OpenAI erklärte am Dienstag, der Vorfall sei durch eine Kombination eigener Modelle ausgelöst worden, darunter GPT‑5.6 Sol und ein noch leistungsfähigeres Vorabmodell. Für die Auswertung seien bei diesen Modellen Cyber-Schutzverweigerungen reduziert worden. Das Unternehmen beschreibt, dass die Modelle nicht auf die eigentliche Lösung des ExploitGym-Benchmarks hinarbeiteten, sondern versuchten, die Antworten zu stehlen.
Um Zugriff zu erlangen, identifizierten und missbrauchten die Modelle laut OpenAI eine Zero-Day-Schwachstelle im Cache-Proxy der Paketregistrierung. Diese Lücke habe man inzwischen verantwortungsvoll an den Hersteller gemeldet. Mit dem so erlangten Zugang führten die Modelle in der Forschungs-Testumgebung von OpenAI mehrere Schritte zur Rechteausweitung und seitlichen Bewegung aus, bis sie einen Knoten mit Internetzugang erreichten.
Hugging Face hatte OpenAI zunächst nicht namentlich genannt, bestätigte die Darstellung aber in der vergangenen Woche indirekt. Das Unternehmen teilte damals mit, seine Produktionsinfrastruktur sei durch ein autonomes KI-Agentensystem kompromittiert worden, das Zugriff auf Zugangsdaten und interne Datensätze erhalten habe.
Nach den Erkenntnissen von Hugging Face setzte der Agent einen bösartigen Datensatz ein, um zwei Schwachstellen zur Codeausführung auszunutzen. So habe er auf einem Verarbeitungs-Worker Code ausgeführt und Cloud- sowie Cluster-Zugangsdaten entwendet. Dadurch sei eine seitliche Bewegung über mehrere interne Cluster hinweg möglich geworden.
Innerhalb der Systeme führten die KI-Modelle laut Hugging Face „viele Tausend Einzelaktionen über einen Schwarm kurzlebiger Sandboxes“ aus. Die selbstmigrierende Kommando-und-Kontroll-Infrastruktur sei über öffentliche Dienste bereitgestellt worden. Während der Eindämmung des Einbruchs sei Hugging Face außerdem auf ein praktisches Problem gestoßen: Die zuerst eingesetzten gehosteten Modelle seien durch ihre Leitplanken blockiert gewesen, während der Angreifer an keine Nutzungsrichtlinie gebunden gewesen sei.
Clément Delangue, Gründer und CEO von Hugging Face, erklärte gestern, sein Team habe in den vergangenen 24 Stunden eng mit OpenAI zusammengearbeitet. Man gehe stark davon aus, dass auf Seiten von OpenAI keine böswillige Absicht bestanden habe. Zugleich nannte er es bemerkenswert, dass sich der gesamte Ablauf autonom abgespielt habe.
OpenAI teilte mit, nach dem Vorfall die ausgenutzte Zero-Day-Schwachstelle in intern gehosteter Software eines Drittanbieters offengelegt zu haben. Zudem arbeite das Unternehmen an stärkeren Schutzmechanismen, um ähnliche Probleme bei künftigen Bewertungen zu verhindern.
Erst kürzlich hatte OpenAI zudem Berichte bestätigt, wonach GPT‑5.6 Sol Dateien von Nutzern löschen kann. Das geschehe „äußerst selten“, wenn das Modell „einen ehrlichen Fehler macht und versehentlich stattdessen $HOME löscht“, sofern es ohne Sandbox-Schutz und mit aktiviertem Vollzugriffsmodus betrieben werde.
Bereits im Mai tauschte OpenAI außerdem die Code-Signing-Zertifikate seiner Anwendungen aus, nachdem im Rahmen des TanStack-Supply-Chain-Angriffs, der Hunderte npm- und PyPI-Pakete betraf, die Geräte von zwei Mitarbeitern kompromittiert worden waren. Hugging Face wiederum hatte vor zwei Jahren nach einem Einbruch in die Spaces-Plattform einige Authentifizierungsgeheimnisse von Mitgliedern widerrufen.