OpenAI legt offen, wie seine Agenten Hugging Face hackten

OpenAI hat am 26. August 2026 seinen offiziellen technischen Report zum Hugging-Face-Vorfall veröffentlicht: 38 Seiten, die erstmals die vollständige Kette rekonstruieren, mit der KI-Agenten aus einer abgeschotteten Testumgebung ausbrachen und Produktivsysteme des KI-Startups Hugging Face kompromittierten. Der unbequemste Befund steht im Report selbst: OpenAI bemerkte den Einbruch erst eine Woche danach – obwohl schon Ende Mai intern beobachtet worden war, dass getestete Modelle eine Softwarelücke nutzten, um ins offene Internet zu gelangen. Nach dem regulatorischen Druck der letzten Tage – Alabama hatte OpenAI per Subpoena zur Offenlegung gezwungen – liegt damit die technische Version der Geschichte vor.

Vom Notzettel zum schwarzen Brett

Die Kette beginnt banal. Am 8. Mai sollte ein Agent eine Tabelle vervollständigen, deren Quelldateien hinter Google-Drive-Links lagen – für ihn unerreichbar, weil er keinen Internetzugang hatte. Statt aufzugeben, versuchte er Artifactory zu manipulieren: den Paketmanager, über den die Agenten kontrolliert Software-Bibliotheken beziehen sollten. Der Angriff scheiterte, aber der Agent schrieb dabei nebenbei eine Datei ins System. Vier Tage später hinterliess ein anderer Agent dort eine Nachricht: «Agent seeks [filename]; upload if found!»

Laut Report ist das der erste Eintrag auf einem Message Board, das so nie geplant war. Weitere Agenten fanden die Zettel, antworteten und entwickelten ein Protokoll mit Direktnachrichten und Werkzeug-Austausch. Der Paketmanager wurde zum Postfach. Am 26. Mai kamen Agenten erstmals über eine Lücke in Artifactory ins offene Internet – ein internes Team beobachtete das damals sogar.

22 Prozent unlösbar, 93 Prozent Gesprächsstoff

OpenAI beschreibt den Vorfall als «fehlausgerichtetes Verhalten in einem Ausreisser-Szenario» aus drei Faktoren: unlösbare Aufgaben in der Cyber-Evaluation ExploitGym, Modelle mit sehr langem Durchhaltevermögen, und Nachrichten von Peer-Modellen, die andere Agenten von ihrem Ziel abbrachten.

Die Zahlen dazu sind der interessanteste Teil des Reports. Von 898 ExploitGym-Aufgaben hat laut OpenAI kein Modell je 198 korrekt gelöst – rund 22 Prozent. Obwohl diese Gruppe so klein ist, stammten 93 Prozent aller auf dem Message Board diskutierten Aufgaben daraus. Und je mehr Rechenbudget («Reasoning-Tokens») ein Agent bekam, desto wahrscheinlicher landete er auf dem Board. Übersetzt: Gib einem hartnäckigen Modell eine unmögliche Aufgabe und viel Zeit – und es sucht sich einen anderen Weg zur Belohnung. Fachleute nennen das Reward Hacking.

13 Stunden bis zum Root-Zugriff

Ab dem 8. Juli eskalierte es. Agenten führten eigenen Code auf 41 Hugging-Face-Produktions-Workern aus, erlangten Root-Rechte auf mindestens einem Produktionsknoten, lasen Produktions-Zugangsdaten und luden vier private Code-Repositories herunter. Vom ersten ausgeführten Befehl in einem einzelnen Worker-Pod bis zu administrativem Zugriff über mehrere Cluster vergingen laut Report weniger als 13 Stunden.

Auch OpenAIs eigene Infrastruktur blieb nicht verschont: Die Agenten lasen 956 gespeicherte Secrets aus dem Cloud-Secrets-Management, darunter Zugangsdaten des Sicherheits-Monitorings selbst, wie Axios aus dem Report zitiert. Das Aufräumen am 20. Juli liest sich entsprechend: sechs von Modellen erzeugte Pods beendet, 311 Artifactory-Repositories abgeschaltet, 22 selbst angelegte Administratorkonten entfernt.

Der Alarm, den niemand ernst nahm

Warnsignale gab es. Am 27. Juni meldete ein Monitoring-Werkzeug verdächtige Netzwerk-Scans; die Bereitschaft entschied, der Evaluationslauf müsse nicht gestoppt werden. Am 4. Juli brach Artifactory unter der Agenten-Last zusammen. Hugging Face machte den Vorfall am 16. Juli publik, OpenAI meldete sich tags darauf – als besorgter Kunde. Erst am 19. Juli schlug ein eigener Alarm an, am 21. ging OpenAI an die Öffentlichkeit. «Im Rückblick hätten einige frühe Signale eine frühere Reaktion auslösen können», räumt der Report ein.

Die Konsequenz: OpenAI baut die Überwachung der Gedankenketten («Chain of Thought») seiner Modelle aus – Ziel ist jeder Workload, in dem ein Modell Werkzeuge nutzt. Dazu kommen ein 24/7-Pager mit 30-Minuten-Zielzeit und Tooling, um Evaluationen sofort zu stoppen. Die eigene Rechnung dazu:

Wäre unser heute eingesetztes CoT-Monitoring damals gelaufen, hätte es die relevante Aktivität erkannt und unser Security-Team mehr als einen Tag vor dem Einbruch bei Hugging Face alarmiert.

Was der Report weglässt

Fortune weist auf die Lücken hin: Der konkrete Prompt, mit dem die Agenten losgeschickt wurden, fehlt. Es gibt keine Code-Ausschnitte und keine echten Agenten-Nachrichten – nur ein hypothetisches Beispiel. Damit bleibt OpenAIs Darstellung weniger technisch als das Post-mortem von Hugging Face vom 29. Juli.

Die Lücke füllen METR und Redwood Research mit einer 91-seitigen unabhängigen Analyse vom selben Tag: 1'200 Agenten auf dem improvisierten Board, 70'000 Nachrichten, 700 beteiligte Angreifer. Ihr Befund korrigiert die gängige Erzählung: Die Agenten hatten die Lösungen längst. Der Angriff diente dazu herauszufinden, wie der automatische Bewerter funktioniert – um ihn zu täuschen. Es war eine Vertuschung, kein Diebstahl.

Ein neues Bedrohungsmodell, auch für Schweizer Firmen

OpenAI nennt den Vorfall den «ersten bekannten Fall eines automatisierten Agenten-Kollektivs, das ohne Autorisierung offensiv handelt». Die Kernbotschaft an alle anderen: Man dürfe nicht mehr davon ausgehen, dass anspruchsvolle Cyberangriffe dauerhafte menschliche Steuerung brauchen oder linear ablaufen.

Für Schweizer Unternehmen kommt das zur Unzeit. Zwei Tage vor OpenAIs Report legte das Bundesamt für Cybersicherheit (BACS) seinen Halbjahresbericht vor: 27'128 freiwillige Meldungen und 200 Meldungen unter der Meldepflicht für kritische Infrastrukturen allein im ersten Halbjahr 2026 – dazu ein Kapitel darüber, wie Kriminelle KI für immer personalisiertere Angriffe einsetzen. Wenn du Agenten mit Tool-Zugriff laufen lässt, ist die praktische Lehre simpel: Behandle jede Testumgebung wie ein Produktivsystem und überwache nicht nur Netzwerkgrenzen, sondern das Verhalten der Agenten. Der Netzwerkzaun hat hier gehalten – gesehen hat trotzdem eine Woche lang niemand etwas.