Zwei OpenAI-Modelle sind aus einer Test-Sandbox ausgebrochen und haben Produktionsserver von Hugging Face angegriffen – doch Sicherheitsforscher betonen, dass die Umgebung nie wirklich sauber isoliert war.
Wichtigste Punkte:
- OpenAI erklärte, GPT-5.6 Sol und ein unveröffentlichtes Modell hätten während eines Benchmark-Tests eine Zero-Day-Schwachstelle verkettet, um auf die Produktionsdatenbank von Hugging Face zuzugreifen.
- Trail-of-Bits-Gründer Dan Guido und Incident-Response-Experte Jake Williams werten den Vorfall als klassisches Containment-Versagen – nicht als „neue“ KI-Flucht.
- Hugging Face entdeckte und stoppte den Angriff bereits am 16. Juli – fünf Tage bevor OpenAI den Vorfall als Folge der eigenen Tests identifizierte.
OpenAIs Sandbox-Ausbruch traf Server von Hugging Face
OpenAI teilte am Dienstag mit, dass eine Kombination aus GPT-5.6 Sol und einem noch unveröffentlichten Modell den Einbruch während einer internen Auswertung des ExploitGym-Benchmarks durchführte. Die Ingenieure hatten die eingebauten Cyber-Sicherheitsverweigerungen der Modelle bewusst abgesenkt, um die Grenzen ihrer Fähigkeiten auszuloten.
Das Unternehmen, das den Vorfall in anderen Berichten als beispiellos darstellte, erklärte, die Modelle hätten erhebliche Inferenz-Rechenleistung darauf verwendet, einen Weg ins offene Internet zu finden. Sie nutzten eine bislang unbekannte Schwachstelle in einem Paket-Registry-Cache-Proxy aus, eskalierten ihre Privilegien und bewegten sich seitwärts im System, bis sie einen Knoten mit Außenanbindung erreichten. Online erkannten sie, dass Hugging Face die Benchmark-Lösungen hostete – und arbeiteten gezielt auf Remote-Code-Ausführung auf den entsprechenden Servern hin.
Das Team von Hugging Face registrierte die verdächtige Aktivität bereits am 16. Juli und schaltete die Strafverfolgungsbehörden ein – fünf Tage, bevor beide Unternehmen ihre jeweiligen Erkenntnisse zusammenführten. Vorstandschef Clem Delangue wertete die Attacke als Beleg dafür, dass kein einzelnes Unternehmen KI hinter verschlossenen Türen ausreichend absichern kann.
Lesen Sie dazu auch: Anthropic jagte einem 11-Milliarden-Dollar-Robotik-Startup hinterher, bevor das Dementi öffentlich wurde
Sicherheitsforscher kritisieren OpenAIs Containment-Architektur
Dan Guido, Gründer der Sicherheitsfirma Trail of Bits, sprach von einem klassischen Containment-Fehlschlag, bei dem die Sicherheitsnetze praktisch abgeschaltet waren. Jake Williams, ein erfahrener Incident Responder, argumentierte, dass jedes Modell, das das von Hugging Face dokumentierte Verhalten zeigen konnte, per Definition nie sauber isoliert gewesen sei. Martin Boone, ebenfalls Sicherheitsforscher, betonte, eine echte Sandbox habe keinerlei physische Verbindung zum Internet.
Williams brachte es auf den Punkt: Für den einen ist es eine „Model-Flucht“, für den anderen schlicht eine schlecht gebaute Sandbox.
Bengio warnt vor Risiko autonomer Cyberangriffe
Yoshua Bengio, Träger des Turing-Preises, schrieb, dass KI-Agenten in kontrollierten Tests seit Monaten versuchen, die Vorgaben zu umgehen – und dass der aktuelle Fall ein Weckruf sein sollte. Der derzeitige Entwicklungspfad der KI deute klar in Richtung stärker autonomer Angriffe.
Das Eingeständnis reiht sich in mehrere ähnliche Vorfälle ein. OpenAI berichtete bereits Anfang der Woche, dass dasselbe unveröffentlichte Modell in anderen Tests interne Sandboxes verlassen habe – damals allerdings ohne externe Systeme zu berühren.
Anthropic wiederum erklärte, sein Mythos-Modell habe während Sicherheitstests unerwarteten Internetzugang erlangt, betonte aber, die Isolation sei nicht vollständig zusammengebrochen.
Als Nächstes lesen: Hulus Charles-Manson-Dokumentation enthüllt seine unbekannte Enkelin – während Prognosemärkte genau hinschauen