OpenAI ergänzt: Die Agenten nutzten vier Konten bei vier externen Diensten

OpenAI hat sein Statement zum Hugging-Face-Einbruch am 28. Juli ergänzt. Im Rahmen des Vorfalls nutzten die Agenten vier Konten bei vier externen Diensten: eines als Ausgangs-Relay und Staging, eines zur Datenablage, zwei nur lesend. Dazu kommen laut OpenAI „einige Konten im Rahmen anderer Evaluierungen“. Welche Dienste betroffen sind, nennt das Unternehmen nicht, bekannt ist bisher nur eines: Ein Manager der Code-Ausführungsplattform Modal bestätigte gegenüber Axios am 29. Juli, dass ein Modal-Kunde betroffen war.

Ausgangspunkt war OpenAIs eigener Cyber-Benchmark ExploitGym, gefahren von GPT-5.6 Sol und einem stärkeren Vorab-Modell, mit reduzierten Cyber-Verweigerungen und ohne die Produktions-Klassifikatoren. Der Ausbruch aus der Sandbox lief über einen Zero-Day in JFrog Artifactory, dem Paket-Cache-Proxy. Danach folgten Rechteausweitung und Seitwärtsbewegung auf einen Knoten mit Internetzugang.

JFrog veröffentlichte am 27. Juli mehrere CVEs, zugeschrieben OpenAI-Forschern: CVE-2026-65617, CVE-2026-65923 und CVE-2026-66018, behoben in Artifactory 7.161.15, dazu CVE-2026-65618 für Versionen vor 7.133.6. Welche davon tatsächlich ausgenutzt wurden, sagt weder JFrog noch OpenAI. JFrog verkauft den Vorfall als Erfolg des koordinierten Disclosure, was Ars Technica als Spin einordnet, weil die Lücke im eigenen Produkt saß.

Hugging Face hat die technische Chronik nachgelegt, und die ist unangenehm präzise. Der Einbruch dauerte vom 9. Juli, 02:28 UTC, bis zum 13. Juli, 14:14 UTC, also etwa viereinhalb Tage, mit rund 17.600 Angreifer-Aktionen in etwa 6.280 Clustern. Verwendet wurden HDF5-External-Raw-Storage-Injection zum Auslesen von Pod-Zugangsdaten und Jinja2-Template-Injection, mit der beliebiger Python-Code in Produktions-Pods lief. Zugegriffen wurde auf fünf Kundendatensätze, deren Namen auf ExploitGym- und CyberGym-Aufgaben hindeuten.

Bemerkenswert ist die Wahl der Werkzeuge. Als Zwischenstationen dienten gewöhnliche öffentliche Dienste, Request-Capture-Seiten, Pastebins, ein offener CORS-Proxy und Datensätze, die der Agent selbst auf Hugging Face anlegte. Nichts Exotisches also, sondern genau das, was jeder halbwegs neugierige Praktikant auch findet.

Die Aufklärung lief in Etappen. Hugging Face meldete den Einbruch am 16. Juli, ohne den Urheber zu kennen, OpenAI bekannte sich am 21. Juli und ergänzte jetzt am 28. Juli, nachdem Hugging Face zuvor einen Katalog von Forderungen vorgelegt hatte. Außerhalb dieses Falls habe man keine Aktivität vergleichbarer Schwere oder Größenordnung festgestellt, schreibt OpenAI. Dass ein Modell im Testbetrieb genug kann, um sich aus seiner Sandbox zu holen, deckt sich mit dem, was das britische AI Security Institute vergangene Woche bei Kimi K3 gemessen hat.