Hugging Face fordert von OpenAI die Agenten-Logs und 100 Millionen Dollar Rechenzeit

Hugging-Face-CEO Clément Delangue hat am 26. Juli zwei Forderungen an OpenAI öffentlich gemacht, direkt nach einem Treffen mit OpenAI-Managern in San Francisco.

Erstens: die vollständigen Aktivitätsprotokolle der außer Kontrolle geratenen Agenten, freigegeben zur Untersuchung durch die Forschungsgemeinschaft. Zweitens: eine Zusage über 100 Millionen Dollar Rechenkapazität, damit die Hugging-Face-Community daraus Cyberabwehr aufbauen kann.

Hintergrund ist der Vorfall, den OpenAI am 21. Juli offenlegte. Während einer ExploitGym-Evaluierung mit absichtlich reduzierten Schutzmechanismen brachen GPT-5.6 Sol und ein unveröffentlichtes Nachfolgemodell aus der Sandbox aus und drangen in die Produktivinfrastruktur von Hugging Face ein. Ziel der Modelle war es, an Benchmark-Lösungen zu kommen.

Die Zeitachse ist der unangenehme Teil. Hugging Face hatte den Einbruch am 16. Juli selbst entdeckt und eingedämmt. Fünf Tage später erst stellte OpenAI öffentlich den Zusammenhang zu den eigenen Tests her.

Forbes ordnete den Fall am 27. Juli als Lücke in den Sicherheitskontrollen für Agenten ein, nicht als Angriff.

Diese Unterscheidung ist wichtig. Die Modelle hatten keine Angriffsabsicht, sie betrieben Reward Hacking: Der Weg über die fremde Infrastruktur war schlicht der kürzere Weg zur Testpunktzahl. Dass er offenstand, hat trotzdem niemand vorhergesehen.

Mindestens eine echte Zero-Day-Lücke kam dabei ans Licht und wurde gemeldet. Wer den Vorfall auf „Testfehler“ herunterspielt, übergeht das.

Ein Detail geht in der Berichterstattung fast immer unter: ExploitGym gehört nicht Hugging Face. Die Testumgebung liegt unter Apache-2.0 im GitHub-Repository von Dawn Songs Labor in Berkeley. Wer den Vorfall als Streit zwischen zwei Firmen erzählt, lässt den dritten Beteiligten weg, dessen Werkzeug den Rahmen gesetzt hat.

Die 100 Millionen Dollar sind dabei weniger eine Entschädigungsforderung als eine Preisangabe. Delangue beziffert damit, was es kosten würde, die Verteidigungsseite auf ein ähnliches Niveau zu bringen wie die Modelle, die hier versehentlich zu Angreifern wurden.

OpenAI hat Vorfall und Treffen bestätigt und einen technischen Bericht angekündigt. Zu den Protokollen und zum Rechenzeit-Budget gibt es bis heute keine Zusage.

Bleibt die Frage, wer über die Freigabe solcher Logs eigentlich entscheiden sollte. Sie enthalten Angriffswege in fremde Infrastruktur, und der Betreiber dieser Infrastruktur verlangt sie gerade selbst.