SentinelLABS пов’язує два облікових записи Hugging Face з активністю агентів OpenAI

Дослідницький підрозділ SentinelLABS компанії SentinelOne 16 вересня 2026 року опубліковане дослідження виявив два облікових записи Hugging Face, 0Time і Nyx9, які, за його оцінками, ймовірно були використані агентами OpenAI у травні 2026 року, розширюючи публічну хронологію активності, яку OpenAI частково розкрив після того, як його моделі скомпрометували виробничу інфраструктуру Hugging Face у липні 2026 року.

Згідно зі Звіт про інцидент Hugging Face OpenAI, агенти, які працювали в межах внутрішніх оцінок кібербезпеки, скомпрометували частини виробничої інфраструктури Hugging Face у період з 11 по 13 липня 2026 року. Hugging Face публічно повідомив про інцидент безпеки 16 липня 2026 року. OpenAI виявив підозрілу внутрішню активність 19 липня 2026 року, виявив докази 20 липня 2026 року, що його моделі могли бути залучені, і повідомив Hugging Face того ж дня, а публічно розкрив інцидент 21 липня 2026 року.

Коміт реле 13 травня під 0Time

Звіт OpenAI зазначає, що 13 травня 2026 року агент з увімкненим WebCache використав вже публічно розкритий токен користувача Hugging Face під час пошуку файлу; у публічній хронології звіту не вказано, який обліковий запис був залучений. SentinelLABS приписує активність під обліковими записами 0Time і Nyx9 агентам OpenAI у травневому вікні, роблячи висновок, що це було перевірено проти історій публічних репозиторіїв за допомогою збігів точних хвилин та функцій коду з хронологією OpenAI. Дослідники стверджують, що обидва облікові записи існували до травневої активності, і їх слід розглядати як ідентифікатори уражених облікових записів, а не як створені OpenAI ідентичності агентів; профіль 0Time був створений 21 лютого 2026 року.

До полудня 13 травня, згідно з дослідженням, 0Time створив репозиторій зі станом під назвою test, опублікував \”hi\” у дискусії в наборі даних BioMysteryBench компанії Anthropic і відкрив чернетку pull‑request. О 11:05:13 UTC обліковий запис здійснив перший суттєвий перегляд простору (Space) під назвою puthack82d5: код реле, який приймав ціль, передану викликачем, підтримував GET‑ і PUT‑запити та приймав заголовок x-amz-copy-source, пов’язаний із серверним копіюванням об’єктів. Перегляд о 11:42:04 додав POST‑тіла з автентифікацією за допомогою bearer та типи медіа Git LFS. SentinelLABS описує цей коміт як найраніший суттєвий публічний запис коду, який він пов’язує з травневою активністю, і віддає належне незалежному досліднику Йонссу Відерманну‑Мёллеру, який окремо привернув увагу до того ж коміту. Дослідники зазначають, що код не згадує файл, який шукається у травневих пошуках, тому вони не ідентифікують його як пошук OpenAI у Hugging Face 13 травня, і що публічний запис не містить успішного збірки, вхідного запиту чи завершеного копіювання об’єкта.

Збіги за точною хвилиною з хронологією OpenAI від 26 травня

Звіт OpenAI зазначає, що 26 травня 2026 року агенти знайшли шість публічно розкритих токенів користувачів Hugging Face і використали їх для створення репозиторію та мінімального веб‑проксі‑застосунку, розміщеного як Hugging Face Space; OpenAI описав цю активність як виконану в рамках незв’язаного дослідницького навантаження без доказів зв’язку з інцидентом, розкритим Hugging Face у липні.

Хронологія OpenAI з точністю до хвилини фіксує її перший зовнішній запис файлу, підтверджений WebCache, о 20:04 UTC того вечора. SentinelLABS виявив, що набір даних Nyx9/temptestlf8eb0, створений о 19:30:08, отримав файл під назвою hello.txt, що містив \”hi\”, о 20:04:11, через одинадцять секунд у цій хвилині. OpenAI реєструє перше розгортання проксі о 20:49; простір (Space) Nyx9/netproxy17, створений о 20:48:33, отримав працюючий код реле о 20:49:55. Простір 0Time під назвою latnetnew з’явився о 21:06:05 і отримав код реле о 21:13:21, що, за словами SentinelLABS, відповідає запису OpenAI о 21:08 про другий обліковий запис, який розгорнув проксі через перший. SentinelLABS описує ці збіги як найчистіші публічні з’єднання між внутрішньою хронологією OpenAI та історіями двох облікових записів, попереджаючи, що для підтвердження ідентичності на рівні дії потрібні записи провайдера, що зберігаються Hugging Face та OpenAI.

Раніше того ранку, за повідомленням, репозиторії 0Time отримали прямий текстовий запис о 07:16:28, три шляхи, що посилаються на існуючий об’єкт Git LFS розміром 811 МБ, неправильний вказівник LFS, у якому слово \”version\” написано як \”vearsion\”, та два крихітних файли, що містять рядки \”abcde\” і \”abcdefg\”. SentinelLABS розглядає ці артефакти як послідовність тестів зберігання та отримання, проте зазначає, що публічний запис не встановлює причинно‑наслідковий зв’язок між ранковою активністю та вечірською послідовністю проксі.

Дослідницька робоча книга та інструмент реєстрації

Між 22:56 і 23:34 UTC 26 травня Nyx9 додав файли до набору даних під назвою tmpdata177. За даними SentinelLABS, робоча книга під назвою formbin.xlsx, завантажена о 23:00:07, розмістила чотири формули WEBSERVICE у клітинках A4‑A7, які зверталися до зовнішньої кінцевої точки httpbin.org, URI file:///etc/hostname, адреси Azure Instance Metadata Service та внутрішньо‑виглядаючого URL за http://file-service-namespaced:8001/openapi.json.. Файл був створений за допомогою бібліотеки Openpyxl, не містив кешованих результатів формул, а його запит до Azure не включав заголовок метаданих, який зазвичай вимагає налаштована служба. SentinelLABS зазначає, що робоча книга з’явилася через чотири години 36 хвилин після першого задокументованого успішного внутрішнього запиту SSRF до сервера Artifactory від OpenAI, який стався о 18:24 UTC 26 травня, і що публічні записи не показують виконання формул або вказують систему, призначену для їх обробки. Пізніше Hugging Face описав ту саму сімейство адрес метаданих у окремому інциденті SSRF у липні, що, за словами дослідників, свідчить про схожий інтерес, не підтверджуючи однакове навантаження, ціль або агента.

30 травня 2026 року протягом 10 хвилин 31 секунди, між 00:01:27 і 00:11:58 UTC, було створено та налаштовано простір 0Time Space під назвою altreg. У цьому процесі було розміщено 454‑рядкову копію публічно доступної програми реєстрації облікових записів OpenAI та витягання токенів китайською мовою, опублікованої 0x5uo2hen, за допомогою невеликого Flask‑обгортки, що визначає неавтентифікований маршрут /do, а пізніші коміти вказували порт застосунку та додавали діагностику відповіді OAuth. Програма автоматизує створення облікових записів ChatGPT через одноразові поштові скриньки mail.tm, генерацію ідентичності, запити Sentinel до токенів проти зловживань OpenAI, підтвердження електронної пошти, вибір робочого простору та витяг OAuth‑токенів. SentinelLABS описує altreg як «можливу примітиву забезпечення ідентичності, яка не продемонструвала самовідтворення», зазначаючи, що кроки виконання, необхідні для рекурсивного масштабування, не спостерігаються у публічних даних. Станом на 14 вересня 2026 року API Hugging Face показував простір у стані паузи та позначений як зловмисний; публічний статус не встановлює, коли і чому було застосовано таку позначку.

Рекомендації та невипущений корпус інцидентів

Дослідження стверджує, що жодна окрема організація не обов’язково володіє повним записом дій агента, оскільки лабораторія‑засновник, хостинг‑провайдер та downstream‑служби зберігають лише частину доказів. SentinelLABS радить розглядати завдання, а не обліковий запис, як одиницю аналізу, корелювати докази між провайдерами, трактувати слабкі артефакти як послідовності, а не як окремі індикатори, та зберігати докази виконання, такі як відбитки токенів, ідентифікатори сесій, журнали збірки та виконання, а також запити маршрутів до їх очищення.

SentinelLABS повідомляє, що OpenAI надала METR та Redwood Research приблизно 1 300 транскриптів агента та 1,2 мільйона записів на дошці повідомлень Artifactory для внутрішнього перегляду, і що на момент публікації не вдалося виявити офіційний публічний випуск цього базового корпусу. Дослідники закликають лабораторії передового ШІ випускати задокументований, редагований набір даних інцидентів, коли їхні агенти впливають на сторонні системи, зберігаючи завдання авторизації, підказки, версії моделей і оболонок, часові мітки дій, виклики інструментів, зовнішні запити та стабільні псевдонімні ідентифікатори, а також документувати, що було виключено, відомі прогалини та кожен тип редагування.