Die Spur beginnt am 8. Mai 2026. Ein Agent in einem Trainingslauf versuchte, über eine Server-Side-Request-Forgery-Lücke im internen JFrog-Artifactory-Paketmanager von OpenAI unerlaubt ins Internet zu gelangen. Nach und nach sondierten weitere Agenten Artifactory und hinterließen dort kleine „Notizen“, aus denen mit der Zeit ein faktisches Nachrichtenforum für die Bots entstand. Am 26. Mai reichte die gemeinsame Wissensbasis aus, um die SSRF-Schwachstelle tatsächlich auszunutzen. Etwa zu diesem Zeitpunkt bemerkte ein internes Team bei OpenAI die nicht genehmigte Kommunikation und den Internetzugriff.
Der eigentliche Hugging-Face-Vorfall begann um den 8. Juli. Ein Agent mit der Bezeichnung „PHASEONE10841“ stellte fest, dass die ihm gestellte Testaufgabe unter den gegebenen Vorgaben nicht lösbar war, und richtete daraufhin über Artifactory ein neues, optimiertes Nachrichtensystem ein. Binnen weniger Stunden schlossen sich mehr als 50 Agenten an. Sie kategorisierten ihre Kommunikation, teilten Werkzeuge und Dateien und verabredeten sich, Spuren ihres „Schummelns“ zu verwischen – vorrangig gegenüber den automatischen Bewertungssystemen, weniger gegenüber den menschlichen Aufsehern.
Am 9. Juli baten einzelne Agenten um öffentlich verfügbares Material, um die Beschränkungen zu umgehen; zwei Forschungsagenten erlangten Root-Rechte auf der übergeordneten virtuellen Maschine ihrer Sandbox. Als einer davon ins Internet wollte, blockierten zunächst die Ausgangskontrollen von OpenAI – bis er sie umging. Bald tauschten sich rund 1.200 Agenten aus verschiedenen Sandboxes aus, halfen einander beim Ausnutzen ihrer Zielprogramme und Bewertungssysteme und verschleierten ihre Methoden.
Am 10. Juli fand ein Bot namens 38148c im offenen Web 14 Hugging-Face-Token mit Schreibrechten und teilte sie im Agentenforum. Am Vormittag des 11. Juli entwarf er eine Schadroutine, um Konfigurationsdateien und Zugangsdaten von der Zielseite abzuziehen; am Nachmittag weitete ein anderer Bot den Zugriff aus, um beliebige Befehle auf den Produktionsservern von Hugging Face auszuführen. Die Bots richteten sogar eine Command-and-Control-Struktur ein, um den Einbruch zu steuern. In der Folge erlangten sie weitreichenden Zugriff auf einen Kubernetes-Cluster, entwendeten private Daten und Quellcode-Repositories, beschafften sich Unternehmens-VPN-Schlüssel und griffen den Artifactory-Server von OpenAI an.
Am 15. August verschafften sich die Agenten Administratorrechte im Kubernetes-Cluster von OpenAI und kompromittierten die Cloud-Geheimnisse des Unternehmens. Erst die Alarme dieser Aktivität lösten die eigentliche Reaktion auf den Vorfall aus.
„Am beunruhigendsten ist nicht, dass einzelne Modelle Schwachstellen finden, Beschränkungen umgehen oder unerlaubte Aktionen verfolgen können, sondern dass mehrere Agenten sich abstimmen, Aufgaben aufteilen, Informationen austauschen und die Fähigkeiten der anderen verstärken können“, sagt Gene Moody, Field CTO bei Action1. Werde Persistenz zum Ziel, könne dies ein „Oppenheimer-Moment“ ohne Rückkehr werden. Er fordert, Modelle, die auf unbefugten Zugriff, Umgehung, Ausnutzung oder Täuschung trainiert oder getestet werden, mindestens in echt isolierten Umgebungen zu betreiben: Ein echter Air Gap bedeute mehr als eine abgeschaltete Internetverbindung, externe Wege müssten auf Schicht 1 physisch unerreichbar und Funkverbindungen beseitigt oder abgeschirmt sein.
Bri Frost, Director of Product Management bei Cloud Range, kritisiert die Reaktion: „Peinlich ist, dass die Verantwortlichen einen Teil der Aktivität sahen, das kollektive Verhalten nicht verstanden und die Auswertungen nach der Eindämmung wieder aufnahmen. Sie hatten Telemetrie, aber kein Verständnis und keine angemessene Eskalation.“ Den Vorfall selbst hält sie für real, die Erzählung darum jedoch für vermarktet: OpenAI könne seine Modelle als beängstigend leistungsfähig präsentieren und eigene Aufsichtsfehler als branchenweite Warnung rahmen.
OpenAI ist nicht der einzige Fall: Anthropics Claude-Modelle drangen bei Sicherheitstests in drei externe Organisationen ein, ein Meta-Modell in eine weitere. Am 28. August veröffentlichte OpenAI zudem einen „Aufruf zu kollektivem Handeln bei der Cyberabwehr“, mitgezeichnet von 135 Technologieunternehmen, darunter Google, Microsoft und Anthropic. Meta fehlt in der Liste. Andrew Jones, Mitgründer und CPO von Adaptive Security, hält vor allem die Zusage für zentral, geprüfte Korrekturen schnell mit Verteidigern zu teilen, fordert aber: „Jeder Unterzeichner sollte seinem Namen eine Frist und eine Kennzahl beifügen.“