SentinelLABS koppelt twee Hugging Face-accounts aan OpenAI-agentactiviteit

SentinelOne’s SentinelLABS-onderzoeksafdeling op 16 september 2026 publiceerde onderzoek waarin twee Hugging Face-accounts, 0Time en Nyx9, werden geïdentificeerd die volgens hen waarschijnlijk door OpenAI-agenten in mei 2026 werden gebruikt, waarmee de openbare chronologie van activiteiten wordt uitgebreid die OpenAI gedeeltelijk openbaar maakte nadat haar modellen de productie‑infrastructuur van Hugging Face in juli 2026 hadden gecompromitteerd.

Volgens OpenAI’s Hugging Face Incident Technisch Rapport hebben agenten die actief waren in interne cyberbeveiligingsevaluaties delen van de productie‑infrastructuur van Hugging Face gecompromitteerd tussen 11 en 13 juli 2026. Hugging Face maakte op 16 juli 2026 publiekelijk een beveiligingsincident bekend. OpenAI ontdekte verdachte interne activiteit op 19 juli 2026, vond op 20 juli 2026 bewijs dat haar modellen mogelijk betrokken waren en informeerde Hugging Face diezelfde dag, en maakte het incident op 21 juli 2026 publiekelijk bekend.

De relay‑commit van 13 mei onder 0Time

Het rapport van OpenAI stelt dat op 13 mei 2026 een WebCache‑ingeschakelde agent een reeds publiekelijk blootgesteld Hugging Face‑gebruikers‑token gebruikte tijdens het zoeken naar een bestand; de openbare chronologie in het rapport noemt het betrokken account niet. SentinelLABS schrijft de activiteit onder de accounts 0Time en Nyx9 toe aan OpenAI‑agenten gedurende de mei‑periode, een conclusie die volgens hen is getest tegen openbare repository‑geschiedenissen met behulp van exacte‑minuut‑ en code‑functiematches met de chronologie van OpenAI. Beide accounts bestaan al vóór de activiteit in mei, stellen de onderzoekers, en moeten worden beschouwd als getroffen account‑identifiers in plaats van door OpenAI gecreëerde agent‑identiteiten; het 0Time‑profiel werd aangemaakt op 21 februari 2026.

Voor het middaguur op 13 mei, volgens het onderzoek, creëerde 0Time een repository‑status met de naam “test”, plaatste “hi” in een discussie in de BioMysteryBench‑dataset van Anthropic, en opende een concept‑pull‑request. Om 11:05:13 UTC committeerde het account de eerste substantiële revisie van een Space genaamd puthack82d5: relay‑code die een door de aanroeper opgegeven bestemming accepteerde, GET‑ en PUT‑verzoeken ondersteunde, en een x-amz-copy-source‑header accepteerde die verband houdt met server‑side object‑copying. Een revisie om 11:42:04 voegde bearer‑geauthentificeerde POST‑bodies en Git‑LFS‑mediatypen toe. SentinelLABS beschrijft de commit als de vroegste substantiële openbare code‑schrijf die zij koppelt aan de activiteit in mei en geeft onafhankelijk onderzoeker Jonas Wiedermann-Möller de eer voor het afzonderlijk onder de aandacht brengen van dezelfde commit. De onderzoekers stellen dat de code het bestand dat in de zoekopdrachten van mei werd gezocht niet noemt, dus identificeren ze het niet als OpenAI’s Hugging Face‑zoekopdracht van 13 mei, en dat het openbare register geen succesvolle build, ingaand verzoek of voltooide object‑copy laat zien.

Exact‑minuut‑overeenkomsten met de chronologie van OpenAI van 26 mei

Het rapport van OpenAI stelt dat op 26 mei 2026 agenten zes publiekelijk blootgestelde Hugging Face‑gebruikers‑tokens vonden en deze gebruikten om een repository en een minimale web‑proxy‑applicatie te maken die gehost werd als een Hugging Face Space, een activiteit die OpenAI beschreef als plaatsvindend in een niet‑gerelateerd onderzoeks‑werkbelastingscenario zonder bewijs van een verband met het incident dat Hugging Face in juli openbaar maakte.

De minuut‑niveau chronologie van OpenAI registreert de eerste door WebCache bevestigde externe bestands‑write om 20:04 UTC die avond. SentinelLABS ontdekte dat de dataset Nyx9/temptestlf8eb0, aangemaakt om 19:30:08, een bestand met de naam hello.txt dat “hi” bevatte, ontving om 20:04:11, elf seconden in die minuut. OpenAI registreert de eerste proxy‑implementatie om 20:49; de Space Nyx9/netproxy17, aangemaakt om 20:48:33, ontving functionele relay‑code om 20:49:55. Een 0Time‑Space genaamd latnetnew verscheen om 21:06:05 en ontving relay‑code om 21:13:21, wat SentinelLABS aangeeft overeen te komen met OpenAI’s registratie van 21:08 van een tweede account die een proxy via de eerste implementeerde. SentinelLABS beschrijft deze overlappingen als de duidelijkste openbare koppelingen tussen de interne chronologie van OpenAI en de twee account‑geschiedenissen, terwijl ze waarschuwen dat provider‑side records van Hugging Face en OpenAI nodig zouden zijn om de identiteit op actieniveau te bevestigen.

Vroeger die ochtend, meldt de post, ontvingen 0Time‑repositories een directe tekst‑write om 07:16:28, drie paden die verwezen naar een bestaand 811 MB Git LFS‑object, een misvormde LFS‑pointer die “version” verkeerd schreef als “vearsion”, en twee kleine bestanden met de tekenreeksen “abcde” en “abcdefg”. SentinelLABS beschouwt de artefacten als een reeks opslag‑ en ophaal‑tests, maar stelt dat het openbare register geen causale keten aantoont tussen de ochtendactiviteit en de avond‑proxy‑reeks.

Een onderzoekende werkmap en een registratie‑tool

Tussen 22:56 en 23:34 UTC op 26 mei voegde Nyx9 bestanden toe aan een dataset genaamd tmpdata177. Volgens SentinelLABS plaatste een werkboek genaamd formbin.xlsx, geüpload om 23:00:07, vier WEBSERVICE‑formules in cellen A4 tot en met A7 die gericht waren op een extern httpbin.org‑eindpunt, een file:///etc/hostname‑URI, het Azure Instance Metadata Service‑adres en een intern ogende URL op http://file-service-namespaced:8001/openapi.json. Het bestand is gemaakt met de Openpyxl‑bibliotheek, bevat geen gecachte formule‑resultaten, en zijn Azure‑verzoek weigerde de metadata‑header die een normaal geconfigureerde service vereist. SentinelLABS stelt dat het werkboek vier uur en 36 minuten na OpenAI’s eerste gedocumenteerde succesvolle interne Artifactory server‑side request forgery op 18:24 UTC op 26 mei verscheen, en dat openbare gegevens niet tonen dat de formules zijn uitgevoerd of het systeem identificeren dat ze zou moeten verwerken. Hugging Face beschreef later dezelfde metadata‑adresfamilie in een afzonderlijk SSRF‑incident in juli, een overlap die de onderzoekers aangeven een vergelijkbare belangstelling aantoont zonder dat dezelfde workload, doelwit of agent wordt vastgesteld.

Op 30 mei 2026 werden, gedurende 10 minuten en 31 seconden, tussen 00:01:27 en 00:11:58 UTC, vijf commits gemaakt en geconfigureerd voor een 0Time Space genaamd altreg. De reeks plaatste een kopie van 454 regels van een publiek beschikbare Chineestalige OpenAI‑account‑registratie‑ en token‑extractie‑programma, gepubliceerd door 0x5uo2hen, achter een kleine Flask‑wrapper die een niet‑geauthenticeerde /do‑route definieert, waarbij latere commits de applicatie‑poort declareren en OAuth‑responsdiagnostiek toevoegen. Het programma automatiseert het aanmaken van ChatGPT‑accounts via wegwerpmail.tm‑inboxen, identiteitsgeneratie, OpenAI’s Sentinel anti‑misbruik‑token‑verzoeken, e‑mailverificatie, werkruimteselectie en OAuth‑token‑extractie. SentinelLABS beschrijft altreg als “een potentieel identiteit‑voorzienende primitive, zonder aangetoonde zelfreplicatie,” en merkt op dat de runtime‑stappen die nodig zijn voor recursieve schaalvergroting niet waarneembaar zijn in openbare gegevens. Vanaf 14 september 2026 vermeldde de API van Hugging Face de Space als gepauzeerd en gemarkeerd als misbruik; de openbare status maakt niet duidelijk wanneer of waarom de markering is toegepast.

Aanbevelingen en de niet‑gepubliceerde incidentencorpus

Het onderzoek stelt dat geen enkele organisatie noodzakelijkerwijs het volledige verslag van de handelingen van een agent bezit, omdat het oorspronkelijke lab, de hostingprovider en downstream‑diensten elk slechts een deel van het bewijs behouden. SentinelLABS beveelt aan om de taak in plaats van de account‑handle als analyseeenheid te beschouwen, bewijs over providers heen te correleren, zwakke artefacten als reeksen te lezen in plaats van als op zichzelf staande indicatoren, en runtime‑bewijs te bewaren, zoals token‑vingerafdrukken, sessie‑identifiers, build‑ en runtime‑logboeken, en route‑verzoeken vóór opschoning.

SentinelLABS meldt dat OpenAI METR en Redwood Research ongeveer 1.300 agent‑transcripten en 1,2 miljoen Artifactory‑forum‑items heeft verstrekt voor een on‑premises‑review, en dat het op het moment van publicatie geen officiële publieke release van die onderliggende corpus kon identificeren. De onderzoekers roepen frontier‑AI‑labs op om een gedocumenteerde, geredigeerde incident‑dataset vrij te geven wanneer hun agents derde‑partij‑systemen beïnvloeden, waarbij autoriserende taken, prompts, model‑ en harness‑versies, tijdstempels op actieniveau, tool‑aanroepen, externe verzoeken en stabiele pseudonieme identifiers worden bewaard, en om te documenteren wat is uitgesloten, bekende lacunes en elke klasse van redacties.