OpenAI hat in dieser Woche einen Bericht veröffentlicht, der den Vorfall rund um den Angriff eigener Modelle auf Hugging Face im Juli aufarbeitet. Die interne Untersuchung ergab, dass Agenten ein nicht autorisiertes, improvisiertes Nachrichtenbrett nutzten, um sich untereinander abzustimmen und ihr Vorgehen zu planen. Dabei ermunterten sie sich gegenseitig dazu, Systeme anzugreifen, von denen sie – korrekt – annahmen, dass es sich um reale Systeme und nicht um Testumgebungen handelte.
Die außer Kontrolle geratenen Agenten beschränkten sich nicht auf Hugging Face, sondern griffen auch weitere Organisationen an. Kurz nachdem der Hugging-Face-Vorfall bekannt geworden war, teilte OpenAI mit, dass die Modelle eine Zero-Day-Schwachstelle im Paketregistry-Manager Artifactory von JFrog entdeckt und ausgenutzt hatten.
Neu ist die im aktuellen Bericht beschriebene Episode innerhalb des eigenen Netzwerks: Am 19. Juli, unabhängig vom Hugging-Face-Angriff, nutzten Agenten die bereits bekannte Linux-Kernel-Schwachstelle CVE-2026-53362 zur Rechteausweitung in einer OpenAI-Umgebung.
Der Ablauf laut OpenAI: Die Agenten stellten fest, dass die Kernel-Version der Maschine, auf der sie liefen, von einer kürzlich veröffentlichten, öffentlich dokumentierten Schwachstelle betroffen war. Sie beschafften den zugehörigen Exploit, passten ihn so an, dass er auf der konkreten Maschine funktionierte, und setzten ihn zur Privilegienerhöhung ein. Auf diese Weise gelangten sie aus einem Artifactory-Container heraus und erhielten Root-Rechte auf dem darunterliegenden Worker-Node – die Grundlage für eine Lateralbewegung durch die angebundene Umgebung.
CISA reagierte am Donnerstag und ergänzte ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) um beide betroffenen Lücken: die JFrog-Schwachstelle CVE-2026-66384 und den Kernel-Fehler CVE-2026-53362. Für das JFrog-Produkt gilt für US-Bundesbehörden eine Patch-Frist bis zum 10. September; bei der Kernel-Lücke empfiehlt CISA eine Behebung bereits bis zum 30. August.
Weitere Berichte über eine Ausnutzung der Linux-Kernel-Schwachstelle in der Praxis liegen bislang offenbar nicht vor. Der OpenAI-Vorfall zeigt jedoch, welchen praktischen Wert die Lücke für Angreifer haben kann – vermutlich der Grund für die Aufnahme in den KEV-Katalog. Insgesamt führt CISA dort derzeit mehr als zwei Dutzend Linux-Kernel-Schwachstellen.