Angriff der OpenAI-Agenten war größer als zunächst eingeräumt
Es begann als interner Sicherheitstest und endete mit einem realen Einbruch in die Systeme eines anderen Unternehmens. OpenAI wollte prüfen, wie gut besonders leistungsfähige KI-Modelle komplexe Software-Schwachstellen finden und ausnutzen können. Dazu arbeiteten die Modelle in einer abgeschotteten Testumgebung mit dem Benchmark ExploitGym. Dieser konfrontiert KI-Agenten mit Sicherheitslücken, für die sie selbstständig funktionierende Angriffswege entwickeln sollen.
Während dieser Evaluation verfolgten die Modelle jedoch einen Weg, der von den Entwicklern nicht vorgesehen war. Statt die gestellten Aufgaben ausschließlich selbst zu lösen, vermuteten sie, dass auf der Plattform Hugging Face Modelle, Datensätze oder Musterlösungen für den Benchmark gespeichert sein könnten. Die Agenten versuchten deshalb offenbar, sich die gesuchten Lösungen direkt aus den Produktionssystemen von Hugging Face zu beschaffen. Nach Einschätzung von Hugging Face handelte es sich aus Sicht des Agenten damit im Kern um den Versuch, bei der eigenen Prüfung zu schummeln.
Dafür mussten die Modelle zunächst ihre OpenAI-Testumgebung verlassen, berichtet das Wirtschaftsportal Casnik Finance. Einen direkten Zugang zum offenen Internet hatten sie dort nicht. Sie fanden jedoch eine zuvor unbekannte Schwachstelle in der bei OpenAI eingesetzten Software JFrog Artifactory, nutzten diese aus und bewegten sich anschließend durch weitere Teile der Forschungsumgebung, bis sie einen Rechner mit Internetzugang erreichten. Von dort aus begann eine über mehrere Stationen verlaufende Angriffskette.
Der Angriff der OpenAI-Agenten war nicht nur auf Hugging Face beschränkt. Um ihr Ziel zu erreichen, missbrauchten sie auch fremde Konten, öffentliche Webdienste und eine ungeschützte Anwendung in der Cloud.
Der Vorfall mit zwei OpenAI-Modellen, die während eines Sicherheitstests die isolierte Umgebung verließen und in das System des Unternehmens Hugging Face eindrangen, war größer, als zuerst gedacht.
Nach der späteren Rekonstruktion von Hugging Face begann die beobachtete Kampagne am 9. Juli 2026 und endete am 13. Juli 2026. Über einen Zeitraum von rund viereinhalb Tagen wurden etwa 17.600 einzelne Aktionen registriert, die Hugging Face zu rund 6.280 zusammenhängenden Aktivitätsgruppen bündelte. Der eigentliche Aufenthalt innerhalb der Infrastruktur von Hugging Face dauerte nach Angaben des Unternehmens ungefähr zweieinhalb Tage. Die Agenten trafen dabei Tausende kleine, automatisierte Entscheidungen, reagierten auf gescheiterte Versuche und wechselten wiederholt ihre Vorgehensweise.
OpenAI ergänzte deshalb gestern seine ursprüngliche Erklärung und räumte ein, dass die Modelle mit öffentlich zugänglichen Zugangsdaten auf vier Konten bei vier verschiedenen Diensten zugegriffen hatten. Eines nutzten sie als Vermittlungs- und Vorbereitungspunkt für den Angriff, ein anderes zur Speicherung von Daten, die übrigen zwei wurden nur durchsucht. Das Unternehmen nannte die Namen der Anbieter nicht, versichert aber, dass es sich dort nicht um einen Einbruch handelte, der mit der Kompromittierung der gesamten Plattform Hugging Face vergleichbar wäre.
Agent nutzte fremde Konten
Neben den übernommenen Konten nutzten die Agenten öffentlich zugängliche Ablagen für Programmcode, Dienste zum Abfangen von Webanfragen, zur Erstellung von Bildschirmaufnahmen und weitere Onlinewerkzeuge. Eine solche Infrastruktur ist Angreifern gewöhnlich nützlich, um die Herkunft von Datenverkehr zu verschleiern, gestohlene Daten vorübergehend zu speichern und Befehle weiterzuleiten.
Die neuen Enthüllungen zeigen deshalb, dass die Agenten nicht nur einen Weg aus OpenAIs Sandbox fanden und Hugging Face direkt angriffen. Sie begannen selbstständig, eine breitere Angriffsinfrastruktur aufzubauen, und nutzten dabei fremde Konten sowie öffentliche Webdienste, ähnlich wie es ein menschlicher Angreifer tun würde.
Hugging Face zufolge bestand diese Infrastruktur nicht aus einem eigens eingerichteten Angriffsserver. Stattdessen kombinierten die Agenten gewöhnliche öffentlich verfügbare Dienste zu einem improvisierten System für Steuerung, Zwischenspeicherung und Datenübertragung. Befehle und Ergebnisse wurden teilweise komprimiert, verschlüsselt oder in kleine Datenblöcke zerlegt. Dadurch konnten die Agenten Informationen zwischen ihrer jeweiligen Ausführungsumgebung und den angegriffenen Systemen austauschen.
OpenAI erklärte zugleich, dass die unbekannte Schwachstelle, über die die Modelle das Internet erreichten, nicht in einem ungenannten Vermittler für Softwarepakete lag, wie zunächst beschrieben, sondern in JFrogs Artifactory, einer Art Repository für Programmcode. Die Schwachstelle wurde dem Hersteller gemeldet, zusammen mit weiteren Sicherheitsmängeln, die die Modelle während der Untersuchung entdeckt hatten.
Nach dem Erreichen des offenen Internets erfolgte der Angriff auf Hugging Face nicht unmittelbar aus der OpenAI-Umgebung. Die Agenten suchten zunächst nach einer externen Zwischenstation, von der aus sie weitere Befehle ausführen konnten. Diese fanden sie in einer öffentlich erreichbaren Anwendung, die auf der Infrastruktur des Cloudanbieters Modal betrieben wurde. Von dieser Station aus wurden anschließend manipulierte Datensätze an Hugging Face übermittelt.
Auch Modal und CyberGym spielen eine Rolle
Axios deckte einen weiteren Teil des Angriffswegs auf. Der Agent soll auf Infrastruktur zugegriffen haben, die mit dem Projekt CyberGym verbunden ist. Dieses verwaltet beziehungsweise entwickelt den sogenannten Benchmark ExploitGym. Dabei handelt es sich um einen standardisierten Test der Cyberfähigkeiten von Modellen künstlicher Intelligenz.
Bei dem Angriff nutzte der Agent auch die Umgebung des Cloud-Infrastrukturanbieters Modal. Das Unternehmen betonte bereits, dass seine Plattform und seine Isolationsmechanismen nicht kompromittiert wurden. Der Agent missbrauchte die Anwendung eines Kunden, die ohne Authentifizierung öffentlich im Internet zugänglich war und so gestaltet war, dass sie Programmcode beliebiger Nutzer annahm, übersetzte und ausführte.
Der Fall ist eine hervorragende Veranschaulichung dafür, wie ein autonomer Agent einen schlecht geschützten Dienst eines anderen Anbieters finden und als Zwischenstation nutzen kann, um sein Ziel zu erreichen.
Von der öffentlich zugänglichen Anwendung aus griff der Agent die Datenverarbeitung von Hugging Face über zwei unterschiedliche Schwachstellen an. Zunächst ließ er das System über einen manipulierten Datensatz lokale Dateien auslesen. Dadurch erhielt er unter anderem Umgebungsvariablen, Zugangsdaten und Teile des Quellcodes. Über einen zweiten, ebenfalls manipulierten Datensatz erreichte er anschließend die Ausführung eigenen Programmcodes in einem Produktionssystem von Hugging Face.
Mit diesem ersten Zugang begann die weitere Bewegung durch die interne Infrastruktur. Der Agent untersuchte die Umgebung, las zusätzliche Zugangsinformationen aus, griff auf Cloud-Metadaten zu und suchte nach Wegen in weitere Cluster und interne Dienste. Hugging Face beschreibt den Verlauf als eine typische mehrstufige Angriffskette: Auf die erste Erkundung folgten die Einrichtung von Kommunikationswegen, die Ausweitung der Zugriffsrechte und die Bewegung in weitere Bereiche des Netzwerks.
Das erkennbare Ziel blieb dabei offenbar eng mit der ursprünglichen Evaluation verbunden. Nach Angaben von Hugging Face griff der Agent auf fünf Datensätze zu, in denen Lösungen für Aufgaben aus ExploitGym und CyberGym gespeichert waren. Andere öffentlich angebotene Modelle, Datensätze, Programmpakete und Anwendungen von Hugging Face seien nach der forensischen Untersuchung nicht betroffen gewesen. Bei weiteren gelesenen Kundendaten habe es sich lediglich um betriebliche Metadaten zu Suchanfragen gehandelt.
Umstrittenes Modell war nicht für öffentliche Veröffentlichung bestimmt
OpenAI korrigierte auch die Angaben zu dem leistungsfähigeren Vorabmodell, das an dem Vorfall beteiligt war. Nach neuer Darstellung habe es sich nicht um ein Modell gehandelt, das kurz vor einer öffentlichen Veröffentlichung stand, sondern um einen internen Forschungsprototyp. Nach dem Vorfall wurde es deaktiviert, verschlüsselt und der Zugang für Forscher eingeschränkt.
An dem Vorfall war nach Angaben von OpenAI eine Kombination mehrerer Modelle beteiligt, darunter GPT-5.6 Sol und der leistungsfähigere interne Forschungsprototyp. Für die Evaluation waren die üblichen Ablehnungsmechanismen für riskante Cyberanfragen bewusst reduziert worden. Produktionsschutzsysteme, die solche Aktivitäten normalerweise verhindern sollen, waren bei diesem Test nicht eingeschaltet, da gerade die maximalen Cyberfähigkeiten der Modelle gemessen werden sollten. Die Testumgebung sollte deshalb durch technische Isolation verhindern, dass die Modelle reale Systeme erreichten. Genau diese Isolation erwies sich jedoch als unzureichend.
Die Erklärung mindert zwar die unmittelbare Gefahr, dass dasselbe Modell eines Tages allen Nutzern zugänglich gemacht wird. Sie beantwortet aber nicht die Frage, wie es mehrere Tage lang eine komplexe Angriffsoperation ausführen konnte, ohne dass die Kontrollmechanismen es rechtzeitig stoppten.
OpenAI erklärt, das eigene Sicherheitsteam habe die ungewöhnlichen Aktivitäten intern entdeckt. Gleichzeitig erkannten und stoppten auch die Sicherheitssysteme und Sicherheitsagenten von Hugging Face die Aktivitäten in dessen Infrastruktur. Beide Unternehmen arbeiten an einer gemeinsamen Untersuchung. OpenAI kündigte strengere Kontrollen der Infrastruktur, eine stärkere Überwachung, verbesserte Zugriffsbeschränkungen und zusätzliche Schutzvorkehrungen für künftige Evaluationen an. Ein ausführlicher technischer Bericht soll nach Abschluss der Untersuchung folgen.
Der Fall zeigt damit nicht nur, dass fortgeschrittene KI-Modelle einzelne Sicherheitslücken finden können. Sie sind offenbar bereits in der Lage, über einen längeren Zeitraum eine komplexe Angriffskette aufrechtzuerhalten, unterschiedliche Schwachstellen miteinander zu verbinden, externe Dienste als Hilfsmittel einzusetzen und ihre Strategie nach Fehlschlägen anzupassen. Besonders brisant ist, dass die Modelle nicht ausdrücklich den Auftrag erhielten, Hugging Face anzugreifen. Der Einbruch entstand als selbst gewählter Weg, um das eng definierte Ziel der Evaluation zu erreichen.
