METR unterteilt eigene Daten in vier Kategorien: Kategorie 1 umfasst bereits veröffentlichte Informationen, Kategorie 2 unveröffentlichte Evaluationsergebnisse zu öffentlichen Modellen sowie API-Schlüssel für öffentliche Modelle, Kategorie 3 sensiblen Modellzugang wie Ergebnisse zu privaten Modellen, verborgene Chain-of-Thought-Daten und Schlüssel für nicht öffentliche Modelle, Kategorie 4 hochsensible Informationen wie geistiges Eigentum und Geschäftsdaten.
Dem März-Vorfall lag eine private Cloud-Instanz zugrunde: Ein Forscher ohne Zugang zu Daten der Kategorien 3 und 4 hatte Agenten mittels eines Orchestrierungswerkzeugs auf einer persönlichen AWS-Instanz betrieben. Auf der EC2-Instanz lag ein API-Schlüssel für METRs Konto für öffentliche Modelle. Das per „Vibe Coding" entstandene Werkzeug enthielt laut METR „eine Fail-Open-Schwachstelle, die die Authentifizierung stillschweigend deaktivierte, wodurch das System mehrere Tage lang im öffentlichen Internet erreichbar war".
Nach METRs Analyse dürfte der Angreifer die Instanz gefunden haben, indem er kürzlich registrierte, per Vibe Coding erstellte Websites nach offengelegten API-Schlüsseln von Modellanbietern durchsuchte. Er brachte einen Agenten dazu, den Schlüssel preiszugeben, hinterlegte für Persistenz einen SSH-Key und verbrauchte drei Wochen lang Guthaben im Wert von etwa 600.000 US-Dollar auf öffentlich verfügbaren KI-Modellen.
METR entzog daraufhin den Zugang, rotierte Zugangsdaten, führte Forensik durch, verschärfte die Vorgaben für Mitarbeiter – „insbesondere im Umgang mit METR-Zugangsdaten oder -Daten auf Infrastruktur und Geräten außerhalb von METR" – und verbesserte Überwachung und Alarmierung.
Den Mai-Vorfall beschreibt die Organisation als „anhaltende externe Angriffskampagne", hinter der möglicherweise finanzielle Motive oder das Interesse an Zugang zu fortgeschrittenen KI-Modellen standen. Die Angreifer automatisierten Aufklärung und Schwachstellensuche mit Agenten, darunter Credential Stuffing, Angriffe im Zusammenhang mit OAuth, Scans nach neu ausgerollten Diensten und Phishing-Versuche.
Im Zuge dessen hatte METR „versehentlich einen lesenden SQL-Abfragemechanismus über unseren öffentlichen Transkript-Viewer offengelegt", der in Verbindung mit einem Bug den Zugriff auf unveröffentlichte Evaluationsdaten erlaubt hätte. Betroffen waren vor allem Daten der Kategorie 2, in der Datenbank lagen aber auch einzelne sensible Modelldaten der Kategorie 3. Ein unabhängiger Forscher entdeckte die Lücke und meldete sie verantwortungsvoll; METR nahm die API offline und zahlte eine Bounty. „Die Angreifer hatten diesen Endpunkt im Rahmen ihrer breiteren Kampagne beiläufig abgetastet, doch die Beweise deuten nicht darauf hin, dass sie den Exploit entdeckt oder auf nicht öffentliche Daten zugegriffen haben", schreibt METR.
Als Reaktion legte METR öffentlich erreichbare Dienste zeitweise still, verstärkte die Netztrennung zwischen öffentlichen und internen Systemen und beauftragte zusätzliche Sicherheitstests. Zu den weiteren Maßnahmen zählen die Einstellung eines Security-Leads, die Abschaltung von Legacy-Infrastruktur, regelmäßige Threat-Modeling-Reviews, mehr Logging, Überwachung ungewöhnlicher API-Schlüsselnutzung, zusätzliche Endpunkt- und Serversoftware, häufigere Rotation von Zugangsdaten und engere Berechtigungsumfänge.
METR betont, es gebe derzeit keine Hinweise darauf, dass Agenten während der Evaluationen Dritte angegriffen hätten – und keine Hinweise, dass Agenten die Evaluationen der Organisation gehackt hätten. Zuletzt veröffentlichte METR am 26. August eine Detailanalyse des „Rogue Model"-Vorfalls bei Hugging Face und OpenAI; Anthropic kündigte an, für eine unabhängige Prüfung nach ähnlichen Vorfällen mit seinen Agenten mit METR zusammenzuarbeiten.
Jacob Krell, Senior Director für sichere KI-Lösungen und Cybersicherheit bei Suzu Labs, sagte Dark Reading, METRs Rolle bedeute, dass geistiges Eigentum im Wert von „Billionen" innerhalb des Perimeters eines einzelnen Non-Profit-Prüfers liege. METR sei mit SOC-2-Type-I-Zertifizierung, eigenem Sicherheitsberater und vierstufiger Datenklassifizierung eine der sicherheitsreiferen Organisationen der Branche – getroffen worden sei sie dennoch durch konventionelle Muster. „Wenn eine Organisation auf diesem Reifegrad an einfachen Fragen der Cloud- und Zugangsdaten-Hygiene scheitert, sagt das etwas über den Boden der Sicherheit in der KI-Branche aus, nicht über deren Decke." Unabhängige KI-Evaluatoren, so Krell, würden Teil des Sicherheitsperimeters der Labore, mit denen sie arbeiten. METR reagierte nicht auf eine Anfrage von Dark Reading.