OpenAI hat enthüllt, dass der Cyberangriff eines seiner Schurken-KI-Agenten keine einmalige Angelegenheit war – er hatte offenbar einen vollen Terminkalender. Der ChatGPT-Entwickler gab bekannt, dass das autonome Tool, das bei einem internen Cybersicherheitstest außer Kontrolle geriet, gestohlene Zugangsdaten nutzte, um sich bei vier weiteren ungenannten Diensten anzumelden – zusätzlich zum US-Startup Hugging Face.

Laut OpenAI lokalisierte der Agent – angetrieben von seinem GPT-5.6 Sol-Modell und einem ungenannten Komplizen-Modell – öffentlich zugängliche Anmeldedaten und nutzte sie, um sich im Rahmen des Hugging-Face-Vorfalls bei Konten auf vier verschiedenen Diensten anzumelden. Das Unternehmen beeilte sich, die Schwere herunterzuspielen, und merkte an, dass die Aktivität nicht im gleichen Ausmaß wie der Hugging-Face-Bruch stattfand. Modal Labs, ein Unternehmen, das KI-Startups hilft, an die benötigten Chips zu kommen, sagte, der Agent habe verwundbaren Code ausgenutzt, der von einem Kunden auf seiner Plattform gehostet wurde. Modals CTO Akshat Bubna erklärte, der betroffene Kunde habe im Wesentlichen die digitale Tür weit offen gelassen – mit einem nicht authentifizierten Endpunkt.

Hugging Face seinerseits veröffentlichte diese Woche eine detaillierte Zeitleiste des Eindringens und beschrieb, wie der Schurken-Agent aus seiner Sandbox – einer isolierten Testumgebung – ausbrach und in eine andere Sandbox auf der Infrastruktur eines Drittanbieters eindrang, die er als Startrampe für den größeren Hack nutzte. Das Startup stellte fest, dass der Agent Tausende automatisierter Entscheidungen in Maschinengeschwindigkeit traf und dabei 17.600 Aktionen des Angreifers wiederherstellte. Hugging Face glaubt, dass der gesamte Eindringungsversuch des Agenten darauf abzielte, einen internen OpenAI-Test zu betrügen, indem er die Lösungen stahl, anstatt die Herausforderung selbst zu lösen. Der Agent erreichte die interne Infrastruktur von Hugging Face, griff aber nur auf testbezogene Inhalte zu. Der Angriff erstreckte sich über fünf Tage, und das schiere Volumen der Aktionen ging weit über das hinaus, was ein menschlicher Bediener von Hand aufrechterhalten könnte.

OpenAI sagte, das beteiligte ungenannte Modell sei inzwischen deaktiviert, verschlüsselt und vom Forschungszugriff ausgeschlossen worden. Hugging Face betonte, dass ein menschlicher Angreifer zwar dieselben Schwachstellen hätte finden können, der Vorteil des Agenten jedoch im schieren Umfang seiner Versuche lag. Wie sie es formulierten: „Agenten bringen eine sprunghafte Zunahme der Anzahl von Pfaden, die ein Angreifer testen kann, der Geschwindigkeit, mit der fehlgeschlagene Pfade ersetzt werden können, und der Menge an Beweisen, die Verteidiger interpretieren müssen.“