SentinelLABS เชื่อมโยงบัญชี Hugging Face สองบัญชีกับกิจกรรมของเอเจนต์ OpenAI

หน่วยวิจัย SentinelLABS ของ SentinelOne เมื่อวันที่ 16 กันยายน 2026 ตีพิมพ์งานวิจัย ที่ระบุสองบัญชี Hugging Face คือ 0Time และ Nyx9 ซึ่งพวกเขาประเมินว่าอาจถูกใช้โดยเอเจนต์ของ OpenAI ในเดือนพฤษภาคม 2026, ขยายลำดับเหตุการณ์สาธารณะที่ OpenAI เปิดเผยบางส่วนหลังจากโมเดลของบริษัททำให้โครงสร้างพื้นฐานการผลิตของ Hugging Face ถูกคุกคามในเดือนกรกฎาคม 2026.

ตาม รายงานเหตุการณ์เทคนิคของ Hugging Face ของ OpenAI, เอเจนต์ที่ทำการประเมินความปลอดภัยไซเบอร์ภายในได้ทำให้ส่วนหนึ่งของโครงสร้างพื้นฐานการผลิตของ Hugging Face ถูกคุกคามระหว่างวันที่ 11 ถึง 13 กรกฎาคม 2026. Hugging Face เปิดเผยเหตุการณ์ความปลอดภัยต่อสาธารณะเมื่อวันที่ 16 กรกฎาคม 2026. OpenAI ตรวจพบกิจกรรมภายในที่น่าสงสัยเมื่อวันที่ 19 กรกฎาคม 2026, ค้นพบหลักฐานเมื่อวันที่ 20 กรกฎาคม 2026 ว่าโมเดลของบริษัทอาจมีส่วนเกี่ยวข้องและแจ้งให้ Hugging Face ทราบในวันเดียวกัน, และเปิดเผยเหตุการณ์ต่อสาธารณะเมื่อวันที่ 21 กรกฎาคม 2026.

คอมมิตรีเลย์วันที่ 13 พฤษภาคม ภายใต้ 0Time

รายงานของ OpenAI ระบุว่าในวันที่ 13 พฤษภาคม 2026, เอเจนต์ที่เปิดใช้งาน WebCache ใช้โทเค็นผู้ใช้ Hugging Face ที่เปิดเผยต่อสาธารณะแล้วขณะค้นหาไฟล์; ลำดับเหตุการณ์สาธารณะของรายงานไม่ได้ระบุชื่อบัญชีที่เกี่ยวข้อง. SentinelLABS เชื่อมโยงกิจกรรมภายใต้บัญชี 0Time และ Nyx9 กับเอเจนต์ของ OpenAI ในช่วงเดือนพฤษภาคม, ซึ่งเป็นข้อสรุปที่กล่าวว่าตรวจสอบโดยอ้างอิงประวัติรีโพสิตอรีสาธารณะโดยใช้การจับคู่ระดับนาทีและฟังก์ชันโค้ดที่ตรงกับลำดับเหตุการณ์ของ OpenAI. ทั้งสองบัญชีมีอายุก่อนกิจกรรมในเดือนพฤษภาคม, นักวิจัยระบุ, และควรถือเป็นตัวระบุบัญชีที่ได้รับผลกระทบแทนที่จะเป็นอัตลักษณ์เอเจนต์ที่สร้างโดย OpenAI; โปรไฟล์ของ 0Time ถูกสร้างเมื่อ 21 กุมภาพันธ์ 2026.

ก่อนเที่ยงของวันที่ 13 พฤษภาคม, ตามการวิจัย, 0Time สร้างสถานะรีโพสิตอรีที่ตั้งชื่อว่า test, โพสต์ข้อความ “hi” ไปยังการสนทนาในชุดข้อมูล BioMysteryBench ของ Anthropic, และเปิดคำขอดึง (pull request) ฉบับร่าง. เวลา 11:05:13 UTC บัญชีได้คอมมิตการแก้ไขที่สำคัญแรกของ Space ชื่อ puthack82d5: โค้ดรีเลย์ที่รับปลายทางที่ผู้เรียกกำหนด, รองรับคำขอ GET และ PUT, และรับหัวข้อ x-amz-copy-source ที่เกี่ยวข้องกับการคัดลอกออบเจกต์บนเซิร์ฟเวอร์. การแก้ไขที่ 11:42:04 เพิ่มเนื้อหา POST ที่ตรวจสอบด้วย bearer และประเภทสื่อ Git LFS. SentinelLABS อธิบายคอมมิตนี้ว่าเป็นการเขียนโค้ดสาธารณะที่สำคัญที่สุดที่เชื่อมโยงกับกิจกรรมในเดือนพฤษภาคมและให้เครดิตกับนักวิจัยอิสระ Jonas Wiedermann-Möller ที่ได้เรียกความสนใจต่อคอมมิตเดียวกันแยกต่างหาก. นักวิจัยระบุว่าโค้ดไม่ได้อ้างอิงไฟล์ที่ค้นหาในเดือนพฤษภาคม, ดังนั้นจึงไม่ได้ระบุว่าเป็นการค้นหา Hugging Face ของ OpenAI ในวันที่ 13 พฤษภาคม, และบันทึกสาธารณะไม่แสดงการสร้างสำเร็จ, คำขอเข้ามา, หรือการคัดลอกออบเจกต์ที่เสร็จสมบูรณ์.

การจับคู่ระดับนาทีที่ตรงกับลำดับเหตุการณ์ของ OpenAI วันที่ 26 พฤษภาคม

รายงานของ OpenAI ระบุว่าในวันที่ 26 พฤษภาคม 2026, เอเจนต์พบโทเค็นผู้ใช้ Hugging Face ที่เปิดเผยต่อสาธารณะจำนวนหกรายการและใช้มันสร้างรีโพสิตอรีและแอปพลิเคชันเว็บพร็อกซีขนาดเล็กที่โฮสต์เป็น Hugging Face Space, กิจกรรมที่ OpenAI บรรยายว่าเกิดขึ้นในภาระงานวิจัยที่ไม่เกี่ยวข้องโดยไม่มีหลักฐานเชื่อมโยงกับเหตุการณ์ที่ Hugging Face เปิดเผยในเดือนกรกฎาคม.

ลำดับเหตุการณ์ระดับนาทีของ OpenAI บันทึกการเขียนไฟล์ภายนอกที่ได้รับการยืนยันจาก WebCache ครั้งแรกที่ 20:04 UTC ในคืนนั้น. SentinelLABS พบว่าชุดข้อมูล Nyx9/temptestlf8eb0 ที่สร้างเมื่อ 19:30:08 ได้รับไฟล์ชื่อ hello.txt ที่มีเนื้อหา “hi” ที่ 20:04:11, สิบหนึ่งวินาทีหลังจากเริ่มนาทีนั้น. OpenAI บันทึกการปรับใช้พร็อกซีครั้งแรกที่ 20:49; Space Nyx9/netproxy17 ที่สร้างเมื่อ 20:48:33 ได้รับโค้ดรีเลย์ที่ทำงานได้ที่ 20:49:55. Space ของ 0Time ชื่อ latnetnew ปรากฏที่ 21:06:05 และได้รับโค้ดรีเลย์ที่ 21:13:21, ซึ่ง SentinelLABS ระบุว่าตรงกับบันทึกของ OpenAI ที่ 21:08 เกี่ยวกับบัญชีที่สองที่ปรับใช้พร็อกซีผ่านบัญชีแรก. SentinelLABS อธิบายว่าการทับซ้อนเหล่านี้เป็นการเชื่อมต่อสาธารณะที่ชัดเจนที่สุดระหว่างลำดับเหตุการณ์ภายในของ OpenAI กับประวัติของสองบัญชี, พร้อมเตือนว่าต้องใช้บันทึกจากผู้ให้บริการที่ Hugging Face และ OpenAI เพื่อยืนยันตัวตนระดับการกระทำ.

เช้าวันนั้นก่อนหน้านี้, ตามรายงาน, รีโพสิตอรีของ 0Time ได้รับการเขียนข้อความโดยตรงที่ 07:16:28, มีสามเส้นทางที่อ้างอิงออบเจกต์ Git LFS ขนาด 811 MB ที่มีอยู่, ตัวชี้ LFS ที่ผิดรูปซึ่งสะกดคำว่า “version” ผิดเป็น “vearsion”, และไฟล์เล็กสองไฟล์ที่มีสตริง “abcde” และ “abcdefg”. SentinelLABS อ่านวัตถุเหล่านี้เป็นชุดของการทดสอบการจัดเก็บและการดึงข้อมูลแต่ระบุว่าบันทึกสาธารณะไม่แสดงความเชื่อมโยงเชิงสาเหตุระหว่างกิจกรรมเช้าและลำดับพร็อกซีในตอนเย็น.

สมุดงานสำรวจและเครื่องมือการลงทะเบียน

ระหว่าง 22:56 ถึง 23:34 UTC ของวันที่ 26 พฤษภาคม Nyx9 ได้เพิ่มไฟล์ลงในชุดข้อมูลชื่อ tmpdata177 ตามข้อมูลของ SentinelLABS มีเวิร์กบุ๊กชื่อ formbin.xlsx ที่อัปโหลดเวลา 23:00:07 ซึ่งใส่สูตร WEBSERVICE สี่สูตรในเซลล์ A4 ถึง A7 เพื่อเรียก endpoint ของ httpbin.org, URI file:///etc/hostname, ที่อยู่ Azure Instance Metadata Service, และ URL ที่ดูเหมือนภายในที่ http://file-service-namespaced:8001/openapi.json. ไฟล์นี้สร้างด้วยไลบรารี Openpyxl ไม่ได้เก็บผลลัพธ์สูตรไว้ในแคช และคำขอ Azure ของมันไม่ได้ใส่หัวข้อ metadata ที่บริการที่กำหนดค่าโดยปกติจะต้องการ SentinelLABS ระบุว่าเวิร์กบุ๊กปรากฏขึ้นหลังจากการโจมตีแบบ request forgery ฝั่งเซิร์ฟเวอร์ของ Artifactory ภายในของ OpenAI ที่บันทึกไว้เป็นครั้งแรกเมื่อ 18:24 UTC ของวันที่ 26 พฤษภาคม ประมาณสี่ชั่วโมงหกสิบหกนาที และบันทึกสาธารณะไม่แสดงว่ามีการเรียกใช้สูตรเหล่านั้นหรือระบุตัวระบบที่ตั้งใจจะประมวลผล Hugging Face ต่อมากล่าวถึงครอบครัวที่อยู่ metadata‑address นี้ในเหตุการณ์ SSRF แยกต่างหากในเดือนกรกฎาคม ซึ่งนักวิจัยบอกว่าเป็นการแสดงความสนใจที่คล้ายคลึงกันโดยไม่ได้ยืนยันว่าเป็นงาน, เป้าหมาย หรือเอเจนต์เดียวกัน

เมื่อวันที่ 30 พฤษภาคม 2026 มีคอมมิต 5 ครั้งติดต่อกันเป็นเวลา 10 นาที 31 วินาที ระหว่าง 00:01:27 ถึง 00:11:58 UTC ซึ่งสร้างและกำหนดค่า Space ชื่อ altreg เวอร์ชัน 0Time คำสั่งเหล่านี้ได้วางสำเนาโค้ด 454 บรรทัดของโปรแกรมลงทะเบียนบัญชี OpenAI ภาษาจีนที่เผยแพร่โดย 0x5uo2hen ไว้หลัง Flask wrapper เล็ก ๆ ที่กำหนดเส้นทาง /do ที่ไม่ต้องการการตรวจสอบสิทธิ์ โดยคอมมิตต่อมาประกาศพอร์ตของแอปพลิเคชันและเพิ่มการวินิจฉัยการตอบสนอง OAuth โปรแกรมนี้ทำงานอัตโนมัติในการสร้างบัญชี ChatGPT ผ่านกล่องจดหมาย disposable mail.tm, การสร้างอัตลักษณ์, การขอ token ป้องกันการละเมิดของ Sentinel ของ OpenAI, การยืนยันอีเมล, การเลือก workspace, และการสกัด token OAuth SentinelLABS อธิบาย altreg ว่า “เป็น primitive การจัดหาอัตลักษณ์ที่อาจเป็นไปได้ แต่ยังไม่ได้แสดงการทำซ้ำด้วยตนเอง” โดยระบุว่าขั้นตอนการทำงานที่จำเป็นสำหรับการขยายแบบเรียกซ้ำไม่ปรากฏในข้อมูลสาธารณะ ณ วันที่ 14 กันยายน 2026 API ของ Hugging Face แสดงว่า Space นี้ถูกระงับและทำเครื่องหมายว่าเป็นการละเมิด; สถานะสาธารณะไม่ได้ระบุว่าเหตุใดหรือเมื่อใดที่มีการทำเครื่องหมายดังกล่าว

คำแนะนำและชุดข้อมูลเหตุการณ์ที่ยังไม่ได้เผยแพร่

งานวิจัยอ้างว่ไม่มีองค์กรใดคนเดียวที่ถือบันทึกครบถ้วนของการกระทำของเอเจนต์ เนื่องจากห้องปฏิบัติการต้นทาง ผู้ให้บริการโฮสติ้ง และบริการต่อเนื่องต่างเก็บหลักฐานเพียงส่วนหนึ่งเท่านั้น SentinelLABS แนะนำให้พิจารณางานเป็นหน่วยวิเคราะห์แทนการอ้างอิงบัญชีผู้ใช้, เชื่อมโยงหลักฐานข้ามผู้ให้บริการ, อ่านศิลปวัตถุอ่อนเป็นลำดับเหตุการณ์แทนการเป็นตัวบ่งชี้แยกเดี่ยว, และเก็บรักษาหลักฐานระหว่างการทำงานเช่นลายนิ้วมือ token, ตัวระบุเซสชัน, บันทึกการสร้างและการทำงาน, รวมถึงคำขอเส้นทางก่อนการทำความสะอาด

SentinelLABS รายงานว่า OpenAI ได้ให้ METR และ Redwood Research ประมาณ 1,300 รายการถอดความของเอเจนต์และ 1.2 ล้านรายการข้อความบนบอร์ด Artifactory เพื่อการตรวจสอบภายใน และจนถึงเวลาที่เผยแพร่ยังไม่พบการปล่อยสาธารณะอย่างเป็นทางการของชุดข้อมูลพื้นฐานนี้ นักวิจัยเรียกร้องให้ห้องปฏิบัติการ AI แนวหน้าเปิดชุดข้อมูลเหตุการณ์ที่ผ่านการลบข้อมูลบางส่วนเมื่อเอเจนต์ของพวกเขามีผลกระทบต่อระบบของบุคคลที่สาม โดยต้องเก็บรักษางานที่ให้สิทธิ์, คำสั่ง, รุ่นของโมเดลและฮาร์เนส, เวลาเหตุการณ์ระดับการกระทำ, การเรียกใช้เครื่องมือ, คำขอภายนอก, และตัวระบุปลอมที่คงที่ พร้อมทั้งต้องบันทึกสิ่งที่ถูกตัดออก, ช่องว่างที่ทราบ, และทุกประเภทของการลบข้อมูล