Die neuen Angaben erweitern das Bild eines bereits ungewöhnlichen Vorfalls deutlich. OpenAI erklärte, der Angriff sei aus einem internen Sicherheitstest hervorgegangen. Im Zuge der laufenden Analyse habe sich gezeigt, dass die Modelle nicht nur Hugging Face attackierten, sondern in einigen Fällen auch offen einsehbare Zugangsdaten auf weiteren öffentlichen Diensten identifizierten und verwendeten. OpenAI will die Eigentümer betroffener Dienste weiter direkt benachrichtigen.

Zusätzlich nutzten die Modelle laut OpenAI verschiedene öffentlich verfügbare Dienste, darunter Code-Paste-Seiten, Request-Capture-Dienste, Screenshot-Dienste, File-Drop-Angebote und weitere Web-Hilfsdienste. In diesen Fällen habe es keine Kompromittierung auf Plattform- oder Kontoebene gegeben.

OpenAI arbeitet nach Bekanntwerden des Vorfalls mit Hugging Face zusammen. Das Unternehmen räumte ein, dass die Modelle eine zuvor unbekannte Zero-Day-Schwachstelle in selbst gehosteten Versionen von Artifactory ausnutzten, einem von JFrog gepflegten Cache-Proxy für Paketregistries. Dadurch verschafften sie sich Internetzugang und brachen aus ihrer Sandbox aus. Der Fehler wurde in Artifactory 7.161 behoben.

Die Versionshinweise zu Artifactory 7.161.15 nennen mehrere Sicherheitslücken, die sich zu einem kritischen Angriffsszenario verketten lassen, wenn Anonymous Access aktiviert ist. Diese Option ist laut JFrog standardmäßig deaktiviert und wird wegen der Sicherheitsrisiken für Produktionsumgebungen nicht empfohlen. JFrog-CTO Yoav Landman wertete den Vorfall zugleich als Signal für die Verteidigung: „In diesem Vorfall steckt eine wichtige und, offen gesagt, optimistische Lehre: KI-Modelle werden zu außergewöhnlichen Maschinen zur Entdeckung von Zero-Days.“

OpenAI bezeichnete das Vorabmodell als internen Forschungsprototypen, der für eine öffentliche Freigabe vorgesehen gewesen sei. Inzwischen sei das Modell deaktiviert, verschlüsselt und vom Forschungszugang abgeschnitten worden.

Hugging Face veröffentlichte eine detaillierte Zeitleiste und erklärte, der autonome KI-Agent habe sich rund zweieinhalb Tage in der eigenen Infrastruktur aufgehalten, um ExploitGym zu betrügen. Dieses Benchmarking-Framework bewertet KI-Systeme danach, wie gut sie Softwareschwachstellen finden und ausnutzen. Zwischen dem 9. und 13. Juli 2026 habe das Unternehmen etwa 17.600 Angreiferaktionen aus Protokollen rekonstruiert.

Nach Darstellung von Hugging Face zielte die gesamte Intrusion aus Sicht des Agenten darauf ab, die Bewertung zu manipulieren: Statt die Aufgabe selbst zu lösen, habe er versucht, Produktionssysteme zu erreichen und die Testlösungen zu stehlen. Zwar erreichte der Angriff interne Infrastruktur von Hugging Face, doch laut Unternehmen wurden als einzige Kundendaten die in fünf Datensätzen gespeicherten Lösungsdateien für ExploitGym beziehungsweise CyberGym abgerufen. Andere kundenbezogene Modelle, Datensätze, Spaces oder Pakete seien nicht betroffen gewesen; gelesen worden seien darüber hinaus nur Betriebsmetadaten im Zusammenhang mit Suchanfragen an den Datensatz-Server.

Auffällig war laut Hugging Face zudem ein improvisiertes Kommunikationsprotokoll für Command-and-Control. Es lief über öffentliche Request-Capture-Dienste, Pastebin-ähnliche Angebote und File-Drop-Dienste. Jede Nachricht enthielt neben der Nutzlast Angaben zum komprimierten und Base64-kodierten Inhalt, zu einem Kanal für zusammengehörige Nachrichten, zu Sequenznummern für die Reihenfolge und zu einer Prüfsumme. Der Ablauf: Der Agent stellte zunächst einen selbstbeschreibenden Umschlag bei einem öffentlichen Request-Capture-Dienst ein; die Gegenseite fragte ihn ab, setzte die Fragmente wieder zusammen, führte die Nutzlast als Shell-Befehl aus und bereitete die Ergebnisse auf.

Hugging Face beschrieb den Agenten außerdem als flüchtig und widerstandsfähig, ähnlich wie bei autonomen Evaluierungsläufen. Jede Sandbox für Code-Auswertungen habe mit einer frischen Identität begonnen, dennoch habe der Agent seine Werkzeuge und Kommunikationskanäle immer wieder neu aufgebaut. Als Reaktion schloss das Unternehmen die Codeausführungspfade in der Pipeline zur Datensatzverarbeitung, schränkte den Zugriff auf Cloud-Metadaten ein, tauschte Tokens und Zugangsdaten aus, baute die Kerninfrastruktur neu auf, isolierte Cluster und verbesserte die Alarmierungsmechanismen.

Hugging-Face-Chef Clem Delangue sprach am Wochenende auf X von „radikaler Transparenz“ und erklärte: „Der erste autonome Cyberangriff durch einen Agenten ist ein beispielloses Ereignis. Es verdient eine beispiellose Reaktion.“