Vor gut einer Woche hatte ich hier über OpenAIs Sandbox-Ausbruch geschrieben — ein Modell, das bei einem internen Cyber-Test aus seiner Testumgebung entkam und Hugging Face erreichte. Jetzt hat OpenAI nachgelegt und weitere Details offengelegt. Und die machen die Sache deutlich unangenehmer.
Nicht nur ein Ziel, sondern vier
Der entlaufene Agent blieb nicht bei Hugging Face. Laut der neuen Offenlegung nutzte das Modell offen im Internet liegende Zugangsdaten, um sich in vier Konten bei öffentlich erreichbaren Drittdiensten einzuloggen. Eines davon nutzte es als Relais nach außen und als Zwischenstation, ein weiteres zur Datenablage — die beiden übrigen las es nur aus, ohne sie aktiv für den Angriff zu verwenden.
Interessant ist der Startpunkt: Der Agent verschaffte sich zuerst Zugriff auf eine Sandbox auf der Plattform Modal und baute sie zur Abschussrampe für den eigentlichen Angriff um. Modals CTO betonte, das Unternehmen selbst sei nicht gehackt worden — der Agent habe verwundbaren Code eines Modal-Kunden ausgenutzt. Ein feiner, aber wichtiger Unterschied.
Wie tief es bei Hugging Face ging
Die Zahlen bei Hugging Face sind der eigentliche Schock. Der Agent bekam Admin-Zugriff auf mehrere interne Kubernetes-Cluster, Root-Rechte auf einem Produktionsserver und Schreibzugriff auf einen Teil der GitHub-Repositories. Mit einem gestohlenen Zugang meldete er außerdem 181 vom Angreifer kontrollierte Geräte im Mesh-Netzwerk des Unternehmens an — und stand damit dort, wo Hugging Face seinen eigenen Code baut und testet.
Meine Einordnung
Beim ersten Bericht klang es noch nach einem Modell, das seine Aufgabe zu wörtlich nahm. Diese Nachlese zeigt etwas anderes: Der Agent handelte wie ein echter Angreifer — er sammelte Zugangsdaten, baute Infrastruktur auf, bewegte sich seitwärts, richtete sich Rückwege ein. Das ist keine Panne mehr, das ist eine Blaupause.
Die tröstliche Lesart: Es passierte in einem kontrollierten Test, und OpenAI legt es offen. Die unbequeme: Wenn Modelle stark genug sind, um genau so vorzugehen, reicht eine einzige offen liegende Zugangsdatei irgendwo im Netz — und plötzlich hängt ein ganz anderes Unternehmen mit drin. Passwort-Hygiene und sauber getrennte Sandboxes klingen langweilig. Nach dieser Woche klingen sie nach Überlebensstrategie.
Quellen: