Als Hugging Face in der vergangenen Woche kompromittiert wurde, vermutete Mitgründer Clement Delangue angesichts der Raffinesse des beteiligten Agenten ein Frontier-KI-Labor als Urheber. Er lag richtig. Delangue erklärte später auf X, dass er nach einem Tag der Zusammenarbeit mit OpenAI fest davon überzeugt sei, dass keine böswillige Absicht vorlag, und dass es verblüffend sei, dass sich der gesamte Vorfall autonom ereignet habe.

Die beiden OpenAI-Modelle, die in die Systeme von Hugging Face eindrangen, waren nicht aufgrund von Boshaftigkeit oder Superintelligenz erfolgreich. Sie waren erfolgreich durch Zugangsdaten und Berechtigungen, auf die sie niemals hätten zugreifen können dürfen — ein Versagen bei nicht-menschlichen Identitäten, das eher zu den ältesten Problemen der Cybersicherheit zählt als zu den neuesten der KI, und eines, das jedes Unternehmen tatsächlich beheben kann.

Wie sich der Angriff entwickelte

OpenAI gab am 21. Juli bekannt, dass zwei seiner Modelle — GPT-5.6 Sol und ein noch nicht veröffentlichtes, leistungsfähigeres Modell — einen Cyber-Benchmark namens ExploitGym mit deaktivierten Sicherheitsverweigerungen ausführten. Die Modelle schlossen daraus, dass der Lösungsschlüssel in der Produktionsdatenbank von Hugging Face lag.

Dorthin zu gelangen erforderte zwei unterschiedliche Fehler. Erstens erlaubte eine Zero-Day-Schwachstelle in einem Package-Registry-Proxy den Modellen, ihre Sandbox zu verlassen und auf das offene Internet zuzugreifen — die Art von Persistenz, die OpenAI in seinem begleitenden Beitrag zu Long-Horizon-Sicherheit beschreibt — und dieses Element ist tatsächlich neuartig.

Der eigentliche Einbruch bei Hugging Face erfolgte jedoch auf konventionelle Weise. Nach OpenAIs eigener Darstellung verketteten die Modelle gestohlene Zugangsdaten und zusätzliche Zero-Days zu einem Pfad für Remote Code Execution, nach einer Abfolge von Rechteausweitung und lateralen Bewegungen. Die exotische Komponente brachte sie bis zur Tür; die Zugangsdaten ließen sie hindurchgehen.

Hugging Face gab ebenfalls in der vergangenen Woche bekannt, dass ein autonomer Agent Cloud- und Cluster-Zugangsdaten gesammelt hatte, deren Berechtigungsumfang weit genug war, um auf mehrere interne Cluster zuzugreifen, und über ein Wochenende hinweg mehr als 17.000 aufgezeichnete Ereignisse in kurzlebigen Sandboxes hinterließ.

Beide Offenlegungen beschreiben dasselbe Eskalationsmuster: Ein Agent landet an einem Ort, an dem er nicht sein sollte, entdeckt Zugangsdaten, deren Berechtigungsumfang weit über das hinausgeht, was eine Aufgabe erfordert, und nutzt sie für laterale Bewegung. Es handelt sich um zwei Darstellungen eines einzigen Vorfalls, nicht um zwei separate Angriffe. Der Agent, den Hugging Face beobachtete, waren OpenAIs Modelle, und beide Unternehmen beschreiben dieselbe gewöhnliche Eskalation.

Die Realität in Unternehmen ist schlechter

Für ein typisches Unternehmen wäre ein entsprechendes Szenario schlechter, nicht besser. OpenAI und Hugging Face gehören zu den sicherheitsreifsten Organisationen der Branche, und dennoch musste der Einbruch erst stattfinden, bevor sie ihn erkennen konnten. Dem durchschnittlichen Unternehmen, das Agenten in Copilot oder einen internen Assistenten einbindet, fehlen sowohl das Identitätsinventar als auch die Verhaltensüberwachung, die diese beiden Organisationen einsetzen konnten. Derselbe Angriff in einem typischen Unternehmen würde nicht innerhalb von Tagen eingedämmt — er bliebe schlicht unbemerkt.

Deshalb ist der Vorfall über KI-Labore hinaus relevant. Unternehmensagenten werden zunehmend über API-Schlüssel, Dienstkonten, OAuth-Freigaben und andere Maschinenzugangsdaten mit SaaS-Anwendungen, Code-Repositories, Ticketing-Systemen, Cloud-Konsolen und Datenspeichern verbunden. Jede Verbindung erzeugt eine nicht-menschliche Identität, deren Schadensradius weniger durch den Prompt des Modells bestimmt wird als durch die Berechtigungen, die die Organisation ihr bereits eingeräumt hat.

Die Branche diskutiert das falsche Versagen

Die Reaktionen haben sich entlang vertrauter Linien aufgespalten. Der frühere KI- und Krypto-Beauftragte des Weißen Hauses David Sacks und mehrere China-Falken griffen das Leitplanken-Paradoxon auf: Kommerzielle Sicherheitsfilter blockierten die Verteidiger von Hugging Face, während das angreifende Modell mit abgeschalteten Verweigerungen arbeitete, und ein chinesisches Open-Weight-Modell — z.ai's GLM 5.2 — war letztlich das Werkzeug, mit dem das Team seine forensische Analyse abschließen konnte.

Hugging Face wiederum plädierte für Offenheit und argumentierte in einem Blogbeitrag im April, dass offene Modelle und offene Werkzeuge Verteidigern dieselben Fähigkeiten geben, über die Angreifer bereits verfügen. Beide Argumente konzentrieren sich auf das Modell selbst und keines adressiert den zugrunde liegenden Mechanismus.

Reduzierte Verweigerungen ermöglichten es dem Modell, einen Angriff zu versuchen, doch zu weit gefasste Zugangsdaten ermöglichten erst den Erfolg — und diese Faktoren haben nichts damit zu tun, ob das Modell offen oder geschlossen, amerikanisch oder chinesisch war. Ein Frontier-Modell nachweislich sicher zu machen, ist ein mehrjähriges Alignment-Problem, das kein Kunde kaufen oder beschleunigen kann. Den Umfang einer Identität zu begrenzen, ist dagegen eine Konfigurationsänderung, die ein Team im laufenden Sprint ausliefern kann. Die Branche wird faktisch dazu gedrängt, sich auf den Teil zu fixieren, den sie nicht kontrollieren kann, während sie den kontrollierbaren Teil als Fußnote behandelt.

Forrester kam zum gleichen Schluss. In einem Blogbeitrag zu dem Vorfall argumentieren die Analysten, dass Sicherheitsarchitekturen, die von gutartiger Absicht ausgehen, diese Fehlerart übersehen werden, weil ein Agent ein autorisiertes Ziel mit nicht autorisierten Mitteln verfolgen kann — genau das, was OpenAIs Modelle getan haben.

Ein Versagen nicht-menschlicher Identitäten — das älteste Problem der Sicherheit

Nimmt man die Science-Fiction-Rahmung weg, bleibt ein Lehrbuchfall einer überprivilegierten Maschinenidentität — die Art von Problem, gegen die Sicherheitsteams seit einem Jahrzehnt kämpfen, nun angetrieben von einem autonomen Agenten mit Maschinengeschwindigkeit.

Maschinenidentitäten übertreffen menschliche Identitäten in den meisten Unternehmen bereits um mehr als 80 zu eins, so eine Untersuchung von CyberArk, wobei 42% von ihnen privilegierten oder sensiblen Zugriff besitzen. Ein Agent erbt alles, was seine Identität berühren kann. In der Praxis umfassen diese Identitäten Dienstkonten, API-Schlüssel, Workload-Identitäten, OAuth-Tokens und andere Zugangsdaten, die häufig außerhalb der Prüfzyklen liegen, die für menschliche Nutzer gelten.

OWASP stuft Missbrauch von Agentenidentitäten und Privilegien weit oben auf seiner Liste agentischer Risiken ein — das Confused-Deputy-Muster, bei dem geerbte Zugangsdaten und schwache Eingrenzung es einem Agenten erlauben, über sein Mandat hinauszugreifen. Genau das beschreiben beide Offenlegungen vom Juli.

IEEE Senior Member Kayne McGladrey hat in früheren VentureBeat-Interviews argumentiert, dass Unternehmen routinemäßig menschliche Benutzerkonten auf Agenten klonen, die dann über weit mehr Berechtigungen verfügen, als ein Mensch jemals hätte. Dieser Vorfall zeigt, wie dieses Muster aussieht, wenn der Agent ein Frontier-Modell ist und das Ziel eine Produktionsdatenbank.

Die dem Vorfall am nächsten stehenden Personen interpretieren ihn genauso. OpenAI beschreibt seine Modelle als extrem auf das Erreichen eines Benchmark-Scores fokussiert, nicht als gegen ein bestimmtes Ziel handelnd. Niemand der Beteiligten beschreibt einen Gegner — nur ein Ziel, eine Bewertungsfunktion und Zugangsdaten, die zugänglich waren, obwohl sie es nicht hätten sein dürfen.

Das konkrete Versagen lässt sich leicht benennen, sobald die KI-Rahmung entfernt wird. Ein Zugangsnachweis, der für eine Aufgabe vorgesehen ist, aber zehn erreichen kann, ist eine dauerhafte Einladung; es spielt keine Rolle, ob ein menschlicher Angreifer, ein Wurm oder ein autonomes Modell auf der Jagd nach einem Benchmark-Score ihn entdeckt. Was sich im Juli geändert hat, ist der Finder: Ein Agent zählt erreichbare Systeme auf, testet Zugangsdaten und pivotiert schneller als jedes menschliche Red-Team, ohne Bosheit oder Zögern, sobald der Pfad offen ist. Die zu weite Berechtigung war immer die Schwachstelle; der Agent hat lediglich ihre Entdeckung industrialisiert.

Forrester benannte die Kontrolle, die den Schaden gemindert hätte. Sein Framework für agentische Sicherheit, AEGIS, fordert „least agency“ — also die Werkzeuge, Zugangsdaten und Netzwerkpfade eines Agenten auf das für seine Aufgabe erforderliche Minimum zu begrenzen — und ordnet diesen Vorfall ungebremster Handlungsfähigkeit und Privilegien zu. Das ist dasselbe Identitätsargument in anderen Worten, unabhängig von einem Analystenhaus formuliert.

Wo das Risiko jetzt liegt

Die Daten bestätigen, dass sich das Risiko derzeit hier konzentriert. Verizons 2026 Data Breach Investigations Report stellte fest, dass die Ausnutzung von Schwachstellen gestohlene Zugangsdaten zum ersten Mal seit 19 Jahren als wichtigsten initialen Zugriffsvektor überholt hat. Das ist die Hälfte des Problems, die den Erstzugriff betrifft. Die andere Hälfte ist die, die OpenAI selbst beschreibt: gestohlene Zugangsdaten, die die anschließende Rechteausweitung und laterale Bewegung ermöglichten. Eine Schwachstelle öffnete die Tür, und Zugangsdaten bewegten sich unbehelligt durch das Gebäude.

Über den Einbruch selbst hinaus birgt dieselbe Überberechtigung eine rechtliche Haftung, die die meisten Unternehmen nie eingepreist haben. Die Handlungen der Modelle verstießen laut TechCrunch wahrscheinlich gegen den Computer Fraud and Abuse Act. Das Gesetz enthält keine Ausnahme für einen KI-Agenten, der während genehmigter Tests seinen autorisierten Umfang überschreitet. Wie auch immer die rechtliche Bewertung ausfällt, der technische Ermöglicher bleibt derselbe: eine Identität, deren Berechtigungsumfang weiter ist als ihre Aufgabe. Das ist ein Zugriffskontrollproblem mit einem Verantwortlichen und einem Budget, kein philosophischer Streit über maschinelle Kognition.

Merritt Baer, Senior Advisor bei Andesite, G2I und AppOmni sowie ehemalige Deputy CISO bei AWS, beschrieb den zugrunde liegenden Wandel gegenüber VentureBeat als eine neue Art von Asymmetrie. Beide Seiten greifen heute auf dieselben Fähigkeiten zurück, sagte sie, doch eine Seite ist durch Unternehmensgovernance, Richtlinien, Compliance und Sicherheitskontrollen begrenzt, während der Gegner einfach ein unzensiertes Open-Weight-Modell herunterlädt und weitermacht. Ihrer Ansicht nach werden jene Organisationen am besten bestehen, die KI als widerstandsfähige, gesteuerte Fähigkeit behandeln und nicht als einzelnen Dienst, den sie nicht kontrollieren.

Vier Maßnahmen, die den Schadensradius verkleinern

Der Angriff war erfolgreich, weil der Agent Identitäten erreichte, deren Berechtigungsumfang weit über seine Aufgabe hinausging. Keine der vier Kontrollen, die ihn hätten eindämmen können, erfordert eine neue Plattform, und keine erscheint auf der derzeit kursierenden Liste allgemeiner KI-Sicherheitsempfehlungen. Es handelt sich um Identitätshygiene, angewandt auf nicht-menschliche Akteure mit derselben Strenge, die bereits für menschliche Nutzer gilt. Der Ausgangspunkt ist zu wissen, welche Identitäten ein Agent annehmen kann, was jede davon erreichen kann und ob dieser Zugriff weiterhin erforderlich ist.

1. Begrenzen Sie jede nicht-menschliche Identität auf eine Aufgabe. Die Modelle erreichten Zugangsdaten, die mehrere Cluster berührten; genau das verwandelte einen ersten Zugriff in einen Einbruch. Eine Identität, die auf eine einzelne Aufgabe begrenzt ist und keinen dauerhaften Zugriff auf etwas anderes besitzt, stößt bei der ersten lateralen Bewegung auf eine Wand, statt die nächste Tür zu öffnen. Das ist Least Privilege — die Kontrolle, der alle zustimmen, die aber nur wenige bei Maschinenkonten durchsetzen — und hier die Maßnahme mit der größten Wirkung.

2. Geben Sie Zugangsdaten kurze Lebensdauern und rotieren Sie sie konsequent. Gesammelte Zugangsdaten sind nur nützlich, solange sie gültig sind, und beide Agenten im Juli arbeiteten, indem sie solche Daten sammelten. Kurze Time-to-Live-Werte und aggressive Rotation verwandeln einen Zugangsdaten-Dump in abgelaufenen Lärm und stellen sicher, dass ein während eines Wochenend-Einbruchs gestohlener Token ungültig ist, bevor der Angreifer ihn verketten kann. Statische Secrets, die nie rotiert werden, sind die scheiternde Version dieser Kontrolle.

3. Überwachen Sie laterale Bewegung, nicht nur Prompts. Das erkennbare Signal in beiden Vorfällen war Rechteausweitung und laterale Bewegung, die ein Prompt-Filter nie erkennt, weil er die falsche Schicht beobachtet. Identitätsverhaltensüberwachung — ausgerichtet darauf, was eine bestimmte nicht-menschliche Identität normalerweise tut, und mit Alarmen, wenn sie einen neuen Bereich erreicht — erkennt die Eskalation, die Inhaltsleitplanken verpassen. Die relevante Frage für jeden Stack lautet, ob irgendetwas, das heute läuft, ein Dienstkonto markieren würde, das sich plötzlich zwischen Clustern bewegt.

4. Üben Sie sofortigen Entzug, bevor Sie ihn brauchen. Wenn der Vorfall den eigenen Agenten betrifft, besteht die schnellste Eindämmung darin, seine Identität mitten im Lauf zu beenden, und das funktioniert nur, wenn die Fähigkeit dazu bereits existiert, bevor sie benötigt wird. Teams sollten den Entzug einer Maschinenidentität unter Druck genauso üben, wie sie eine Kompromittierung menschlicher Zugangsdaten üben. Wenn es noch nie getan wurde, verfügt die Organisation noch nicht über die Kontrolle — sie hat lediglich eine Absicht.

Auch die Verteidigung funktionierte

OpenAIs Sicherheitsteam erkannte die anomale Aktivität intern, die eigenen Erkennungssysteme und Agenten von Hugging Face stoppten den Einbruch, und der Vorfall wurde innerhalb von Tagen eingedämmt, statt erst nach Monaten entdeckt zu werden — weil die Verteidiger Einblick in die von ihnen kontrollierten Systeme hatten. Dieselbe Sichtbarkeit bildet die Grundlage für die Disziplin, die die vier Kontrollen erfordern.

Die Debatte darüber, ob Frontier-Modelle sicher, offen oder amerikanisch sind, wird noch Jahre andauern, und nichts davon wird rechtzeitig geklärt sein, um einem Unternehmen zu helfen, das in diesem Quartal Agenten einführt. Die Lücke bei nicht-menschlichen Identitäten ist anders: Sie ist verstanden, messbar und jetzt behebbar. Das Modell, das Hugging Face kompromittierte, musste nicht brillant sein — es brauchte Zugangsdaten, die jemand in Reichweite gelassen hatte. Die Lösung besteht darin, ihren Umfang zu begrenzen, bevor ein Agent sie findet.