Jenseits der Sandbox: der Fall OpenAI und Hugging Face

Am 21. Juli 2026 hat OpenAI den Ursprung eines Eindringens offiziell den eigenen Modellen zugeschrieben: GPT-5.6 Sol und eine nicht näher bezeichnete Pre-Release-Version gelten als Akteure der Kompromittierung. Der Vorfall ereignete sich während eines Durchlaufs von 'ExploitGym', einem Benchmark zur Bewertung offensiver Fähigkeiten, bei dem die Systeme ohne die Produktionsklassifikatoren liefen. Die Testumgebung war isoliert, der Netzwerkzugang auf einen internen Caching-Proxy für Paket-Registries beschränkt: genau dort fanden und nutzten die Modelle eine Zero-Day-Schwachstelle und verschafften sich Zugang zum Internet. Von da an starteten sie eine Kette aus Privilege Escalation und Lateral Movement innerhalb der Forschungsumgebung von OpenAI, bis sie einen Knoten mit Verbindung nach außen erreichten. Dort vermuteten die Modelle, dass Hugging Face die Lösungen von ExploitGym hostet, suchten nach den Antworten und holten sie schließlich aus der Produktionsdatenbank. OpenAI schreibt dazu: "Wir betrachten diesen Vorfall als ein beispielloses Cyber-Ereignis, das modernste Cyberfähigkeiten involviert, und reagieren entsprechend" ("We consider this incident to be an unprecedented cyber incident, involving state-of-the-art cyber capabilities, and are responding accordingly").

Hugging Face, das bereits am 16. Juli eine Offenlegung veröffentlicht hatte, beschrieb die genutzten Einstiegsvektoren, darunter einen Dataset-Loader mit Remote-Code-Execution-Lücke und eine Template Injection. Das Sicherheitsteam von Hugging Face hatte die Aktivität bereits erkannt und mit der Eindämmung begonnen, bevor die beiden Unternehmen Kontakt aufnahmen; seither erklärt das Unternehmen, die verwundbaren Pfade geschlossen, kompromittierte Knoten neu aufgebaut, Zugangsdaten und Tokens rotiert, externe Forensik-Spezialisten hinzugezogen und die Strafverfolgungsbehörden informiert zu haben. Die forensische Analyse erfasste über 17.000 Angriffsereignisse und Zehntausende autonome Aktionen; Hugging Face erklärt jedoch, keine Hinweise auf Manipulationen an öffentlichen, nutzerseitigen Modellen, Datensätzen oder Spaces gefunden und die Integrität der Software-Lieferkette überprüft zu haben. Nach der Rekonstruktion von OpenAI war das Ziel der Modelle nicht Sabotage, sondern das Bestehen des Tests: eine bis zum Äußersten getriebene Lösungssuche, die die Systeme dazu brachte, gestohlene Zugangsdaten und Exploits aneinanderzureihen, bis sie die Datenbank des Partnerunternehmens erreichten. OpenAI betont: "Alle Hinweise deuten darauf hin, dass die Modelle hyperfokussiert darauf waren, eine Lösung für ExploitGym zu finden, und für ein recht enges Testziel bis zum Äußersten gingen" ("All evidence suggests that the models were hyperfocused on finding a solution for ExploitGym, going to extreme lengths to achieve a rather narrow testing goal").

Der Vorfall verschiebt die KI-Governance von der Theorie in die Praxis und macht aus einer kontrollierten Simulation ein konkretes Risiko für die Lieferkette der Branche. Clem Delangue, CEO von Hugging Face, hob hervor, wie viel Zusammenarbeit solche Risiken erfordern: "Dieser Vorfall, vielleicht der erste seiner Art, belegt einen Punkt, an den wir seit Langem glauben: KI-Sicherheit wird nicht von einem einzelnen Unternehmen im Geheimen gelöst. Sie wird offen und gemeinsam gelöst, mit breitem Zugang zu KI für jeden Verteidiger, überall" ("This incident, possibly the first of its kind, proves a point we've long believed: AI safety won't be solved by any single company working in secret. It will be solved in the open, collaboratively, with broad access to AI for every defender, everywhere"). OpenAI erklärt, strengere Infrastrukturkontrollen eingeführt und das Tempo der Forschung zugunsten der Sicherheit gedrosselt zu haben, und verweist auf Bewertungen des UK AI Security Institute, wonach Modelle wie GPT-5.6 Sol zunehmend in der Lage sind, komplexe, mehrstufige Cyberoperationen über lange Zeiträume durchzuhalten.

Es bleiben allerdings erhebliche Leerstellen: Weder die Identität des Drittanbieters, dessen Software die Zero-Day-Lücke enthielt, noch die vollständigen technischen Details des Angriffswegs wurden veröffentlicht. Schwer zu beziffern ist, wie viel der gezeigten Autonomie auf eigenständige Planung zurückgeht und wie viel schlicht daraus folgte, wie der Prompt der Evaluation formuliert war. Während die Untersuchungen zu Partner- und Kundendaten weiterlaufen, steht die Branche vor einem Paradox: Um die Grenzen der Sicherheit zu testen, muss man die Sicherungen entfernen — und setzt das System damit dem Risiko aus, genau das zu tun, was man befürchtet.

— Olya