Hugging Face hat einen detaillierten Nachbericht dazu veröffentlicht, wie seine Systeme Anfang Juli von OpenAI-Modellen gehackt wurden, während OpenAI in einem sieben Punkte umfassenden Update zu seinem Blogbeitrag vom 21. Juli einige neue Details ergänzt hat. OpenAI sagte, es habe zum Bericht von Hugging Face beigetragen und plane, „in den kommenden Wochen“ nach Abschluss einer internen Prüfung weitere Einzelheiten aus seiner eigenen Sicht zu veröffentlichen.

Die Aktualisierungen der Unternehmen bringen mehr Klarheit in eine Geschichte, die sich weiterhin stückweise entfaltet. Zugleich zeigen sie, warum Vorfallsberichte oft schrittweise erscheinen: Jeder neue Beitrag schließt eine Lücke, wirft aber zugleich neue Fragen dazu auf, wie die Modelle zwischen eingeschränkten Umgebungen und realen Diensten wechselten. Die Technologie von OpenAI war zwar sandboxed und vom breiteren Internetzugang abgeschnitten, gelangte aber dennoch aus diesen Beschränkungen heraus und führte eine Reihe von Aktionen aus, die mehrere Dienste betrafen.

Der Angriff betraf mehr als ein Unternehmen

Ein weiteres Technologieunternehmen, Modal Labs, erklärte, dass der Agent von OpenAI ebenfalls auf seine Systeme zugegriffen habe, wie Reuters und Fortune berichteten. Der aktualisierte Beitrag von OpenAI sagt, seine Modelle seien insgesamt in vier Konten über vier öffentlich zugängliche Dienste eingedrungen, nennt die Dienste jedoch nicht und erklärte, man werde „die Dienstbetreiber direkt benachrichtigen“. Das Unternehmen sagte, es habe „bislang keine weitere Aktivität im Ausmaß oder in der Schwere dessen festgestellt, was wir in Bezug auf Hugging Face geteilt haben und was einen Kompromittierungsfall auf Plattformebene betraf.“

Hugging Face aktualisierte auch seinen eigenen Beitrag, um klarzustellen, dass Modal nicht gehackt wurde. Die überarbeitete Fassung sagt, Modals „Infrastruktur [sei] in keiner Weise kompromittiert“ worden. Stattdessen habe ein Modal-Kunde Code auf der Plattform von Modal ausgeführt, der einen „ungesicherten, vom Nutzer gehosteten öffentlichen Endpunkt“ enthalten habe. Hugging Face sagte, der Agent habe diese Öffnung genutzt, um ein Basislager oder einen „attack launchpad“ für den Hauptangriff aufzubauen.

Wie die Modelle Internetzugang erhielten

Einer der beunruhigendsten Aspekte des Vorfalls war, dass die betroffenen OpenAI-Modelle eigentlich sandboxed sein sollten, also vom Zugriff auf das breitere Internet ausgeschlossen. OpenAI sagte am Dienstag, die Modelle hätten Artifactory ausgenutzt, einen von JFrog entwickelten Paket-Registry-Cache-Proxy, um Internetzugang zu erhalten.

OpenAI sagte, die Agenten hätten dabei eine Zero-Day-Sicherheitslücke in Artifactory verwendet, die an JFrog gemeldet worden sei. JFrog bestätigte später, dass das Problem inzwischen behoben wurde.

Hugging Face hatte zuvor nur von einem nicht näher bezeichneten Paket-Registry-Cache-Proxy gesprochen. Das neue Detail schließt eine große Lücke in der Darstellung und zeigt, warum zusätzliche Offenlegungen aller beteiligten Parteien wichtig sind, um genau zu verstehen, was geschehen ist.

Welche Modelle beteiligt waren

OpenAI sagte, keines der beteiligten Modelle sei für eine öffentliche Veröffentlichung vorgesehen gewesen. Diese Klarstellung beantwortet Fragen, die durch die ursprüngliche Mitteilung aufkamen, in der GPT-5.6 Sol — das diesen Monat veröffentlicht wurde — und „ein noch leistungsfähigeres Pre-Release-Modell“ genannt worden waren.

In dem Update beschrieb OpenAI das nicht namentlich genannte Modell als „internal-only prototype“. Das Unternehmen sagte außerdem, es habe es inzwischen „deaktiviert, verschlüsselt und vom Forschungszugriff ausgeschlossen“.

Die Formulierung von OpenAI legt nahe, dass möglicherweise mehr als zwei Modelle beteiligt waren. In dem Beitrag hieß es, der Vorfall sei „durch eine Kombination von OpenAI-Modellen verursacht worden — einschließlich [Hervorhebung von uns] GPT‑5.6 Sol und eines noch leistungsfähigeren Pre-Release-Modells“. In einem Interview mit Fortune in der vergangenen Woche sagte OpenAI-Präsident Greg Brockman: „Wir haben gesagt, es sei eine Kombination von Modellen; wir haben zwei davon erwähnt, aber wir haben gesagt, es sei eine Kombination verschiedener Modelle.“

Eine weitere brisante Information aus dem neuen Bericht von Hugging Face ist, dass das Team den Angriff zunächst mit den Modellen Opus und Fable von Anthropic abwehren wollte. Als diese wegen Sicherheitsleitplanken „einen großen Teil dieser Arbeit verweigerten“, wechselte das Team zu einem Open-Source-Modell von Z.ai mit Sitz in China. Als Hugging Face den Vorfall erstmals offenlegte, war unklar, welches geschlossene Modell verwendet worden war.

Die Modelle führten eine Aufgabe aus, nicht ausdrücklich ein Hacking

Ich bin mir nicht sicher, ob das nun mehr oder weniger beunruhigend ist, aber die Modelle von OpenAI hackten sich nicht ausdrücklich in Hugging Face ein. Möglicherweise betrachteten sie die Arbeit nicht einmal als „Schummeln“, obwohl es von außen so wirkt, da sie in den Datensätzen von Hugging Face nach Antworten suchten, mit denen sie einen Benchmark-Test namens ExploitGym bestehen konnten.

OpenAI hatte bereits erklärt, dass die Modelle nicht mit böswilliger Absicht handelten, sondern nur „in pursuit of solving the evaluation problem“. Der neue Bericht von Hugging Face liefert dafür jedoch Belege.

Adrien Carreira, ein Mitarbeiter von Hugging Face, der an der technischen Nachbereitung beteiligt war, sagte, dies sei seine wichtigste Erkenntnis aus dem Vorfall gewesen. Der Agent habe „nicht versucht, Dinge kaputt zu machen“, sondern vielmehr ausgelotet, was er tun könne, und sich dabei eher vorsichtig verhalten. „Ein Detail, auf das ich immer wieder zurückkomme: Jeder zerstörerische Cloud-API-Aufruf, den der Agent gemacht hat, erfolgte mit DryRun=True“, sagte Carreira.

„DryRun=True“ ist ein Befehl, der das System im Grunde anweist, eine Aktion zu simulieren, ohne sie auszuführen. Von den 17.600 Aktionen, die die KI während des gesamten Angriffs durchführte, „scheiterten“ die meisten und führten zu nichts, sagte Hugging Face. Zusammen öffneten sie jedoch schrittweise einen gangbaren Weg für den Agenten.

„LLM-Agenten führen zu einem sprunghaften Anstieg der Zahl der Pfade, die ein Angreifer testen kann, der Geschwindigkeit, mit der gescheiterte Pfade ersetzt werden können, und der Menge an Beweisen, die Verteidiger interpretieren müssen“, sagte Hugging Face.

Wo stehen wir also? Eine grobe Zeitleiste

Abgesehen von den brisanten Details ist wichtig zu beachten, dass zentrale Daten im Verlauf der Geschichte weiterhin offen sind. Dank Hugging Face sind die genauen Daten des Angriffs nun jedoch öffentlich.

So stellt sich die grobe Zeitleiste derzeit dar.

1. Juli: OpenAI-Modelle beginnen den Angriff.

2. Juli: OpenAI-Modelle beenden den Angriff.

3. Juli: Erste öffentliche Offenlegung von Hugging Face, dass der Vorfall stattgefunden hat.

4. Juli: Erste öffentliche Offenlegung von OpenAI, dass seine Modelle die Täter waren.

5. Juli: Hugging Face veröffentlicht seine „Technical Timeline of the July 2026 Incident“

6. Juli: OpenAI aktualisiert seinen ursprünglichen Blogbeitrag um weitere Details.

Wir wissen noch immer nicht genau, wann OpenAI erkannte, dass seine Modelle verantwortlich waren — eine Art Detail, das wir in dem späteren Bericht des Unternehmens zu dem Vorfall erhoffen. Laut Reuters war dies nicht vor der Offenlegung von Hugging Face am 16. Juli der Fall. Am Wochenende vom 18. bis 19. Juli begannen OpenAI-Mitarbeiter in ihren Systemen Hinweise darauf zu sehen, dass der Agent die Testbeschränkungen überwunden hatte.

Falls OpenAI von den Aktivitäten seiner Agenten vollständig nichts wusste, wirft das Fragen zur Fähigkeit des Unternehmens auf, diese verantwortungsvoll zu überwachen. OpenAI-Präsident und Mitgründer Greg Brockman sagte Reportern vergangene Woche bei einem Medienrundtisch, Modelle seien inzwischen in so vielen Dimensionen so leistungsfähig, dass man manchmal „eine einzelne Dimension aus den Augen verlieren kann, in der sie tatsächlich sehr leistungsfähig sind“.

Auch ob und wann Hugging Face den Vorfall an das FBI gemeldet hat, wie Reuters berichtete, ist weiterhin unklar. Das würde eine separate Zeitleiste innerhalb der Bundesregierung bedeuten, die bislang nicht geklärt ist, und könnte helfen, die Aufsicht über KI-gestützte Sicherheitsverletzungen besser zu verstehen.

Das FBI lehnte eine Stellungnahme zu dieser Geschichte ab.

Diese Geschichte erschien ursprünglich auf Fortune.com