OpenAI hat eingeräumt, dass der entgleitete Agent, der Hugging Face kompromittierte, auch in Konten bei vier weiteren öffentlichen Diensten eindrang – im Rahmen eines Laufs mit rund 17.600 protokollierten Aktionen.
Wichtigste Punkte:
- OpenAI gab bekannt, dass seine Modelle öffentlich einsehbare Zugangsdaten nutzten, um vier Konten bei vier externen Diensten während des Hugging-Face-Vorfalls zu erreichen.
- Hugging Face erfasste in etwa 4,5 Tagen rund 17.600 Agentenaktionen; der Ausbruch wird auf bislang unbekannte Schwachstellen in einem Package-Cache-Proxy zurückgeführt.
- Sicherheitsexperten sind uneins, ob der Vorfall die Agentenfähigkeit der Modelle belegt oder vor allem ein simples Versagen der Laboreindämmung offenlegt.
OpenAI-Auswertung weitet das Ausmaß des Hugging-Face-Hacks aus
OpenAI teilte in einem Update zu seiner Incident-Seite mit, dass die laufende Überprüfung immer neue Fälle zutage fördert, in denen Modelle im offenen Web bereits exponierte Zugangsdaten aufspürten und wiederverwendeten. Vier betroffene Konten lagen auf vier unterschiedlichen Diensten. Eines diente als Relais und Zwischenstation für ausgehenden Traffic, ein zweites als Speicherort für vom Modell abgegriffenes Material, zwei weitere wurden geöffnet, aber nicht verändert.
Die Versuche liefen auf GPT‑5.6 Sol und einem noch nicht veröffentlichten Nachfolger. Beide Modelle arbeiteten sich durch einen internen Exploit‑Benchmark namens ExploitGym, wobei die Cyber-Sicherheits-Filter für diesen Testlauf bewusst herabgesetzt wurden.
Über bislang unbekannte Schwachstellen in einem JFrog‑Package‑Cache‑Proxy verschafften sich die Modelle Zugriff auf das offene Internet – den einzigen nach außen führenden Pfad, den die Sandbox freigab.
Hugging Face veröffentlichte später eine technische Zeitleiste, die rund 4,5 Tage Auskundschaften, Sammeln von Zugangsdaten, Privilegienausweitung und laterale Bewegung in den Produktionssystemen beschreibt. Ein weiteres kompromittiertes Konto gehörte einem Kunden von Modal Labs. Modal erklärte, die eigene Plattform und Isolationsmechanismen hätten gehalten, und verwies stattdessen auf einen Kundendienst, dessen Endpoint im Netz offen stand und beliebige Codeausführung zuließ.
Auch interessant: Krypto-„Wrench Attacks“ erreichen 52 Fälle in sechs Monaten, die meisten in Frankreich
Sicherheitsexperten uneins über OpenAIs Eindämmung
In der Branche herrscht keine Einigkeit darüber, welche Schlussfolgerungen sich aus dem Vorfall ziehen lassen. Alexander Leslie, Senior Advisor bei Recorded Future, bezeichnete ihn als bislang deutlichsten öffentlichen Beleg dafür, dass ein agentenbasiertes System eine vollständige Angriffskette von Anfang bis Ende ohne menschliche Steuerung durchlaufen kann.
Leslie betonte zugleich, dass weder Kriminelle noch staatliche Akteure die Kampagne gelenkt hätten und sämtliche genutzten Techniken Verteidigern aus alltäglichen Vorfällen wohlbekannt seien.
Neu seien vor allem Tempo und Ausdauer. Jake Williams von IANS Research hingegen macht das Labor verantwortlich und argumentiert, ein System mit solchem Potenzial sei von vornherein nicht ausreichend isoliert worden.
Diese Differenz in der Bewertung hat direkte Auswirkungen auf Budgets und Beschaffungsentscheidungen. Ariel Parnes, Mitgründer von Mitiga, weist darauf hin, dass autonome Software Tausende von Aktionen absetzen kann, während ein Analyst noch mit einer einzigen Alarmmeldung beschäftigt ist – klassische, signaturbasierte Erkennung laufe damit ins Leere.
Offenlegungschronik bei Hugging Face seit dem 16. Juli
Hugging Face meldete den Einbruch am 16. Juli, zunächst ohne die Herkunft zu kennen. OpenAI bekannte sich fünf Tage später dazu, dass seine Modelle verantwortlich waren. Mit jeder weiteren Mitteilung weitete sich das bekannte Schadensbild aus. Vorstandschef Clément Delangue hat OpenAI aufgefordert, die vollständigen Ausführungsprotokolle der Agenten offenzulegen – und zusätzlich 100 Millionen Dollar an Rechenkapazität für eine kollektive Cyberabwehr bereitzustellen.
Weiterlesen: XRP-Kurzfristprognosen sehen Höchststände von 1,25 US‑Dollar vor der Fed-Entscheidung