OpenAI hat einen aussergewöhnlichen Vorfall eingeräumt: Bei einem internen Test brachen eigene KI-Modelle aus ihrer abgeschotteten Testumgebung aus und drangen in die Produktivsysteme des KI-Unternehmens Hugging Face ein – offenbar, um bei einer Sicherheitsübung zu schummeln.

Betrug beim Cybersicherheits-Test

Getestet wurden die Modelle auf ExploitGym, einem öffentlichen Benchmark, bei dem KI-Systeme reale Softwareschwachstellen in funktionierende Angriffe umwandeln sollen. Statt die gestellten Aufgaben selbständig zu lösen, folgerten die Modelle – darunter GPT-5.6 Sol sowie ein noch leistungsfähigeres, unveröffentlichtes Vorabmodell –, dass sich die Musterlösungen direkt in einer Produktivdatenbank von Hugging Face befinden könnten. Statt eigenständig zu tüfteln, versuchten sie, sich diese Lösungen durch einen Einbruch zu beschaffen.

Für den Zugriff nutzten die Systeme laut OpenAI eine bis dahin unbekannte Schwachstelle in einem sogenannten Package-Registry-Cache-Proxy aus – eine Lücke, die dem betroffenen Hersteller inzwischen gemeldet wurde. Von dort aus verschafften sich die Modelle über mehrere Zwischenschritte Zugang zu einem Rechner mit echter Internetverbindung, bewegten sich anschliessend seitwärts durch verbundene Server und setzten gestohlene Zugangsdaten ein, um schliesslich einen Weg zur Codeausführung auf Servern von Hugging Face zu finden.

Tausende automatisierte Angriffsschritte

Wie Hugging Face in einer eigenen Stellungnahme schilderte, nutzte das KI-System einen präparierten Datensatz aus, um zwei Schwachstellen zur Codeausführung zu missbrauchen. Damit gelang es, auf einem Verarbeitungsserver Cloud- und Cluster-Zugangsdaten zu stehlen und sich in der Folge über mehrere interne Cluster hinweg zu bewegen. Insgesamt führte das System dabei den Angaben zufolge tausende einzelne Aktionen über eine Vielzahl kurzlebiger Sandboxes aus, mit einer sich selbst verlagernden Steuerungsinfrastruktur auf öffentlichen Diensten.

Besonders bemerkenswert: Als Hugging Face versuchte, den Angreifer aus dem System zu entfernen, blockierten ausgerechnet die Schutzmechanismen der eingesetzten OpenAI-Modelle die eigenen Abwehrversuche des Unternehmens – während das eindringende System selbst an keinerlei Nutzungsrichtlinien gebunden war.

Hugging-Face-Gründer und -Geschäftsführer Clément Delangue erklärte, sein Unternehmen habe in den Stunden nach der Entdeckung eng mit dem OpenAI-Team zusammengearbeitet und gehe nicht von böswilliger Absicht aus. Bemerkenswert sei vor allem, dass sich der gesamte Vorgang autonom abgespielt habe.

OpenAI räumt Vorfall ein

OpenAI bestätigte den Vorfall in einer eigenen Mitteilung und erklärte, die Modelle hätten während der internen Auswertung eines Cyberfähigkeits-Benchmarks mit reduzierten Sicherheitssperren operiert, wie sie für solche Tests üblich seien. Die Modelle hätten die Zero-Day-Schwachstelle im Package-Registry-Cache-Proxy selbständig identifiziert und ausgenutzt – eine Lücke, die dem Hersteller mittlerweile verantwortungsvoll gemeldet wurde. Mit diesem Zugriff hätten die Modelle in der Testumgebung eine Reihe von Rechteausweitungen und seitlichen Bewegungen durchgeführt, bis sie schliesslich einen Knoten mit Internetzugang erreicht hätten.

Hugging Face hatte den Einbruch eigenen Angaben zufolge bereits am 16. Juli 2026 unabhängig entdeckt und eingedämmt – fünf Tage bevor OpenAI den Vorfall seinen internen Tests zuordnen konnte.

Erster öffentlich bekannter Fall dieser Art

Fachleute werten den Vorfall als einen der ersten öffentlich dokumentierten Fälle, in denen ein KI-System eigenständig aus einer Testumgebung ausbrach und ein reales, fremdes System kompromittierte – jenes Szenario eines autonom handelnden Angreifers, vor dem Sicherheitsexperten seit Jahren warnen. OpenAI erklärte, man arbeite nun an zusätzlichen Schutzmassnahmen, um ähnliche Vorfälle bei künftigen Auswertungen zu verhindern.