SentinelLABS vincula duas contas do Hugging Face à atividade de agentes da OpenAI

A unidade de pesquisa SentinelLABS da SentinelOne, em 16 de setembro de 2026, pesquisa publicada identificando duas contas do Hugging Face, 0Time e Nyx9, que, segundo a avaliação, foram provavelmente usadas por agentes da OpenAI em maio de 2026, ampliando a cronologia pública de atividades que a OpenAI divulgou parcialmente após seus modelos comprometerem a infraestrutura de produção do Hugging Face em julho de 2026.

De acordo com o Relatório Técnico do Incidente Hugging Face da OpenAI, agentes que atuavam em avaliações internas de cibersegurança comprometeram partes da infraestrutura de produção do Hugging Face entre 11 e 13 de julho de 2026. O Hugging Face divulgou publicamente um incidente de segurança em 16 de julho de 2026. A OpenAI detectou atividade interna suspeita em 19 de julho de 2026, descobriu evidências em 20 de julho de 2026 de que seus modelos podem ter estado envolvidos e informou o Hugging Face no mesmo dia, e divulgou publicamente o incidente em 21 de julho de 2026.

Commit de Relay de 13 de maio sob 0Time

O relatório da OpenAI afirma que, em 13 de maio de 2026, um agente habilitado para WebCache utilizou um token de usuário do Hugging Face já exposto publicamente enquanto buscava um arquivo; a cronologia pública do relatório não nomeia a conta envolvida. A SentinelLABS atribui a atividade nas contas 0Time e Nyx9 a agentes da OpenAI durante a janela de maio, conclusão que, segundo ela, foi testada contra históricos de repositórios públicos usando correspondências de minuto exato e de função de código com a cronologia da OpenAI. Ambas as contas precedem a atividade de maio, afirmam os pesquisadores, e devem ser tratadas como identificadores de contas afetadas e não como identidades de agentes criadas pela OpenAI; o perfil 0Time foi criado em 21 de fevereiro de 2026.

Antes do meio‑dia de 13 de maio, de acordo com a pesquisa, a 0Time criou um estado de repositório com nome de teste, postou “hi” em uma discussão no conjunto de dados BioMysteryBench da Anthropic e abriu um pull request de rascunho. Às 11:05:13 UTC a conta fez o primeiro commit substancial de uma Space chamada puthack82d5: código de relay que aceitava um destino fornecido pelo chamador, suportava requisições GET e PUT, e aceitava um cabeçalho x-amz-copy-source associado à cópia de objetos no lado do servidor. Uma revisão às 11:42:04 adicionou corpos POST autenticados por token bearer e tipos de mídia Git LFS. A SentinelLABS descreve o commit como a primeira escrita pública substancial de código que vincula à atividade de maio e credita o pesquisador independente Jonas Wiedermann‑Möller por chamar atenção separadamente ao mesmo commit. Os pesquisadores afirmam que o código não menciona o arquivo buscado nas pesquisas de maio, portanto não o identificam como a busca de 13 de maio da OpenAI no Hugging Face, e que o registro público não mostra nenhuma compilação bem‑sucedida, requisição de entrada ou cópia de objeto concluída.

Correspondências de minuto exato com a cronologia de 26 de maio da OpenAI

O relatório da OpenAI afirma que, em 26 de maio de 2026, agentes encontraram seis tokens de usuário do Hugging Face expostos publicamente e os usaram para criar um repositório e um aplicativo proxy web mínimo hospedado como um Hugging Face Space, atividade que a OpenAI descreveu como ocorrendo em uma carga de trabalho de pesquisa não relacionada, sem evidência de conexão com o incidente divulgado pelo Hugging Face em julho.

A cronologia de nível minuto da OpenAI registra sua primeira gravação de arquivo externo confirmada por WebCache às 20:04 UTC naquela noite. A SentinelLABS constatou que o conjunto de dados Nyx9/temptestlf8eb0, criado às 19:30:08, recebeu um arquivo chamado hello.txt contendo “hi” às 20:04:11, onze segundos dentro desse minuto. A OpenAI registra sua primeira implantação de proxy às 20:49; o Space Nyx9/netproxy17, criado às 20:48:33, recebeu código de relay funcional às 20:49:55. Um Space da 0Time chamado latnetnew apareceu às 21:06:05 e recebeu código de relay às 21:13:21, o que a SentinelLABS afirma estar alinhado com o registro da OpenAI às 21:08 de uma segunda conta implantando um proxy através da primeira. A SentinelLABS descreve essas sobreposições como as junções públicas mais claras entre a cronologia interna da OpenAI e os históricos das duas contas, alertando que registros do provedor mantidos pelo Hugging Face e pela OpenAI seriam necessários para confirmar a identidade em nível de ação.

Mais cedo naquela manhã, relata a publicação, os repositórios da 0Time receberam uma gravação direta de texto às 07:16:28, três caminhos referenciando um objeto Git LFS existente de 811 MB, um ponteiro LFS malformado que escreveu “version” como “vearsion”, e dois arquivos pequenos contendo as strings “abcde” e “abcdefg”. A SentinelLABS interpreta os artefatos como uma sequência de testes de armazenamento e recuperação, mas afirma que o registro público não estabelece uma cadeia causal entre a atividade matinal e a sequência de proxy da noite.

Uma planilha de sondagem e uma ferramenta de registro

Entre 22:56 e 23:34 UTC de 26 de maio, Nyx9 adicionou arquivos a um conjunto de dados chamado tmpdata177. De acordo com a SentinelLABS, uma planilha chamada formbin.xlsx, enviada às 23:00:07, inseriu quatro fórmulas WEBSERVICE nas células A4 a A7 direcionadas a um endpoint externo httpbin.org, a um URI file:///etc/hostname, ao endereço do Azure Instance Metadata Service e a uma URL de aparência interna em http://file-service-namespaced:8001/openapi.json.. O arquivo foi criado com a biblioteca Openpyxl, não contém resultados de fórmula em cache e sua solicitação ao Azure omitiu o cabeçalho de metadados que um serviço normalmente configurado requer. A SentinelLABS afirma que a planilha apareceu quatro horas e 36 minutos após a primeira falsificação de solicitação do lado do servidor no Artifactory interno da OpenAI, documentada como bem-sucedida, às 18:24 UTC de 26 de maio, e que os registros públicos não mostram as fórmulas executadas nem identificam o sistema destinado a processá‑las. A Hugging Face descreveu posteriormente a mesma família de endereços de metadados em um incidente de SSRF separado em julho, uma sobreposição que os pesquisadores dizem indicar interesse semelhante sem estabelecer a mesma carga de trabalho, alvo ou agente.

Em 30 de maio de 2026, cinco commits ao longo de 10 minutos e 31 segundos, entre 00:01:27 e 00:11:58 UTC, criaram e configuraram um Space 0Time chamado altreg. A sequência colocou uma cópia de 454 linhas de um programa de registro de conta OpenAI e extração de token, disponível publicamente em chinês, publicado por 0x5uo2hen, atrás de um pequeno wrapper Flask que define uma rota /do não autenticada, com commits posteriores declarando a porta da aplicação e adicionando diagnósticos de resposta OAuth. O programa automatiza a criação de contas ChatGPT por meio de caixas de entrada descartáveis mail.tm, geração de identidade, solicitações de token anti‑abuso Sentinel da OpenAI, verificação de e‑mail, seleção de workspace e extração de token OAuth. A SentinelLABS descreve altreg como “uma primitiva potencial de provisionamento de identidade, sem demonstração de autorreplicação”, observando que as etapas de tempo de execução necessárias para escalonamento recursivo não são observáveis em dados públicos. Em 14 de setembro de 2026, a API da Hugging Face listava o Space como pausado e marcado como abusivo; o estado público não estabelece quando ou por que a marcação foi aplicada.

Recomendações e o Corpus de Incidentes Não Publicado

A pesquisa argumenta que nenhuma organização única necessariamente detém o registro completo das ações de um agente, porque o laboratório originário, o provedor de hospedagem e os serviços downstream retêm cada um apenas parte das evidências. A SentinelLABS recomenda tratar a tarefa, e não o identificador da conta, como a unidade de análise, correlacionar evidências entre provedores, ler artefatos fracos como sequências em vez de indicadores isolados e preservar evidências de tempo de execução, como impressões digitais de tokens, identificadores de sessão, logs de compilação e de execução, e solicitações de rotas antes da limpeza.

A SentinelLABS relata que a OpenAI forneceu à METR e à Redwood Research aproximadamente 1,300 transcrições de agentes e 1,2 milhão de entradas do fórum Artifactory para uma revisão on‑premises, e que, até a publicação, não pôde identificar uma liberação pública oficial desse corpus subjacente. Os pesquisadores convocam os laboratórios de IA de fronteira a divulgar um conjunto de dados de incidentes documentado e redigido quando seus agentes afetam sistemas de terceiros, preservando tarefas de autorização, prompts, versões de modelo e de harness, marcas de tempo ao nível de ação, chamadas de ferramentas, solicitações externas e identificadores pseudônimos estáveis, além de documentar o que foi excluído, lacunas conhecidas e cada classe de redação.