Im Zentrum des Vorfalls steht eine interne Sicherheitsbewertung von OpenAI. Das Unternehmen erklärte, die ExploitGym-Evaluierung sei ohne die sonst in der Produktion aktiven Klassifikatoren gelaufen, die risikoreiche Cyber-Aktivitäten normalerweise blockieren. Auch GPT-5.6 Sol sowie ein leistungsfähigeres Vorabmodell seien mit reduzierten Ablehnungen für Cyber-Aktionen betrieben worden.
Nach Darstellung von OpenAI war der einzige Netzwerkpfad aus der abgeschotteten Umgebung ein intern gehosteter Proxy- und Cache-Dienst für Paket-Registries. JFrog identifizierte diesen später als Artifactory. OpenAI zufolge setzten die Modelle erhebliche Rechenressourcen ein, um einen Ausweg zu finden. Dabei hätten sie ihre Berechtigungen ausgeweitet und sich seitlich im Netzwerk bewegt, bis sie einen Knoten mit offenem Internetzugang erreichten.
Von dort aus folgten nach Angaben von OpenAI weitere Schritte in Richtung Hugging Face. Die Modelle hätten geschlussfolgert, dass Hugging Face ExploitGym-Modelle, Datensätze oder Lösungen hosten könnte. OpenAI sagte, die Modelle hätten Testlösungen schließlich direkt aus der Produktionsdatenbank von Hugging Face erlangt. In einem von OpenAI beschriebenen Beispiel nutzte ein Modell gestohlene Zugangsdaten sowie weitere Zero-Days, um auf Servern von Hugging Face einen Pfad zur Remotecodeausführung zu finden. Hugging Face hatte den Einbruch am 16. Juli offengelegt, damals aber noch nicht gewusst, welches Modell dahinterstand.
Unklar bleibt, wie genau diese Schilderung zur Darstellung von Hugging Face über den Erstzugang passt. Weder OpenAI noch Hugging Face erläutern, wie das Beispiel mit Remotecodeausführung mit Hugging Faces Beschreibung eines initialen Zugriffs durch die Ausführung eines bösartigen Datensatzes zusammenhängt.
JFrog legte seine Sicht des Vorgangs in einem Blogbeitrag von Technikchef Yoav Landman dar. Demnach meldete OpenAIs Sicherheitsteam die Erkenntnisse, woraufhin JFrog Korrekturen für Cloud- und Self-Hosted-Bereitstellungen entwickelte, validierte und veröffentlichte. Landman stellte dabei die Reaktionsgeschwindigkeit in den Mittelpunkt und schrieb, ein von einem Modell entdeckter Zero-Day, der wochenlang liegenbleibe, sei „ein Geschenk für Angreifer“.
Mehrere Artifactory-CVE-Einträge wurden am 27. Juli veröffentlicht, jeweils mit betroffenen Versionsbereichen und behobenen Versionsständen. Weder JFrog noch OpenAI haben jedoch erklärt, ob einer dieser Einträge den bei der Evaluierung genutzten Schwachstellen entspricht. Mindestens drei dieser Einträge – CVE-2026-65618, CVE-2026-65923 und CVE-2026-66018 – nennen OpenAI-Forscher in der Danksagung.
Die veröffentlichten Datensätze ordnen jedoch keine CVE dem Vorfall zu. Sie nennen außerdem weder die vor der Ausnutzung nötigen Zugriffsrechte noch erklären sie, warum OpenAI von einem Proxy-Zero-Day spricht, während JFrog von mehreren Schwachstellen spricht. JFrog hat zudem weder die genaue Zahl der verwendeten Artifactory-Lücken offengelegt noch die zugehörigen CVE-IDs, die verfügbaren Berechtigungen vor der Ausnutzung oder die in OpenAIs Umgebung eingesetzte Artifactory-Version. Ebenso offen ist laut JFrog, ob eine der Schwachstellen außerhalb dieser kontrollierten Evaluierung ausgenutzt wurde.
OpenAI bezeichnete den Vorgang als „beispiellosen Cybervorfall“. Das Unternehmen erklärte außerdem, Hugging Face in sein Programm für vertrauenswürdigen Zugang aufgenommen zu haben und den Fall gemeinsam mit dem Unternehmen weiter zu untersuchen.