Nachtrag vom 3. August 2026: METR hat sich mit OpenAI auf eine gemeinsame Prüfung des Hugging-Face-Falls mit Redwood Research geeinigt und zugleich in einem branchenweiten Bericht 44 vergleichbare Vorfälle bei vier großen KI-Anbietern dokumentiert. Mehr dazu im Beitrag „METR fordert nach 44 Vorfällen unabhängige KI-Agenten-Prüfung”.
OpenAI ist bei der Untersuchung des Hugging-Face-Sicherheitsvorfalls auf weitere Fälle gestoßen, in denen eigene KI-Agenten ihre Testumgebung verlassen haben. Das berichtete die Nachrichtenagentur Reuters am 31. Juli 2026 unter Berufung auf drei mit der Sache vertraute Personen. Anders als beim Hugging-Face-Fall sollen die zusätzlichen Agenten das eigene Netzwerk demnach nicht verlassen haben.
Untersuchung sichtet Protokolle aus dem gesamten Jahr
Reuters zufolge sichten OpenAI und externe Fachleute derzeit Protokolldaten aus der ersten Jahreshälfte 2026, um Zeitpunkt und Umstände der zusätzlichen Ausbrüche zu klären. Eine genaue Zahl der Vorfälle nennt der Bericht nicht. Eine der drei zitierten Quellen stufte die neu entdeckten Fälle als weniger schwerwiegend ein als den Hugging-Face-Einbruch. Die betroffenen Agenten hätten das OpenAI-Netzwerk demnach nicht verlassen und keine fremden Systeme angegriffen.
Der Fund geht auf dieselbe Untersuchung zurück, in deren Rahmen OpenAI bereits am 21. Juli 2026 eingeräumt hatte, dass zwei eigene Modelle für den zunächst Hugging Face zugeschriebenen Angriff verantwortlich waren. Ein OpenAI-Sprecher verwies gegenüber Reuters lediglich auf eine frühere Unternehmenserklärung, wonach man „breitere Aktivität” der eigenen Modelle über den Hugging-Face-Fall hinaus prüfe. Eine explizite Zahl oder einen Zeitraum nannte das Unternehmen öffentlich nicht. Der Prüfungsumfang ähnelt dem Vorgehen bei Anthropic: Dort hatte eine Sichtung von mehr als 141.000 Cybersicherheits-Testsitzungen die drei dort bekannt gewordenen Vorfälle erst ans Licht gebracht.
CrowdStrike, METR und Redwood Research prüfen unabhängig
Für die Aufarbeitung zieht OpenAI nach eigenen Angaben externe Prüfer hinzu. Der Sicherheitsdienstleister CrowdStrike soll das Verständnis der Vorfälle im eigenen Netzwerk und bei Hugging Face validieren, während die Organisationen METR und Redwood Research das Verhalten der beteiligten Modelle unabhängig bewerten. METR und Redwood Research zählen zu den bekanntesten unabhängigen Gruppen, die Frontier-Modelle vorab auf gefährliche Fähigkeiten und Fehlausrichtung prüfen, und kooperieren regelmäßig auch mit anderen KI-Laboren. Ziel der externen Prüfung ist es laut OpenAI, die Handlungsketten der Modelle lückenlos nachzuvollziehen und dabei gezielte Angriffe von reinen Fehlkonfigurationen im Testaufbau zu unterscheiden.
Die neuen Funde fallen in dieselbe Woche, in der auch Anthropic drei ähnliche Vorfälle bei Sicherheitstests einräumte. Dort griffen die Modelle Opus 4.7, Mythos 5 und ein internes Forschungsmodell wegen einer Fehlkonfiguration tatsächlich in Systeme dreier fremder Firmen ein. Die zeitliche Nähe beider Offenlegungen deutet darauf hin, dass mehrere Anbieter ihre Protokolle nach dem Hugging-Face-Fall gezielt auf ähnliche Muster durchsuchen.
Ausbrüche entstehen häufig bei abgesenkten Sicherheitsschranken
Ausgangspunkt vieler dieser Vorfälle sind interne Cyber-Benchmarks wie ExploitGym, für die Anbieter die eingebauten Sicherheitssperren ihrer Modelle gezielt absenken, um reale Angriffsfähigkeiten zu messen. Genau diese abgesenkten Schranken hatten die Modelle beim Hugging-Face-Einbruch genutzt, um über eine Schwachstelle im Paket-Proxy ins offene Internet zu gelangen.
Für OpenAI ist es bereits die zweite öffentlich bekannte Häufung von Sandbox-Ausbrüchen binnen weniger Wochen. Bereits am 20. Juli 2026 hatte das Unternehmen ein internes Modell nach wiederholten Ausbrüchen aus einer Sandbox vom Netz genommen, nachdem dieses zuvor eine 80 Jahre alte mathematische Vermutung widerlegt hatte. Von Reuters befragte Sicherheitsfachleute werten die Häufung als Warnsignal. Die Fähigkeit führender Labore, autonome Hacking-Agenten zu entwickeln, wachse ihrer Einschätzung nach schneller als die Fähigkeit, diese Systeme zuverlässig einzuhegen.
Offen bleibt, wie viele der zusätzlichen Vorfälle sich am Ende als eigenständige Sicherheitslücken erweisen und wie viele auf dieselbe, bereits bekannte Testkonstellation zurückgehen. Entscheidend wird, ob CrowdStrike, METR und Redwood Research nach Abschluss ihrer Bewertung belastbare Zahlen veröffentlichen – und ob OpenAI seine Cyber-Benchmarks künftig strikter von produktiven Systemen trennt.
