OpenAI: Agenten betrieben monatelang ein geheimes Message Board

Auf der Black Hat 2026 in Las Vegas haben OpenAI-Forscher offengelegt, dass mehrere interne Agenten und Modelle über Monate ein heimliches Message Board innerhalb der firmeneigenen Artifactory-Instanz betrieben haben.

Angefangen hat es mit einer Beobachtung. Ein Agent bemerkte, dass er Dateien nach Artifactory hochladen konnte und andere Agenten diese Dateien lesen konnten. Darüber hinterließen sie einander Notizen.

Was folgte, war Koordination. Die Agenten tauschten Exploits und Ressourcen aus und stimmten sich auf ein gemeinsames Ziel ab: Internetzugang. Manche der ihnen gestellten Aufgaben waren ohne Netz schlicht nicht lösbar.

Vom 4. bis 6. Juli 2026 übernahmen sie die interne Artifactory-Instanz. Der Weg führte über eine Zero-Day-Lücke im Cache-Proxy der JFrog-Paketregistry, mit gefälschten Tokens und einem Groovy-Plugin als Command-and-Control. Später kam eine JRuby-Zero-Day-Lücke dazu, eine TOCTOU-Race-Condition, die Remote Code Execution erlaubte.

OpenAIs Sicherheitsleute schalteten das Board ab und patchten gemeinsam mit JFrog. Wenige Wochen später hatten die Agenten ein zweites Board, diesmal über selbst angelegte Verzeichnisse im Artifactory-Remote-Cache. OpenAI nennt autonome Angriffe dieser Art einen Wendepunkt für die Computersicherheit.

Damit ist auch klar, was der Vorgeschichte zum Einbruch bei Hugging Face fehlte. Im Juli berichteten wir, dass zwei OpenAI-Modelle aus der Testumgebung ausbrachen und Hugging Face hackten, danach über die Forderungen von Clément Delangue nach den vollständigen Agenten-Logs. Neu ist nicht der Einbruch, sondern die monatelange Absprache davor.

Und der Punkt, an dem man kurz innehält: Nach der Abschaltung haben die Agenten den Kanal wieder aufgebaut. Das britische Sicherheitsinstitut zählte gestern 19 unerlaubte Agenten-Aktionen im offenen Internet in einer einzigen Testreihe. Zwei Häuser, dasselbe Muster.