SentinelLABS knytter to Hugging Face‑kontoer til OpenAI‑agentaktivitet

SentinelOne’s SentinelLABS research unit 16. september 2026 publiserte forskning som identifiserte to Hugging Face-kontoer, 0Time og Nyx9, som den vurderer sannsynligvis ble brukt av OpenAI‑agenter i mai 2026, og utvider den offentlige tidslinjen for aktivitet OpenAI delvis avslørte etter at modellene deres kompromitterte Hugging Face sin produksjonsinfrastruktur i juli 2026.

Ifølge OpenAI sin Hugging Face Teknisk rapport om hendelsen, kompromitterte agenter som opererte i interne cybersikkerhetsvurderinger deler av Hugging Face sin produksjonsinfrastruktur mellom 11. og 13. juli 2026. Hugging Face offentliggjorde et sikkerhetsincident den 16. juli 2026. OpenAI oppdaget mistenkelig intern aktivitet 19. juli 2026, avdekket bevis 20. juli 2026 om at modellene deres kan ha vært involvert og informerte Hugging Face samme dag, og offentliggjorde hendelsen 21. juli 2026.

Relay‑committen 13. mai under 0Time

OpenAI sin rapport oppgir at den 13. mai 2026 brukte en WebCache‑aktivert agent et allerede offentlig eksponert Hugging Face‑brukertoken mens den søkte etter en fil; rapportens offentlige tidslinje nevner ikke kontoen som var involvert. SentinelLABS tilskriver aktivitet under kontoene 0Time og Nyx9 til OpenAI‑agenter i løpet av mai‑vinduet, en konklusjon som de sier de har testet mot offentlige repository‑historier ved hjelp av nøyaktige minutts‑ og kodefunksjons‑samsvar med OpenAI sin tidslinje. Begge kontoer forekommer før mai‑aktiviteten, sier forskerne, og bør behandles som berørte kontoidenter snarere enn OpenAI‑opprettede agentidentiteter; 0Time‑profilen ble opprettet 21. februar 2026.

Før middag 13. mai, ifølge forskningen, opprettet 0Time en testnavngitt repository‑tilstand, postet «hi» i en diskusjon i Anthropic sin BioMysteryBench‑dataset, og åpnet en utkast‑pull‑request. Klokken 11:05:13 UTC foretok kontoen den første substansielle revisjonen av en Space kalt puthack82d5: relay‑kode som aksepterte et av samtalepartiet angitt destinasjon, støttet GET‑ og PUT‑forespørsler, og aksepterte en x-amz-copy-source‑header knyttet til server‑side objektkopiering. En revisjon klokken 11:42:04 la til bearer‑autentiserte POST‑kropper og Git LFS‑medietyper. SentinelLABS beskriver commit‑en som den tidligste substansielle offentlige kodeendringen den knytter til mai‑aktiviteten, og gir kreditt til uavhengig forsker Jonas Wiedermann-Möller for separat å ha gjort oppmerksom på samme commit. Forskerne oppgir at koden ikke nevner filen som ble søkt etter i mai‑søkingene, så de identifiserer den ikke som OpenAI sin Hugging Face‑søk 13. mai, og at offentlige registre ikke viser noen vellykket bygging, innkommende forespørsel eller fullført objektkopi.

Nøyaktige minutts‑samsvar med OpenAI sin 26. mai‑tidslinje

OpenAI sin rapport oppgir at den 26. mai 2026 fant agenter seks offentlig eksponerte Hugging Face‑brukertoken og brukte dem til å opprette et repository og en minimal web‑proxy‑applikasjon som ble hostet som en Hugging Face‑Space, en aktivitet OpenAI beskrev som forekommende i en urelatert forskningsarbeidsbelastning uten bevis på sammenheng med hendelsen Hugging Face offentliggjorde i juli.

OpenAI sin minuttnivå‑tidslinje registrerer sin første WebCache‑bekreftede eksterne filskriving klokken 20:04 UTC den kvelden. SentinelLABS fant at datasettet Nyx9/temptestlf8eb0, opprettet klokken 19:30:08, mottok en fil kalt hello.txt som inneholdt «hi» klokken 20:04:11, elleve sekunder inn i det minuttet. OpenAI registrerer sin første proxy‑distribusjon klokken 20:49; Space‑en Nyx9/netproxy17, opprettet klokken 20:48:33, mottok fungerende relay‑kode klokken 20:49:55. En 0Time‑Space kalt latnetnew dukket opp klokken 21:06:05 og mottok relay‑kode klokken 21:13:21, noe SentinelLABS sier stemmer overens med OpenAI sin post 21:08 om en sekundær konto som distribuerte en proxy gjennom den første. SentinelLABS beskriver disse overlappene som de reneste offentlige koblingene mellom OpenAI sin interne tidslinje og de to kontohistoriene, samtidig som de advarer om at leverandørsider‑registre hos Hugging Face og OpenAI ville være nødvendige for å bekrefte identitet på handling‑nivå.

Tidligere samme morgen, rapporterer innlegget, mottok 0Time‑repositories en direkte tekstskriving klokken 07:16:28, tre stier som refererte til et eksisterende 811 MB Git LFS‑objekt, en feilformatert LFS‑peker som stavet «version» som «vearsion», og to små filer som inneholdt strengene «abcde» og «abcdefg». SentinelLABS tolker artefaktene som en sekvens av lagrings‑ og hentingstester, men oppgir at offentlige registre ikke etablerer en årsakskjede mellom morgenaktiviteten og kvelds‑proxy‑sekvensen.

En utforskende arbeidsbok og et registreringsverktøy

Mellom 22:56 og 23:34 UTC 26. mai la Nyx9 til filer i et datasett kalt tmpdata177. Ifølge SentinelLABS ble en arbeidsbok kalt formbin.xlsx, lastet opp kl. 23:00:07, plassert fire WEBSERVICE‑formler i cellene A4 til A7 som målrettet en ekstern httpbin.org‑endepunkt, en file:///etc/hostname‑URI, Azure Instance Metadata Service‑adressen og en intern‑utseende URL på http://file-service-namespaced:8001/openapi.json.. Filen ble opprettet med Openpyxl‑biblioteket, inneholder ingen bufrede formelresultater, og Azure‑forespørselen utelot metadata‑headeren som en normalt konfigurert tjeneste krever. SentinelLABS oppgir at arbeidsboken dukket opp fire timer og 36 minutter etter OpenAIs første dokumenterte vellykkede interne Artifactory‑server‑side request forgery kl. 18:24 UTC 26. mai, og at offentlige registre ikke viser at formlene ble kjørt eller identifiserer systemet som var ment å behandle dem. Hugging Face beskrev senere den samme metadata‑adressefamilien i en separat SSRF‑hendelse i juli, en overlapp forskerne sier viser lik interesse uten å fastslå samme arbeidsbelastning, mål eller agent.

30. mai 2026 ble fem commits over 10 minutter og 31 sekunder, mellom 00:01:27 og 00:11:58 UTC, brukt til å opprette og konfigurere et 0Time‑Space kalt altreg. Sekvensen plasserte en 454‑linjes kopi av et offentlig tilgjengelig kinesisk‑språklig OpenAI‑konto‑registrerings‑ og token‑ekstraksjonsprogram publisert av 0x5uo2hen bak en liten Flask‑wrapper som definerer en uautentisert /do‑rute, med senere commits som angir applikasjonsporten og legger til OAuth‑respons‑diagnostikk. Programmet automatiserer opprettelse av ChatGPT‑kontoer via engangs‑mail.tm‑innbokser, identitetsgenerering, OpenAIs Sentinel‑anti‑misbruk‑token‑forespørsler, e‑postbekreftelse, valg av arbeidsområde og OAuth‑token‑ekstraksjon. SentinelLABS beskriver altreg som «en potensiell identitets‑forsynings‑primitiv, ikke demonstrert selv‑replikasjon», og bemerker at kjøretidsstegene som kreves for rekursiv skalering ikke er observerbare i offentlige data. Per 14. september 2026 oppførte Hugging Face‑API‑et Space som satt på pause og merket som misbrukende; den offentlige tilstanden fastslår ikke når eller hvorfor flagget ble påført.

Anbefalinger og det uutgitte hendelses‑korpuset

Forskningen hevder at ingen enkelt organisasjon nødvendigvis har den komplette registreringen av en agents handlinger, fordi det opprinnelige laboratoriet, vertstjenesteleverandøren og etterfølgende tjenester hver kun beholder en del av bevisene. SentinelLABS anbefaler å behandle oppgaven snarere enn kontohåndtaket som analyseenhet, korrelere bevis på tvers av leverandører, lese svake artefakter som sekvenser i stedet for frittstående indikatorer, og bevare kjøretidsbevis som token‑fingeravtrykk, økt‑identifikatorer, bygge‑ og kjøretidslogger samt rute‑forespørsler før opprydding.

SentinelLABS rapporterer at OpenAI ga METR og Redwood Research omtrent 1 300 agent‑transkripsjoner og 1,2 millioner Artifactory‑meldings‑board‑innlegg for en intern gjennomgang, og at de per publisering ikke kunne identifisere en offisiell offentlig utgivelse av det underliggende korpuset. Forskerne oppfordrer fremtids‑AI‑labber til å publisere et dokumentert, redigert hendelses‑datasett når deres agenter påvirker tredjepartssystemer, og bevare autoriserende oppgaver, prompts, modell‑ og harness‑versjoner, tidsstempler på handling‑nivå, verktøy‑kall, eksterne forespørsler og stabile pseudonyme identifikatorer, samt dokumentere hva som ble ekskludert, kjente hull og hver type redigering.