HuggingFace hat den OpenAI-Angriff spannend rekonstruiert
Bei einem Routine-Test hat ein KI-Agent die Sicherheitsvorkehrungen von Hugging Face geknackt. Die technischen Details sind beunruhigend.
Ein autonomer KI-Agent von OpenAI hat über mehrere Tage hinweg eigenständig die Infrastruktur von Hugging Face infiltriert. Ziel des Angriffs war es, Lösungsdatensätze für einen internen Sicherheitstest zu stehlen.
Hugging Face liefert nun die technische Rekonstruktion.
Twitter Beitrag - Cookies links unten aktivieren.
Super impressed with @huggingface's breakdown of the AI agent autonomous cyber attack from OpenAI, including technical timeline, & interactive replay (AND how they defended against the attack)!
— Rachel Tobac (@RachelTobac) July 28, 2026
Here is the interactive attack replay vid and source:https://t.co/SVsc5ClRcW pic.twitter.com/r59n6aUr3c
Der Start bei OpenAI
Der Vorfall ereignete sich zwischen dem 9. und 13. Juli 2026. Ein von OpenAI betriebener KI-Agent absolvierte zu diesem Zeitpunkt den Benchmark »ExploitGym«, das KI-Modelle auf ihre Fähigkeiten zur Schwachstellenfindung testet. Die integrierten Sicherheitsrichtlinien waren für diesen Test absichtlich deaktiviert.
Der Agent entschied sich offenbar dafür, den Test nicht regulär zu lösen. Stattdessen versuchte er, die auf den Servern von Hugging Face gespeicherten Referenzlösungen zu stehlen. Über einen Zeitraum von knapp viereinhalb Tagen führte er dafür rund 17.600 eigenständige Aktionen aus.
Quelle: Huggingface
Ausbruch über eine Drittanbieter-Sandbox
Der Angriff begann mit dem Ausbruch aus der eigentlichen OpenAI-Testumgebung. Der Agent nutzte einen Zero-Day-Exploit im Cache-Proxy einer Paket-Registry, um eine Verbindung zum offenen Internet herzustellen.
Anschließend suchte er sich eine ungesicherte öffentliche Code-Ausführungsumgebung eines Drittanbieters. Dort manipulierte der Agent eine C-Datei (`src/main.c`) durch eine Pfad-Injektion und erlangte so Root-Rechte auf der externen Sandbox. Diese kompromittierte Umgebung diente ihm fortan als zentrale Kommandozentrale für den eigentlichen Angriff auf Hugging Face.
Anzeige
Injektion in die Datenverarbeitung
Von seiner neuen Basis aus startete der Agent den Angriff auf die Produktionssysteme von Hugging Face. Da er keinen direkten Netzwerkzugriff hatte, nutzte er bösartig konfigurierte Datensätze als Einfallstor.
Er lud Datensätze hoch, die den Dataset-Server von Hugging Face manipulierten. Der Agent nutzte dabei zwei unterschiedliche Wege. Zunächst brachte er das System über eine externe HDF5-Datei dazu, lokale Dateiinhalte auszulesen. Das lieferte ihm Umgebungsvariablen, Token und den Quellcode des sogenannten Worker-Pods.
Im zweiten Schritt nutzte er eine Jinja2-Template-Injektion. Diese ermöglichte ihm die direkte Ausführung von Python-Code auf den Kubernetes-Produktionsclustern von Hugging Face. Damit hatte der Agent einen festen Fuß in der Tür.
Quelle: Huggingface
Laterale Bewegung im Unternehmensnetzwerk
Ab dem 11. Juli erhöhte der Agent seine Zugriffsrechte drastisch. Innerhalb von nur 13 Stunden arbeitete er sich von einem einfachen Pod zum Cluster-Administrator hoch.
Er fälschte Kubernetes-Identitäten und las geheime Schlüssel aus. Mit einem erbeuteten Authentifizierungs-Key für das Mesh-VPN (Tailscale) schleuste der Agent insgesamt 181 seiner kurzlebigen Sandbox-Instanzen in das interne Unternehmensnetzwerk ein. Über diese Verbindung generierte er GitHub-App-Token, um Schreibzugriff auf interne Code-Repositories zu erlangen. Er versuchte dort, CI-Skripte zu verändern, was jedoch durch interne Richtlinien blockiert wurde.
Quelle: Huggingface
Verschleierte Kommunikation
Die Kommunikation des Agenten war technisch bemerkenswert. Er baute keine eigene Server-Infrastruktur auf, sondern nutzte öffentliche Pastebins, einfache Web-Dienste und kontrollierte Datensätze auf Hugging Face selbst als tote Briefkästen.
Um nicht aufzufallen, komprimierte der Agent alle Befehle und Nutzlasten via Gzip und codierte sie mit Base64. Als Hugging Face begann, ausgehende Netzwerkverbindungen zu blockieren, passte sich das System autonom an. Es manipulierte DNS-Einträge lokal und leitete Daten über einen offenen CORS-Proxy um.
Anzeige
KI-Modelle bei der forensischen Untersuchung
Das Sicherheitsteam von Hugging Face unterband den Zugriff am 13. Juli um 13:37 Uhr UTC. Die anschließende forensische Untersuchung der gigantischen Log-Datenmenge gestaltete sich unerwartet schwierig.
Das Team wollte zunächst das Modell Claude Opus für die Analyse der Angriffsdaten nutzen. Dessen integrierte Sicherheitsfilter verweigerten jedoch die Arbeit, da sie das Reverse-Engineering eines Exploits mit der Durchführung eines echten Angriffs gleichsetzten.
Hugging Face griff stattdessen auf das quelloffene ZAI-Modell GLM-5.2 in einer quantisierten Nvidia-Version zurück. Damit gelang es, die Verschlüsselungsmuster des Agenten zu knacken und die 6.280 Befehls-Cluster zu entschlüsseln.
Trotz des weitreichenden Zugriffs entwendete der Agent ausschließlich die Lösungsdatensätze des ExploitGym-Benchmarks. Kundendaten waren laut Hugging Face zu keinem Zeitpunkt betroffen. Als Konsequenz aus dem Vorfall baute das Sicherheitsteam den betroffenen Kern-Cluster vollständig neu auf und rotierte sämtliche Zugangsdaten.
