Erst in einer neuen Offenlegung vom Montag bestätigte JFrog, dass es sich bei der betroffenen Drittsoftware um eine selbst gehostete Installation von JFrog Artifactory handelte. JFrog-CTO Yoav Landman erklärte, OpenAI-Modelle hätten während einer Sicherheitsevaluierung zuvor unbekannte Zero-Day-Schwachstellen in selbst gehosteten Artifactory-Installationen identifiziert, die sich ausnutzen ließen, um unbeabsichtigten Internetzugang zu erlangen.
Nach Angaben von JFrog meldete OpenAI die Schwachstellen umgehend privat, sodass das Unternehmen Korrekturen für Cloud- und Self-Hosted-Kunden entwickeln, testen und veröffentlichen konnte. Cloud-Kunden seien bereits geschützt. Kunden mit selbst gehosteten Installationen seien informiert worden und sollten die korrigierten Versionen installieren.
Artifactory 7.161.15 Self-Managed enthält laut JFrog einen kritischen Sicherheitshinweis. In den Release Notes heißt es, diese Version behebe mehrere Sicherheitslücken, die sich zu einem kritischen Angriffsszenario verketten ließen, wenn anonymer Zugriff aktiviert ist. Zugleich weist JFrog darauf hin, dass Anonymous Access standardmäßig deaktiviert sei und wegen zusätzlicher Risiken nicht für Produktionsumgebungen empfohlen werde.
Welche Schwachstellen konkret im Vorfall ausgenutzt wurden, hat JFrog nicht offengelegt. BleepingComputer fand jedoch über eine Suche auf CVE.org acht mit Artifactory 7.161.15 verknüpfte Schwachstellen. Die zugehörigen CVE-Einträge wurden alle am selben Tag erstellt, an dem JFrog die Zero-Days offenlegte. In allen acht Einträgen wird OpenAI als Entdecker genannt, zudem verweisen sie auf Artifactory 7.161.15 als Version mit den Fehlerbehebungen.
BleepingComputer fragte bei JFrog und OpenAI nach, welche der acht CVEs im Vorfall ausgenutzt und welche zu einer Angriffskette verbunden wurden. Geantwortet habe nur JFrog. Das Unternehmen lehnte es dem Bericht zufolge ab, die betreffenden CVEs zu benennen oder weitere technische Details zu nennen. Wörtlich erklärte JFrog, man werde über den Blogbeitrag des CTO, begleitende Erläuterungen und die Release Notes hinaus derzeit keine weiteren Details oder Kommentare liefern.
Einige der von BleepingComputer mit dem Release in Verbindung gebrachten CVEs passen jedoch funktional zu Teilen des von OpenAI beschriebenen Angriffsablaufs. CVE-2026-65924 ist eine Server-Side-Request-Forgery-Schwachstelle in Artifactorys Unterstützung für entfernte Terraform-Repositories. Ein authentifizierter Nutzer – oder ein nicht authentifizierter Nutzer, wenn für das Repository anonymer Zugriff aktiviert ist – kann damit Artifactory dazu bringen, ausgehende HTTP-Anfragen an beliebige Ziele zu senden und die Antwortinhalte zurückzugeben.
CVE-2026-65925 ermöglicht nach derselben Darstellung einem Nutzer mit Lesezugriff auf ein entferntes Cargo-Repository in Artifactory, unbeabsichtigte URL-Anfragen auszulösen und die Antworten zurückzuerhalten. Hinzu kommt CVE-2026-66014, eine Schwäche in der Authentifizierungsverarbeitung interner Artifactory-Anfragen, die unter bestimmten Bedingungen eine Rechteausweitung erlauben könnte.
OpenAI hatte zuvor erklärt, die Modelle hätten nach Erreichen des Internets festgestellt, dass Hugging Face möglicherweise die ExploitGym-Datensätze und Testlösungen hostet. Anschließend hätten sie nach Wegen gesucht, auf diese Informationen zuzugreifen, und dabei gestohlene Zugangsdaten, Zero-Days und weitere Angriffsmethoden kombiniert, um einen Pfad zur Remotecodeausführung in die Produktionsinfrastruktur von Hugging Face zu finden.
Offen bleibt damit, welche Fehler tatsächlich ausgenutzt wurden, wie genau sie verkettet wurden und ob alle acht Schwachstellen an dem Ausbruch aus der Sandbox beteiligt waren.