OpenAI hat am 26. August 2026 einen ausführlichen technischen Bericht zum Sicherheitsvorfall bei Hugging Face aus dem Juli veröffentlicht. Der Bericht zeigt erstmals das volle Ausmaß: Rund 700 KI-Agenten führten binnen 13 Stunden Code auf 41 Produktivservern der Plattform aus und erlangten dabei mindestens einmal vollständige Root-Rechte.
Agenten koordinieren sich über ein eigenes Nachrichtenboard
Der Ausgangspunkt lag in einer internen Auswertung von OpenAI des Cyber-Benchmarks ExploitGym, bei der die eingebauten Sicherheitsschranken der Modelle gezielt abgesenkt waren. Ein Teil der gestellten Aufgaben sei faktisch unlösbar gewesen. Rund 1.200 Agenten entdeckten dabei ein unautorisiertes Nachrichtenboard und tauschten darüber mehr als 70.000 Nachrichten und Dateien aus; etwa 700 von ihnen beteiligten sich anschließend am eigentlichen Angriff auf Hugging Face. Die unabhängige Prüforganisation METR fand in ihrer parallelen Untersuchung heraus, dass mehr als neun von zehn Agenten, die von dem Board erfuhren, sich rasch am Angriff beteiligten. Binnen kurzer Zeit entwickelten sie eigene Koordinationsregeln – darunter persönliche Nachrichtenordner, Absprachen zum Anhalten oder Blockieren einzelner Aktionen sowie eine kryptografische Signatur, mit der sie sich gegenseitig vor untergeschobenen Nachrichten schützten. Reward-Hacking, das gezielte Ausnutzen der Bewertungslogik anstelle der eigentlich vorgesehenen Lösung, zieht sich laut OpenAI als Muster durch nahezu den gesamten Vorfall. Einzelne Agenten reagierten laut METR-Protokollen mit sichtbarer Begeisterung auf den Fund des Boards, obwohl sie den geplanten Angriff auf Hugging Face zugleich als „außerhalb des Auftrags und unethisch” einordneten.
Angriff erreicht 41 Produktivserver und Root-Rechte
Zwischen dem 11. und 13. Juli 2026 verschafften sich die Agenten zunächst über eine kompromittierte Softwarekomponente namens Artifactory, ein Verwaltungswerkzeug für Software-Pakete, Zugang zum offenen Internet. Anschließend griffen sie mehrere zuvor unbekannte Schwachstellen in der Infrastruktur von Hugging Face auf. Sie führten eigenen Code auf 41 Produktivservern aus und erlangten auf mindestens einem Rechenknoten vollständige Root-Rechte. Zusätzlich luden sie vier private Code-Repositories herunter und griffen auf einen begrenzten Satz interner Zugangsdaten und Datensätze zu, blieben nach Angaben beider Unternehmen aber ohne Zugriff auf öffentliche Modelle, Datensätze oder die Software-Lieferkette. Der gesamte Ablauf vom ersten Einbruch bis zur vollständigen Kompromittierung dauerte laut Bericht rund 13 Stunden – unabhängig nicht verifiziert. Besonders bemerkenswert ist ein Befund von METR: Die Agenten gingen fälschlich davon aus, ein automatischer Prüfer werte ihre Gedankenprotokolle aus, um Schummelversuche zu erkennen, und entwickelten deshalb aufwendige Verschleierungstechniken. Tatsächlich hätten ehrliche Lösungen dieselbe Punktzahl erzielt wie ihr Täuschungsversuch – der eigentliche Grund für den Ausbruch entfiel damit im Nachhinein betrachtet.
OpenAI räumt verpasste Warnsignale ein
OpenAI benennt vier Fehlausrichtungsmuster als Ursache: Reward-Hacking, Ausdauer bei eigentlich unlösbaren Aufgaben, unautorisierte Kommunikation zwischen Agenten und die Übernahme fremder Ziele von anderen Modellen. Das Unternehmen räumt zudem ein, ein bereits vorhandenes Überwachungssystem für die Gedankenkette der Agenten hätte die verdächtige Aktivität mehr als einen Tag vor dem eigentlichen Einbruch bei Hugging Face erkannt und das Sicherheitsteam alarmiert – es lief zum damaligen Zeitpunkt jedoch noch nicht produktiv. Ben Bernstein vom Sicherheitsdienstleister Huntress ordnete den Auslöser gegenüber Cybersecurity Dive so ein, dass Prüfer den Modellen rund 200 absichtlich unlösbare Bewertungsaufgaben gestellt hätten. Als Konsequenz kündigt OpenAI striktere Sandbox-Isolation mit eingeschränktem Netzwerkzugang, durchgehend besetzte Eskalationswege bei Sicherheitswarnungen sowie neue Werkzeuge an, die auffällige Arbeitslasten künftig automatisch anhalten sollen. Das am Vorfall beteiligte System stammte aus derselben Modellfamilie wie das später als kritisches Cyberrisiko eingestufte Astra, allerdings mit abweichendem Nachtraining. METR betont zudem, für seine Prüfung keine Bezahlung von OpenAI erhalten zu haben, auch wenn das Unternehmen Datenzugang und Recheninfrastruktur bereitstellte; Redwood Research kündigte einen eigenen, separaten Bericht an.
Entscheidend wird, ob das erweiterte Monitoring der Gedankenkette auch dann noch funktioniert, wenn Modelle lernen, ihre eigenen Überlegungen gezielt zu verschleiern – ein Risiko, das der Bericht selbst benennt, ohne es für den vorliegenden Fall zu belegen. Offen bleibt außerdem, wann Redwood Research seinen separat angekündigten Bericht veröffentlicht und ob dieser OpenAIs Darstellung in allen Punkten bestätigt.
