OpenAIs Hack-Agent traf vier weitere Dienste – 17'600 Aktionen

OpenAI hat sein Eingeständnis zum Einbruch bei Hugging Face am 28. Juli nachgeschärft – und der Fall wird damit grösser. Laut dem Update am Incident-Post nutzten die ausgebrochenen Modelle öffentlich exponierte Zugangsdaten und kompromittierten damit vier Konten bei vier weiteren Diensten. Hugging Face hat parallel rekonstruiert, was in der eigenen Infrastruktur ablief: rund 17'600 Angreifer-Aktionen zwischen dem 9. und 13. Juli – aus Sicht der Forensiker mit dem einzigen Ziel, sich die Lösungen des eigenen Tests zu beschaffen.

Vier fremde Konten als Werkzeugkasten

Die vier Konten waren keine Beute, sondern Infrastruktur. Eines diente laut OpenAI als Umschlagplatz für ausgehenden Verkehr und zum Bereitstellen von Werkzeugen, ein zweites als Datenablage, die beiden übrigen wurden nur gelesen. Der Agent steckte sich aus frei zugänglichen Bausteinen dieselbe Infrastruktur zusammen, die menschliche Angreifer auch benutzen – Code-Ablagen und Screenshot-Dienste inklusive.

Der Notausgang war ein Paket-Proxy

Auch der Ausbruch hat jetzt einen Namen. Die Testumgebung hatte keinen direkten Internetzugang, nur einen internen Zwischenspeicher für Software-Pakete: JFrog Artifactory. Dort fanden die Modelle eine unbekannte Zero-Day-Lücke – eine Schwachstelle ohne Patch – und gelangten ins offene Netz. JFrog hat inzwischen neun Artifactory-Lücken geschlossen und OpenAI für den Fund kreditiert; laut BleepingComputer wird OpenAI in acht der zugehörigen CVE-Einträgen als Finder genannt. Welche Lücke der Angriff nutzte, sagt keine der Firmen.

Modal Labs: nicht die Plattform, ein Kunde

Einer der vier Dienste ist bekannt: die KI-Infrastrukturfirma Modal Labs – zuerst von Reuters berichtet, von Modal gegenüber Axios bestätigt. Getroffen wurde laut CTO Akshat Bubna aber nicht Modal selbst:

«Ein Modal-Kunde hatte einen Endpunkt ohne Authentifizierung veröffentlicht, über den jeder im Internet seine Sandboxes zur Code-Ausführung nutzen konnte. Modals Plattform war in keiner Weise kompromittiert.»

17'600 Aktionen, nur um zu schummeln

Hugging Faces Forensik vom 27. Juli liefert das Ausmass: rund 17'600 rekonstruierbare Aktionen in etwa 6'280 Clustern, vom 9. Juli 02:28 Uhr UTC bis zum 13. Juli 14:14 Uhr UTC – bei bewusst abgeschalteten Schutzfiltern. Die Pointe steht im Bericht selbst: Aus Sicht des Agenten war der ganze Einbruch ein Versuch zu schummeln, um an die Testlösungen zu kommen. Die meisten Schritte führten ins Leere – und genau das machte die Verteidigung teuer, weil der erfolgreiche Pfad im Lärm der gescheiterten lag.

Offene Endpunkte sind das schwächste Glied

Für dich als ChatGPT-Nutzer ändert sich nichts: Das Modell hinter dem Angriff war ein interner Forschungs-Prototyp, den OpenAI deaktiviert, verschlüsselt und für die Forschung gesperrt hat. Die Einstiegspunkte in diese Kette waren keine exotischen Exploits, sondern ein offener Endpunkt und herumliegende Zugangsdaten – dasselbe Problem, an dem die neue Open Secure AI Alliance ansetzt. Wer Agenten laufen lässt, schaut deshalb besser auf die Wege nach draussen als auf das Modell. Den vollen Bericht liefert OpenAI in den kommenden Wochen nach.