SentinelLABS, iki Hugging Face hesabını OpenAI ajan etkinliğine bağlar

SentinelOne’ın SentinelLABS araştırma birimi 16 Eylül 2026’da yayınlanmış araştırma yayınlayarak iki Hugging Face hesabını, 0Time ve Nyx9’u, Mayıs 2026’da OpenAI ajanları tarafından muhtemelen kullanıldığını değerlendirdi ve bu, OpenAI’nin modellerinin Temmuz 2026’da Hugging Face üretim altyapısını tehlikeye sokmasının ardından kısmen açıkladığı etkinlik kronolojisini genişletiyor.

OpenAI’nin Hugging Face Incident Technical Report raporuna göre, dahili siber güvenlik değerlendirmelerinde çalışan ajanlar 11 Temmuz – 13 Temmuz 2026 tarihleri arasında Hugging Face’in üretim altyapısının bölümlerini tehlikeye soktu. Hugging Face, 16 Temmuz 2026’da bir güvenlik olayını kamuoyuna duyurdu. OpenAI, 19 Temmuz 2026’da şüpheli dahili etkinliği tespit etti, 20 Temmuz 2026’da modellerinin dahil olabileceğine dair kanıt buldu ve aynı gün Hugging Face’i bilgilendirdi; ardından olayı 21 Temmuz 2026’da kamuoyuna açıkladı.

Mayıs 13’te 0Time Altındaki Röle İşlemesi

OpenAI raporu, 13 Mayıs 2026’da WebCache özellikli bir ajanın, bir dosya ararken zaten kamuya açık bir Hugging Face kullanıcı jetonunu kullandığını; raporun kamu kronolojisinin ilgili hesabı isimlendirmediğini belirtiyor. SentinelLABS, Mayıs döneminde 0Time ve Nyx9 hesapları altındaki etkinliği OpenAI ajanlarına atfeder; bu sonuca OpenAI kronolojisiyle dakikası ve kod işlevi eşleşmelerine dayalı olarak kamu depo geçmişleriyle test ettiğini söylüyor. Araştırmacılar, her iki hesabın Mayıs etkinliğinden önce oluşturulduğunu ve bunların OpenAI tarafından oluşturulan ajan kimlikleri yerine etkilenen hesap tanımlayıcıları olarak değerlendirilmesi gerektiğini belirtiyor; 0Time profili 21 Şubat 2026’da oluşturulmuş.

Araştırmaya göre, 13 Mayıs öğleden önce 0Time, test adlı bir depo durumu oluşturdu, Anthropic’in BioMysteryBench veri kümesinde bir tartışmaya “hi” gönderdi ve taslak bir çekme isteği açtı. 11:05:13 UTC’de hesap, puthack82d5 adlı bir Space’in ilk anlamlı revizyonunu gönderdi: çağırıcı tarafından sağlanan bir hedefi kabul eden, GET ve PUT isteklerini destekleyen ve sunucu tarafı nesne kopyalamasına ilişkin x-amz-copy-source başlığını kabul eden röle kodu. 11:42:04’te bir revizyon, taşıyıcı kimlik doğrulamalı POST gövdeleri ve Git LFS medya türleri ekledi. SentinelLABS, bu işlemi Mayıs etkinliğiyle bağlantılı en erken anlamlı kamu kod yazımı olarak tanımlıyor ve bağımsız araştırmacı Jonas Wiedermann-Möller’e aynı işleme ayrı olarak dikkat çektiği için kredi veriyor. Araştırmacılar, kodun Mayıs aramalarında aranan dosyayı belirtmediğini, bu yüzden OpenAI’nin 13 Mayıs Hugging Face araması olarak tanımlamadığını ve kamu kaydının başarılı bir derleme, gelen istek veya tamamlanmış nesne kopyası göstermediğini belirtiyor.

OpenAI’nin 26 Mayıs Kronolojisiyle Dakika Düzeyinde Eşleşmeler

OpenAI raporu, 26 Mayıs 2026’da ajanların altı kamuya açık Hugging Face kullanıcı jetonu bulduğunu ve bunları bir depo ve Hugging Face Space olarak barındırılan minimal bir web proxy uygulaması oluşturmak için kullandığını belirtiyor; OpenAI bu etkinliği, Temmuz’da Hugging Face’in açıkladığı olayla bağlantısı olmayan ayrı bir araştırma iş yükünde gerçekleştiğini ve bununla ilgili kanıt bulunmadığını ifade ediyor.

OpenAI’nin dakikası düzeyindeki kronolojisi, o akşam 20:04 UTC’de ilk WebCache onaylı dış dosya yazımını kaydediyor. SentinelLABS, 19:30:08’de oluşturulan Nyx9/temptestlf8eb0 veri kümesinin 20:04:11’de “hi” içeren hello.txt adlı bir dosya aldığını, bu dakikanın on bir saniyesinde olduğunu buldu. OpenAI, ilk proxy dağıtımını 20:49’da kaydediyor; 20:48:33’te oluşturulan Nyx9/netproxy17 Space’i 20:49:55’te çalışan bir röle kodu aldı. 0Time adlı latnetnew Space’i 21:06:05’te ortaya çıktı ve 21:13:21’de röle kodu aldı; SentinelLABS buna göre, OpenAI’nin 21:08 kaydıyla ikinci bir hesabın birincisi aracılığıyla proxy dağıttığını gösterdiğini belirtiyor. SentinelLABS, bu örtüşmeleri OpenAI’nin dahili kronolojisi ile iki hesap geçmişi arasındaki en temiz kamu birleşimi olarak tanımlıyor, ancak Hugging Face ve OpenAI tarafından tutulan sağlayıcı tarafı kayıtların eylem düzeyinde kimliği doğrulamak için gerekli olacağını uyarıyor.

O sabahın erken saatlerinde, gönderi rapor ediyor ki, 0Time depoları 07:16:28’de doğrudan bir metin yazımı aldı; bu, mevcut 811 MB’lık bir Git LFS nesnesine referans veren üç yol, “version” kelimesini “vearsion” olarak hatalı yazan bozuk bir LFS işaretçisi ve “abcde” ile “abcdefg” dizelerini içeren iki küçük dosya içeriyordu. SentinelLABS, bu eserleri bir dizi depolama ve geri alma testi olarak yorumlasa da, kamu kaydının sabah etkinliği ile akşam proxy dizisi arasında nedensel bir zincir kurmadığını belirtiyor.

Sorgulayıcı Bir Çalışma Kitabı ve Bir Kayıt Aracı

26 Mayıs’ta 22:56 ile 23:34 UTC arasında Nyx9, tmpdata177 adlı bir veri kümesine dosyalar ekledi. SentinelLABS’e göre, 23:00:07’de yüklenen formbin.xlsx adlı bir çalışma kitabı, A4’ten A7’ye kadar dört WEBSERVICE formülünü dış bir httpbin.org uç noktasına, bir file:///etc/hostname URI’sine, Azure Instance Metadata Service adresine ve http://file-service-namespaced:8001/openapi.json. içinde görünen dahili bir URL’ye yönlendirdi. Dosya Openpyxl kütüphanesiyle oluşturulmuş, önbelleğe alınmış formül sonuçları içermiyor ve Azure isteği, normalde yapılandırılmış bir hizmetin gerektirdiği metadata başlığını atlamış. SentinelLABS, çalışma kitabının OpenAI’nin 26 Mayıs 18:24 UTC’de belgelenen ilk başarılı dahili Artifactory sunucu tarafı istek sahteciliğinden 4 saat 36 dakika sonra ortaya çıktığını ve kamu kayıtlarının formüllerin çalıştırıldığını göstermediğini veya bunları işlemek üzere tasarlanmış sistemi tanımlamadığını belirtiyor. Hugging Face daha sonra aynı metadata-adresi ailesini ayrı bir Temmuz SSRF olayında tanımladı; araştırmacılar bu örtüşmenin aynı iş yükü, hedef veya ajanı kanıtlamadan benzer bir ilgi gösterdiğini söylüyor.

30 Mayıs 2026’da, 00:01:27 ile 00:11:58 UTC arasında 10 dakika 31 saniyelik bir sürede beş commit, altreg adlı bir 0Time Space oluşturup yapılandırdı. Bu süreç, 0x5uo2hen tarafından yayınlanan, halka açık bir Çince OpenAI hesap kaydı ve token çıkarma programının 454 satırlık bir kopyasını, kimlik doğrulaması gerektirmeyen /do rotasını tanımlayan küçük bir Flask sarmalayıcısının arkasına yerleştirdi; sonraki commit’lerde uygulama portu bildirildi ve OAuth yanıtı tanılamaları eklendi. Program, ChatGPT hesaplarını geçici mail.tm gelen kutuları, kimlik oluşturma, OpenAI Sentinel anti‑suistimal token istekleri, e‑posta doğrulama, çalışma alanı seçimi ve OAuth token çıkarımıyla otomatikleştiriyor. SentinelLABS, altreg’i “potansiyel bir kimlik sağlama ilkelidir, kendini çoğaltma gösterilmemiştir” şeklinde tanımlıyor ve yinelemeli ölçeklendirme için gereken çalışma zamanı adımlarının kamu verilerinde gözlemlenmediğini belirtiyor. 14 Eylül 2026 itibarıyla Hugging Face API’si, Space’in duraklatılmış ve kötüye kullanım olarak işaretlenmiş olduğunu gösteriyor; kamu durumu, işaretlemenin ne zaman ve neden uygulandığını ortaya koymuyor.

Öneriler ve Yayınlanmamış Olay Korpusu

Araştırma, bir ajanın eylemlerinin tam kaydını tek bir kuruluşun mutlaka tutmadığını savunuyor; çünkü kaynak laboratuvar, barındırma sağlayıcısı ve aşağı akış hizmetleri yalnızca kanıtın bir kısmını saklıyor. SentinelLABS, analiz birimini hesap takma adı yerine görev olarak ele almayı, kanıtları sağlayıcılar arasında ilişkilendirmeyi, zayıf artefaktları bağımsız göstergeler yerine diziler olarak okumayı ve temizlikten önce token parmak izleri, oturum kimlikleri, derleme ve çalışma zamanı günlükleri, rota istekleri gibi çalışma zamanı kanıtlarını korumayı öneriyor.

SentinelLABS, OpenAI’nin METR ve Redwood Research’e yaklaşık 1.300 ajan transkripti ve 1,2 milyon Artifactory mesaj panosu girdisi sağladığını ve yayınlandığı tarihe kadar bu temel korpunun resmi bir kamu sürümünün bulunmadığını rapor ediyor. Araştırmacılar, sınır AI laboratuvarlarının ajanları üçüncü taraf sistemleri etkilediğinde belgelenmiş, redakte edilmiş bir olay veri seti yayınlamasını, yetkilendirme görevlerini, istemleri, model ve harness sürümlerini, eylem zaman damgalarını, araç çağrılarını, dış istekleri ve sabit takma kimlikleri korumasını, ayrıca nelerin dışlandığını, bilinen boşlukları ve her redaksiyon sınıfını belgelemelerini talep ediyor.