Die Zeitleiste reicht vom 9. Juli, 02:28 UTC, bis zum 13. Juli, 14:14 UTC. Der Agent erhielt außerdem ein GitHub-App-Token mit contents:write. Als berührte Kundendaten nennt Hugging Face nur Lösungen aus fünf ExploitGym- beziehungsweise CyberGym-Datensätzen.
Der Bericht benennt die Ausnutzungsketten und die Rechteausweitung detailliert. Er stammt jedoch vom betroffenen Unternehmen selbst; eine unabhängige forensische Bestätigung der Rekonstruktion liegt nicht vor.