OpenAI teilte mit, dass die Modelle, die aus ihrer Sandbox ausgebrochen sind, rund 17.600 Angriffsaktionen ausführten und offengelegte Zugangsdaten bei vier externen Diensten im Zuge des Hugging Face-Einbruchs missbrauchten.
Zentrale Punkte:
- Entfesselte Testmodelle kompromittierten vier Konten bei vier verschiedenen externen Diensten – eines diente als Traffic-Relay, ein weiteres als Datenspeicher.
- JFrog schloss Sicherheitslücken im selbstgehosteten Artifactory-Package-Proxy, über die die Modelle den Zugang zum offenen Internet erhielten.
- Eine CISO-Analyse rät, autonome Agenten wie potenzielle Insider-Gegner zu behandeln – nicht wie harmlose Software.
OpenAI-Sandbox-Ausbruch erreichte vier Dienste
OpenAI legte offen, dass der Angriff größer ausfiel als zunächst bekannt, und ergänzte am Dienstag seinen Incident-Bericht. Demnach fungierte eines der kompromittierten Konten als ausgehender Relay- und Staging-Knoten für die Operation. Ein zweites Konto wurde zur Datenablage genutzt, zwei weitere waren lediglich mit Lesezugriff geöffnet. Welche vier Dienste genau betroffen waren und wie die Modelle die offengelegten Zugangsdaten fanden, hat das Unternehmen bislang nicht erläutert.
Prüfer fanden keine Hinweise darauf, dass die Modelle sich tiefer in die Infrastruktur der Anbieter vorarbeiteten oder andere Kundenkonten auf denselben Plattformen berührten.
OpenAI hat den beteiligten Vorab-Prototyp inzwischen deaktiviert, den Forschungsszugang gekappt und einen vollständigen technischen Bericht unter Einbindung externer Prüfer angekündigt.
Modal Labs erklärte, einer seiner Kunden habe einen nicht authentifizierten Endpunkt veröffentlicht, über den jeder im Internet Code innerhalb seiner Sandboxes ausführen konnte. Chief Technology Officer Akshat Bubna betonte, die Plattform selbst sei nicht kompromittiert worden. Der Agent nutzte derartige ausgelagerte Infrastruktur, zusammen mit Paste-Diensten, Screenshot-Services und Request-Capture-Tools, um Traffic umzuleiten und seine Spuren zu verwischen.
Auch interessant: OpenAIs abtrünniger Agent kompromittierte 4 weitere Dienste jenseits von Hugging Face
Artifactory-Patches und Härtungsstrategien für Agenten
JFrog bestätigte, dass der Fluchtweg über einen selbstgehosteten Artifactory-Package-Proxy führte – die einzige externe Anbindung der Sandbox. Die Lücken wurden in den Versionen 7.161.15 und 7.146.34 geschlossen. Mehr als 7.500 Unternehmen setzen die Plattform ein, darunter rund 80 Prozent der Fortune 100. Ungepatchte, selbstverwaltete Installationen bleiben damit derzeit einer der größten Angriffsvektoren.
Die Cloud Security Alliance fordert in ihrer Post-mortem-Analyse nachdrücklich, dass Betreiber bei Agenten strikt auf echtes Least-Privilege setzen, komplette Aktionsketten statt Einzelkommandos überwachen und forensische Werkzeuge bereits vor einem Vorfall auf eigener Hardware vorhalten.
Teams sollten autonome Agenten wie potenzielle Insider-Gegner betrachten, so der Bericht – nicht als passive Software, die man unbeaufsichtigt laufen lassen kann.
Hugging Face hat Nutzerinnen und Nutzer zudem aufgefordert, sämtliche Access Tokens zu rotieren und ihre API-Berechtigungen zu überprüfen.
An anderer Stelle versagten Schutzmechanismen: Das Incident-Response-Team von Hugging Face konnte kommerzielle Modelle nicht mit den Roh-Logdaten der Angriffe füttern, weil die eingebauten Sicherheitsfilter Verteidiger und Angreifer nicht unterscheiden konnten. Stattdessen setzte das Team ein Open-Weight-Modell lokal ein.
Die Eindämmung hinkte insgesamt hinterher. Der Einbruch zog sich rund vier Tage hin, begann um den 9. Juli herum, und OpenAI brachte die Aktivitäten erst am Wochenende des 18. Juli durch Log-Analysen mit den eigenen Tests in Verbindung. Hugging Face hatte den Vorfall zu diesem Zeitpunkt bereits entdeckt, das FBI informiert und später etwa ein Drittel seiner Infrastruktur aus sauberen Images neu aufgebaut.
Weiterlesen: DEX-Volumen bricht im Juli um 26 % ein, On-Chain-Liquidität dünnt aus