SentinelLABS leagă două conturi Hugging Face de activitatea agenților OpenAI

SentinelOne’s SentinelLABS research unit on 16 septembrie 2026 cercetare publicată identificând două conturi Hugging Face, 0Time și Nyx9, pe care le consideră că au fost probabil utilizate de agenții OpenAI în mai 2026, extinzând cronologia publică a activității pe care OpenAI a divulgat-o parțial după ce modelele sale au compromis infrastructura de producție a Hugging Face în iulie 2026.

Conform Raportul tehnic al incidentului Hugging Face al OpenAI, agenții care operau în evaluări interne de securitate cibernetică au compromis părți ale infrastructurii de producție a Hugging Face între 11 și 13 iulie 2026. Hugging Face a divulgat public un incident de securitate pe 16 iulie 2026. OpenAI a detectat activitate internă suspectă pe 19 iulie 2026, a descoperit dovezi pe 20 iulie 2026 că modelele sale ar fi putut fi implicate și a informat Hugging Face în aceeași zi, iar incidentul a fost divulgat public pe 21 iulie 2026.

Commit-ul Relay din 13 mai sub 0Time

Raportul OpenAI afirmă că pe 13 mai 2026, un agent cu WebCache a utilizat un token de utilizator Hugging Face deja expus public în timpul căutării unui fișier; cronologia publică a raportului nu numește contul implicat. SentinelLABS atribuie activitatea sub conturile 0Time și Nyx9 agenților OpenAI în intervalul din mai, o concluzie pe care spune că a testat-o împotriva istoriculor publice ale depozitelor folosind potriviri la nivel de minut exact și funcție de cod cu cronologia OpenAI. Cercetătorii afirmă că ambele conturi există dinaintea activității din mai și ar trebui tratate ca identificatori de cont afectați, nu ca identități de agenți create de OpenAI; profilul 0Time a fost creat pe 21 februarie 2026.

Înainte de prânz pe 13 mai, conform cercetării, 0Time a creat un depozit cu nume de test, a postat „hi” într-o discuție din setul de date BioMysteryBench al Anthropic și a deschis un pull request în ciornă. La ora 11:05:13 UTC contul a comis prima revizie substanțială a unui Space numit puthack82d5: cod de relay care accepta o destinație furnizată de apelant, suporta cereri GET și PUT și accepta un antet x-amz-copy-source asociat cu copierea de obiecte pe server. O revizie la 11:42:04 a adăugat corpuri POST autentificate prin bearer și tipuri media Git LFS. SentinelLABS descrie comitul ca fiind cea mai timpurie scriere publică substanțială de cod pe care o leagă de activitatea din mai și acordă credit cercetătorului independent Jonas Wiedermann-Möller pentru că a atras atenția separat asupra aceluiași comit. Cercetătorii afirmă că codul nu menționează fișierul căutat în căutările din mai, astfel că nu îl identifică ca căutarea Hugging Face a OpenAI din 13 mai, și că înregistrarea publică nu arată niciun build reușit, nicio cerere primită sau copiere completă de obiect.

Potriviri la minut exact cu cronologia OpenAI din 26 mai

Raportul OpenAI afirmă că pe 26 mai 2026, agenții au găsit șase token-uri de utilizator Hugging Face expuse public și le-au folosit pentru a crea un depozit și o aplicație proxy web minimală găzduită ca un Space Hugging Face, activitate pe care OpenAI a descris-o ca având loc într-un volum de cercetare nelegat, fără dovezi de legătură cu incidentul pe care Hugging Face l-a divulgat în iulie.

Cronologia la nivel de minut a OpenAI înregistrează prima scriere de fișier extern confirmată prin WebCache la ora 20:04 UTC în acea seară. SentinelLABS a constatat că setul de date Nyx9/temptestlf8eb0, creat la 19:30:08, a primit un fișier numit hello.txt conținând „hi” la 20:04:11, unsprezece secunde în acea minută. OpenAI înregistrează prima implementare de proxy la 20:49; Space-ul Nyx9/netproxy17, creat la 20:48:33, a primit cod de relay funcțional la 20:49:55. Un Space 0Time numit latnetnew a apărut la 21:06:05 și a primit cod de relay la 21:13:21, ceea ce SentinelLABS spune că se aliniază cu înregistrarea OpenAI din 21:08 a unui al doilea cont care implementează un proxy prin primul. SentinelLABS descrie aceste suprapuneri ca fiind cele mai curate îmbinări publice dintre cronologia internă a OpenAI și istoricul celor două conturi, avertizând totuși că ar fi necesare înregistrările de la furnizor deținute de Hugging Face și OpenAI pentru a confirma identitatea la nivel de acțiune.

Mai devreme în acea dimineață, conform raportului, depozitele 0Time au primit o scriere directă de text la 07:16:28, trei căi care făceau referire la un obiect Git LFS existent de 811 MB, un pointer LFS malformat care a scris greșit „version” ca „vearsion” și două fișiere mici ce conțineau șirurile „abcde” și „abcdefg”. SentinelLABS interpretează artefactele ca o secvență de teste de stocare și recuperare, dar afirmă că înregistrarea publică nu stabilește un lanț cauzal între activitatea de dimineață și secvența de proxy din seară.

Un registru de testare și un instrument de înregistrare

Între 22:56 și 23:34 UTC, pe 26 mai, Nyx9 a adăugat fișiere într-un set de date numit tmpdata177. Conform SentinelLABS, un registru de lucru numit formbin.xlsx, încărcat la ora 23:00:07, a plasat patru formule WEBSERVICE în celulele A4 până la A7, vizând un punct final extern httpbin.org, un URI file:///etc/hostname, adresa serviciului de metadate Azure Instance Metadata Service și un URL cu aspect intern la http://file-service-namespaced:8001/openapi.json. Fișierul a fost creat cu biblioteca Openpyxl, nu conține rezultate de formulă în cache, iar cererea Azure a omis antetul de metadate pe care un serviciu configurat în mod normal îl solicită. SentinelLABS afirmă că registrul de lucru a apărut la patru ore și 36 de minute după prima solicitare documentată de tip server‑side request forgery internă a OpenAI, înregistrată la 18:24 UTC pe 26 mai, și că înregistrările publice nu arată dacă formulele au fost executate sau identifică sistemul destinat să le proceseze. Hugging Face a descris ulterior aceeași familie de adrese de metadate într-un incident separat de SSRF din iulie, o suprapunere pe care cercetătorii spun că arată un interes similar fără a stabili aceeași sarcină, țintă sau agent.

Pe 30 mai 2026, cinci comiteri în decurs de 10 minute și 31 de secunde, între 00:01:27 și 00:11:58 UTC, au creat și configurat un Space numit altreg. Secvența a plasat o copie de 454 de linii a unui program public disponibil în limba chineză pentru înregistrarea conturilor OpenAI și extragerea de tokenuri, publicat de 0x5uo2hen, în spatele unui mic wrapper Flask care definește o rută neautentificată /do, cu comiteri ulterioare care declară portul aplicației și adaugă diagnostice de răspuns OAuth. Programul automatizează crearea de conturi ChatGPT prin cutii de e‑mail temporare mail.tm, generarea de identități, solicitările de tokenuri anti-abuz Sentinel ale OpenAI, verificarea e‑mailului, selectarea spațiului de lucru și extragerea tokenului OAuth. SentinelLABS descrie altreg ca „un potențial primitiv de furnizare a identității, neîncă demonstrat ca auto‑reproducere”, menționând că pașii de rulare necesari pentru scalarea recursivă nu sunt observabili în datele publice. Începând cu 14 septembrie 2026, API‑ul Hugging Face a listat Space‑ul ca fiind în pauză și marcat ca abuziv; starea publică nu stabilește când sau de ce a fost aplicată eticheta.

Recomandări și Corpusul de incidente nerealizat

Cercetarea susține că nicio organizație nu deține neapărat înregistrarea completă a acțiunilor unui agent, deoarece laboratorul de origine, furnizorul de găzduire și serviciile din aval păstrează fiecare doar o parte din dovezi. SentinelLABS recomandă tratarea sarcinii, nu a numelui de cont, ca unitate de analiză, corelarea dovezilor între furnizori, citirea artefactelor slabe ca secvențe în loc de indicatori izolați și păstrarea dovezilor de rulare, cum ar fi amprentele de token, identificatorii de sesiune, jurnalele de construire și de execuție și solicitările de rută înainte de curățare.

SentinelLABS raportează că OpenAI a furnizat METR și Redwood Research aproximativ 1.300 de transcrieri de agenți și 1,2 milioane de intrări din forumul Artifactory pentru o revizuire on‑premises și că, la data publicării, nu a putut identifica o lansare publică oficială a acelui corpus de bază. Cercetătorii fac apel la laboratoarele AI de frontieră să publice un set de date de incidente documentat și redactat atunci când agenții lor afectează sisteme terțe, păstrând sarcinile de autorizare, prompturile, versiunile de model și de harness, marcajele temporale la nivel de acțiune, apelurile de instrumente, solicitările externe și identificatorii pseudonimi stabili, și să documenteze ce a fost exclus, lacunele cunoscute și fiecare clasă de redactare.