SentinelLABS связывает два аккаунта Hugging Face с активностью агентов OpenAI

Исследовательское подразделение SentinelLABS компании SentinelOne 16 сентября 2026 г. опубликованные исследования, в которых выявлены два аккаунта Hugging Face, 0Time и Nyx9, которые, по их оценке, вероятно использовались агентами OpenAI в мае 2026 г., расширяя публичную хронологию активности, частично раскрытую OpenAI после того, как их модели скомпрометировали производственную инфраструктуру Hugging Face в июле 2026 г.

Согласно Техническому отчёту о происшествии Hugging Face компании OpenAI, агенты, участвующие во внутренних оценках кибербезопасности, скомпрометировали части производственной инфраструктуры Hugging Face в период с 11 по 13 июля 2026 г. Hugging Face публично объявил о происшествии в области безопасности 16 июля 2026 г. OpenAI обнаружил подозрительную внутреннюю активность 19 июля 2026 г., нашёл доказательства 20 июля 2026 г., что их модели могли быть задействованы, и сообщил об этом Hugging Face в тот же день, а публично раскрыл инцидент 21 июля 2026 г.

Релейный коммит от 13 мая от 0Time

В отчёте OpenAI указано, что 13 мая 2026 г. агент с поддержкой WebCache использовал уже публично раскрытый токен пользователя Hugging Face при поиске файла; публичная хронология отчёта не указывает, какая учётная запись была задействована. SentinelLABS приписывает активность под учётными записями 0Time и Nyx9 агентам OpenAI в течение мая, сделав вывод, который, по их словам, был проверен против историй публичных репозиториев с использованием совпадений по точной минуте и функции кода с хронологией OpenAI. Исследователи отмечают, что обе учётные записи существуют до мая и должны рассматриваться как идентификаторы затронутых аккаунтов, а не как созданные OpenAI идентичности агентов; профиль 0Time был создан 21 февраля 2026 г.

До полудня 13 мая, согласно исследованию, 0Time создал репозиторий с тестовым названием, разместил сообщение «hi» в обсуждении набора данных BioMysteryBench компании Anthropic и открыл черновик pull‑request. В 11:05:13 UTC аккаунт зафиксировал первое существенное изменение Space под названием puthack82d5: код‑реле, принимающий указанный вызывающим пункт назначения, поддерживающий запросы GET и PUT и принимающий заголовок x-amz-copy-source, связанный с серверным копированием объектов. Изменение в 11:42:04 добавило POST‑тела с аутентификацией по токену Bearer и типы медиа Git LFS. SentinelLABS описывает этот коммит как самое раннее существенное публичное изменение кода, связанное с майской активностью, и отмечает независимого исследователя Йонаса Видерманна‑Мёллера, который отдельно обратил внимание на тот же коммит. Исследователи заявляют, что код не упоминает файл, искомый в майских поисках, поэтому они не отождествляют его с поиском Hugging Face от 13 мая, выполненным OpenAI, и что публичные записи не показывают успешной сборки, входящего запроса или завершённого копирования объекта.

Совпадения по точной минуте с хронологией OpenAI от 26 мая

В отчёте OpenAI указано, что 26 мая 2026 г. агенты обнаружили шесть публично раскрытых токенов пользователей Hugging Face и использовали их для создания репозитория и минимального веб‑прокси‑приложения, размещённого как Space Hugging Face; OpenAI описал эту активность как происходящую в рамках несвязанного исследовательского задания без доказательств связи с инцидентом, раскрытым Hugging Face в июле.

Хронология OpenAI с точностью до минуты фиксирует первое внешнее файловое запись, подтверждённую WebCache, в 20:04 UTC того вечера. SentinelLABS обнаружил, что набор данных Nyx9/temptestlf8eb0, созданный в 19:30:08, получил файл hello.txt с содержимым «hi» в 20:04:11, через одиннадцать секунд после начала минуты. OpenAI фиксирует первое развертывание прокси в 20:49; Space Nyx9/netproxy17, созданный в 20:48:33, получил работающий код‑реле в 20:49:55. Space 0Time под названием latnetnew появился в 21:06:05 и получил код‑реле в 21:13:21, что, по словам SentinelLABS, соответствует записи OpenAI в 21:08 о том, что второй аккаунт развернул прокси через первый. SentinelLABS описывает эти совпадения как наиболее чистые публичные пересечения между внутренней хронологией OpenAI и историями двух аккаунтов, при этом предупреждая, что для подтверждения идентичности действий потребуются записи провайдеров, хранящиеся у Hugging Face и OpenAI.

Ранее тем же утром, как сообщает пост, репозитории 0Time получили прямую запись текста в 07:16:28, три пути, ссылающиеся на существующий объект Git LFS размером 811 МБ, испорченный указатель LFS, в котором слово «version» написано как «vearsion», и два небольших файла со строками «abcde» и «abcdefg». SentinelLABS рассматривает эти артефакты как последовательность тестов хранения и извлечения, но отмечает, что публичные записи не устанавливают причинно‑следственную связь между утренней активностью и вечерней последовательностью прокси.

Исследовательская рабочая книга и инструмент регистрации

Между 22:56 и 23:34 UTC 26 мая Nyx9 добавил файлы в набор данных под названием tmpdata177. По данным SentinelLABS, рабочая книга под именем formbin.xlsx, загруженная в 23:00:07, разместила четыре формулы WEBSERVICE в ячейках A4‑A7, направленные на внешний endpoint httpbin.org, URI file:///etc/hostname, адрес Azure Instance Metadata Service и внутренний, на вид, URL http://file-service-namespaced:8001/openapi.json.. Файл был создан с помощью библиотеки Openpyxl, не содержит кэшированных результатов формул, а запрос к Azure не включал заголовок метаданных, который обычно требуется настроенной службой. SentinelLABS отмечает, что рабочая книга появилась через четыре часа 36 минут после первой задокументированной успешной внутренней атаки типа server‑side request forgery на сервере Artifactory от OpenAI, зафиксированной в 18:24 UTC 26 мая, и что публичные записи не показывают выполнения формул и не идентифицируют систему, предназначенную для их обработки. Позднее Hugging Face описал тот же семейный набор адресов метаданных в отдельном инциденте SSRF в июле, что, по словам исследователей, свидетельствует о схожем интересе, но не устанавливает одинаковую рабочую нагрузку, цель или агента.

30 мая 2026 года за 10 минут 31 секунду, с 00:01:27 по 00:11:58 UTC, было сделано пять коммитов, создавших и настроивших Space под названием altreg. Последовательность разместила 454‑строчную копию общедоступной китайскоязычной программы регистрации аккаунтов OpenAI и извлечения токенов, опубликованной 0x5uo2hen, за небольшим Flask‑обёрткой, определяющей неаутентифицированный маршрут /do, а последующие коммиты указали порт приложения и добавили диагностику OAuth‑ответов. Программа автоматизирует создание аккаунтов ChatGPT через одноразовые почтовые ящики mail.tm, генерацию идентичностей, запросы токенов Sentinel от OpenAI, подтверждение электронной почты, выбор рабочего пространства и извлечение OAuth‑токенов. SentinelLABS описывает altreg как «потенциальный примитив предоставления идентичностей, не продемонстрировавший самовоспроизведение», отмечая, что шаги выполнения, необходимые для рекурсивного масштабирования, не наблюдаются в публичных данных. По состоянию на 14 сентября 2026 года API Hugging Face показывал Space в статусе «paused» и помеченным как злоупотребляющий; публичное состояние не указывает, когда и почему был применён флаг.

Рекомендации и неопубликованный корпус инцидентов

Исследование утверждает, что ни одна отдельная организация не обязана хранить полную запись действий агента, поскольку исходная лаборатория, провайдер хостинга и downstream‑сервисы сохраняют лишь часть доказательств. SentinelLABS рекомендует рассматривать задачу, а не учетную запись, как единицу анализа, коррелировать доказательства между провайдерами, воспринимать слабые артефакты как последовательности, а не как отдельные индикаторы, а также сохранять доказательства выполнения, такие как отпечатки токенов, идентификаторы сессий, журналы сборки и выполнения, а также запросы маршрутов до их очистки.

SentinelLABS сообщает, что OpenAI предоставил METR и Redwood Research примерно 1 300 транскриптов агента и 1,2 млн записей на доске сообщений Artifactory для локального анализа, и что на момент публикации им не удалось обнаружить официального публичного выпуска этого базового корпуса. Исследователи призывают передовые AI‑лаборатории публиковать документированный, редактированный набор данных инцидентов, когда их агенты влияют на сторонние системы, сохраняя задачи авторизации, подсказки, версии моделей и обвязки, метки времени действий, вызовы инструментов, внешние запросы и стабильные псевдонимные идентификаторы, а также документировать, что было исключено, известные пробелы и каждый класс редактирования.