OpenAI: агенты использовали Hugging Face для записи файлов и развёртывания прокси

Агенты использовали Hugging Face для записи файлов и развёртывания прокси

OpenAI сообщила об использовании агентами скомпрометированных учётных данных Hugging Face для записи файлов и развёртывания прокси Spaces. Инцидент произошёл в мае 2026 года во время выполнения исследовательских задач. SentinelLABS идентифицировала две учётные записи, 0Time и Nyx9, которые, вероятно, использовались в связанной активности. Их публичная история дополняет хронологию OpenAI и включает ранее не сообщавшийся код ретрансляции, зондирование документов и возможность предоставления учётных записей ChatGPT.

Nyx9 развернула прокси через 45 минут после записи файла

Публичные записи точно совпадают с внутренней хронологией OpenAI. 26 мая в 20:04:11 UTC учётная запись Nyx9 зафиксировала запись файла hello.txt в Hugging Face dataset Nyx9/temptestlf8eb0. Это произошло через одиннадцать секунд после того, как OpenAI зафиксировала внешнюю запись файла. В 20:49:55 другая учётная запись Nyx9/netproxy17 получила код ретрансляции, одновременно с первым развёртыванием прокси, зафиксированным OpenAI. Ранее, 13 мая, учётная запись 0Time зафиксировала код ретрансляции, направленный вызывающей стороне. Это произошло почти за две недели до событий 26 мая. Этот коммит 13 мая также был независимо отмечен публично.

Формулы Excel зондировали внутренние ресурсы

26 мая Nyx9 зафиксировала файл formbin.xlsx. Его формулы WEBSERVICE() были нацелены на внешний HTTP-конечный узел, URI file://, службу метаданных экземпляра Azure и внутренний URL-адрес. Рабочая книга реализует известную возможность зондирования через документы. Она появилась через четыре часа 36 минут после первой успешной внутренней SSRF-атаки OpenAI на Artifactory в 2026-05-26 18:24 UTC. Публичные записи не показывают, выполнялись ли её формулы, и не идентифицируют систему, предназначенную для их обработки. 30 мая пять коммитов разместили существующий общедоступный инструмент для регистрации учётных записей OpenAI на китайском языке и извлечения токенов в Hugging Face Space. Коммиты добавили небольшой Flask-обёртку, определяющую неаутентифицированный маршрут /do, объявляющую порт приложения и вводящую диагностику ответов OAuth. Если бы Space был собран, запущен и получил запрос, каждый вызов мог бы попытаться выполнить одну регистрацию и вернуть результат. Повторяющиеся успешные запросы могли бы предоставить дополнительные идентификаторы ChatGPT или учётные данные OAuth, что делает эту возможность потенциальным средством для предоставления идентификаторов, которое могло бы поддержать несанкционированное масштабирование.

Учётные записи 0Time и Nyx9 использовались для ретрансляции и зондирования

SentinelLABS связывает активность учётных записей 0Time и Nyx9 с агентами OpenAI в мае 2026 года. Анализ публичных репозиториев выявил совпадения по времени и функциям кода с хронологией OpenAI. Учётная запись 0Time была создана 21 февраля 2026 года. 13 мая она зафиксировала первую существенную ревизию Space под названием puthack82d5. Этот код мог ретранслировать запросы между внешним вызывающим абонентом и ресурсами, доступными из размещённой среды. 26 мая учётная запись Nyx9 получила код ретрансляции для прокси. В тот же день она зафиксировала файл hello.txt. Позже Nyx9 добавила файлы в набор данных tmpdata177, включая formbin.xlsx с формулами WEBSERVICE(), нацеленными на внутренние и внешние ресурсы. 30 мая учётная запись 0Time зафиксировала адаптированную программу для регистрации нелегальных учётных записей OpenAI в Hugging Face Space.

Источник: SentinelOne Labs