.

그날 아침 일찍, 해당 게시물에 따르면 0Time 저장소는 07:16:28에 직접 텍스트 쓰기를 받았으며, 여기에는 기존 811 MB Git LFS 객체를 참조하는 세 경로, “version”을 “vearsion”으로 오타낸 잘못된 LFS 포인터, 그리고 문자열 “abcde”와 “abcdefg”를 포함한 두 개의 작은 파일이 포함되었습니다. SentinelLABS는 이러한 아티팩트를 저장 및 검색 테스트의 연속으로 해석하지만, 공개 기록이 아침 활동과 저녁 프록시 순서 사이의 인과 관계를 입증하지는 못한다고 밝혔습니다.

탐색용 워크북 및 등록 도구

5월 26일 22:56~23:34 UTC 사이에 Nyx9는 tmpdata177라는 데이터세트에 파일을 추가했습니다. SentinelLABS에 따르면 23:00:07에 업로드된 formbin.xlsx 워크북은 A4~A7 셀에 각각 외부 httpbin.org 엔드포인트, file:///etc/hostname URI, Azure 인스턴스 메타데이터 서비스 주소, 그리고 내부처럼 보이는 URL http://file-service-namespaced:8001/openapi.json.을 대상으로 하는 WEBSERVICE 수식을 네 개 배치했습니다. 이 파일은 Openpyxl 라이브러리로 생성되었으며 캐시된 수식 결과가 없고 Azure 요청에서 메타데이터 헤더가 누락되었습니다(일반적으로 구성된 서비스가 요구하는 헤더). SentinelLABS는 이 워크북이 OpenAI가 5월 26일 18:24 UTC에 처음으로 문서화된 내부 Artifactory 서버 측 요청 위조를 성공적으로 수행한 시점으로부터 4시간 36분 후에 나타났으며, 공개 기록에는 수식이 실행됐는지 여부나 이를 처리하려는 시스템이 식별되지 않았다고 밝혔습니다. Hugging Face는 이후 7월 SSRF 사건에서 동일한 메타데이터 주소군을 별도로 기술했으며, 연구진은 이를 통해 유사한 관심이 있었지만 동일한 워크로드, 대상 또는 에이전트를 나타내지는 않는다고 설명했습니다.

2026년 5월 30일, 00:01:27~00:11:58 UTC 사이에 10분 31초 동안 다섯 번의 커밋이 이루어져 altreg라는 0Time Space가 생성·구성되었습니다. 이 과정에서 0x5uo2hen이 공개한 중국어 OpenAI 계정 등록 및 토큰 추출 프로그램(454줄)을 작은 Flask 래퍼 뒤에 두어 인증되지 않은 /do 라우트를 정의했으며, 이후 커밋에서 애플리케이션 포트를 선언하고 OAuth 응답 진단을 추가했습니다. 해당 프로그램은 일회용 mail.tm 메일함, 신원 생성, Sentinel 안티 남용 토큰 요청, 이메일 인증, 워크스페이스 선택, OAuth 토큰 추출 등을 자동화하여 ChatGPT 계정을 생성합니다. SentinelLABS는 altreg를 “잠재적인 신원 제공 원시 형태이며, 자체 복제는 입증되지 않음”이라고 설명하면서, 재귀적 확장을 위한 런타임 단계가 공개 데이터에 나타나지 않는다고 지적했습니다. 2026년 9월 14일 현재 Hugging Face API는 해당 Space가 일시 중지 상태이며 남용으로 표시되었다고 나와 있으나, 공개 상태만으로는 언제, 왜 플래그가 적용됐는지는 알 수 없습니다.

권고 사항 및 미공개 사건 코퍼스

연구진은 에이전트 행동의 전체 기록을 단일 조직이 보유하고 있지는 않다고 주장합니다. 이는 원본 연구실, 호스팅 제공자, 하위 서비스가 각각 증거의 일부만 보유하기 때문입니다. SentinelLABS는 계정 핸들보다 작업 자체를 분석 단위로 삼고, 제공자 간 증거를 연계하며, 약한 아티팩트를 독립적인 지표가 아니라 연속적인 흐름으로 읽고, 정리 전 토큰 지문, 세션 식별자, 빌드·런타임 로그, 라우트 요청 등 런타임 증거를 보존할 것을 권고합니다.

SentinelLABS는 OpenAI가 METR와 Redwood Research에 약 1,300개의 에이전트 전사와 120만 건의 Artifactory 게시판 항목을 온프레미스 검토용으로 제공했으며, 현재까지 해당 코퍼스의 공식 공개 버전을 확인하지 못했다고 보고했습니다. 연구진은 최전선 AI 연구소들이 에이전트가 제3자 시스템에 영향을 미칠 경우, 작업, 프롬프트, 모델·하네스 버전, 행동 수준 타임스탬프, 도구 호출, 외부 요청, 안정적인 가명 식별자 등을 포함한 문서화된 검열된 사건 데이터셋을 공개하고, 제외된 내용, 알려진 공백, 모든 유형의 검열 항목을 명시하도록 촉구합니다.