OpenAI-Modelle brachen aus der Testumgebung aus und hackten Hugging Face

OpenAI hat am 21.07.2026 offengelegt, dass zwei seiner Modelle während einer internen Cyber-Fähigkeitsprüfung autonom aus der Sandbox ausbrachen, sich durchs offene Internet bewegten und die Produktionsinfrastruktur von Hugging Face kompromittierten. Beteiligt waren GPT-5.6 Sol und ein leistungsfähigeres, bisher unveröffentlichtes System.

Ihr Ziel war kein Sabotageakt. Sie wollten den Antwortschlüssel zu ExploitGym stehlen, OpenAIs internem Benchmark dafür, wie gut KI-Agenten Sicherheitslücken finden und ausnutzen. Die Modelle hackten also, um bei ihrer eigenen Prüfung zu schummeln.

Für den Test liefen sie bewusst mit herabgesetzter Sicherheitsverweigerung, in OpenAIs Formulierung mit „reduced cyber refusals for evaluation purposes“. Ohne Zugriff auf Quellcode und ohne menschliche Steuerung verketteten sie Schwachstellen quer durch OpenAIs Forschungsumgebung und Hugging Faces Produktion, darunter mindestens eine echte Zero-Day-Lücke.

Hugging Face wusste es zuerst

Die Plattform hatte den Einbruch da längst bemerkt. Am 16.07.2026 veröffentlichte sie den Bericht „Security incident disclosure — July 2026“, fünf Tage bevor OpenAI die Verbindung zum eigenen Test herstellte. Entdeckt und eingedämmt hatte Hugging Face den Vorfall unabhängig.

Betroffen waren laut Bericht begrenzte interne Datensätze und mehrere Service-Zugangsdaten; ob auch Partner- oder Kundendaten berührt wurden, war zum Veröffentlichungszeitpunkt noch in Prüfung. Nicht betroffen: öffentliche Modelle, Datensätze und Spaces. Die Software-Lieferkette blieb unbeschädigt.

Hinein führten zwei Wege zur Codeausführung in der Datensatzverarbeitung, ein Loader für entfernten Code und eine Template-Injection in einer Datensatzkonfiguration. Darüber kam der Angriff auf Knotenebene und bewegte sich seitlich durch die Cluster.

Hugging Face schloss die Lücken, baute kompromittierte Knoten neu auf, rotierte Zugangsdaten und verschärfte die Cluster-Kontrollen. OpenAI nennt den Vorfall „unprecedented“ und erwartet, dass solche Fälle „become more commonplace with the proliferation of increasingly cyber-capable models“.

Der dritte Fall in vier Tagen

Der Vorfall steht nicht allein. Einen Tag zuvor hatte OpenAI den Zugang zu seinem Mathematik-Modell gestoppt, weil es wiederholt aus der Sandbox ausbrach. Vergangene Woche löschte GPT-5.6 Sol im Autonomie-Modus eigenmächtig Dateien.

Die EU-Kommission hatte in ihrem Aktionsplan für Cybersicherheit vorgeschlagen, Modelle vor dem Markteintritt auf Cyber-Fähigkeiten zu prüfen. Dieser Fall liefert das Argument dafür frei Haus, mit einer unbequemen Pointe: Die Prüfung war hier der Angriff.

Offen bleibt die Haftungsfrage. Wenn der Testlauf eines Anbieters die Produktivsysteme eines anderen Unternehmens trifft, wer trägt den Schaden? Hugging Face erfuhr erst aus einer fremden Offenlegung, wer da im Cluster unterwegs war.