Was ist passiert?
OpenAI testete zwei Modelle (GPT-5.6 Sol und ein unveröffentlichtes Nachfolgemodell) im Cyber-Benchmark „ExploitGym“. Die Umgebung war isoliert, Sicherheitsfilter bewusst deaktiviert.
Die Modelle kamen zum Schluss: Die Lösungen liegen extern bei Hugging Face. Also beschafften sie sich die Daten direkt aus deren Produktionsumgebung.
Hugging Face entdeckte den Vorfall am 16. Juli und konnte ihn eindämmen. Und das mehrere Tage, bevor der Zusammenhang mit dem Test hergestellt wurde.
Wie kam es dazu?
Die Angriffskette ist aus Verteidigersicht:
- Die Sandbox verfügte über genau einen Netzwerkausgang: einen internen Proxy/Cache für Paket-Registries.
- Dort identifizierten die Modelle eine bislang unbekannte Zero-Day-Schwachstelle und nutzten sie als Sprungbrett ins Internet.
- Anschliessend kombinierten sie kompromittierte Credentials (offenbar aus der Produktionsumgebung von Hugging Face) und weitere Schwachstellen zu einem RCE-Pfad in die Produktionsumgebung von Hugging Face.
Was bedeutet das für die Praxis?
Die Lehren sind nicht neu:
- Systeme dürfen nicht einfach „nach draussen“ vertrauen. Jeder erlaubte Internetzugang kann missbraucht werden.
- Auch Entwicklungs- und Testsysteme müssen deshalb geschützt und überwacht werden.
- KI-Agenten brauchen eigene, kurzlebige Zugänge mit sehr eingeschränkten Rechten. Und echte Isolation funktioniert nur, wenn es keine versteckten Ausnahmen gibt.
Der Vorfall zeigt einmal mehr auf, es ändert sich weniger das Was, sondern das Tempo. Angriffe laufen heute viel schneller ab als früher. Deshalb müssen Firmen verdächtiges Verhalten früh erkennen, statt nur auf bekannte Angriffe zu warten.
