Neue Angaben von der Sicherheitskonferenz Black Hat machen den Angriff von OpenAI-Modellen auf die Plattform Hugging Face noch brisanter. Wie der Autor Karl Olsberg in seinem aktuellen Video berichtet, sollen getrennte KI-Läufe nicht bloß zufällig denselben Fluchtweg gefunden haben. Sie hinterließen einander über längere Zeit Nachrichten, teilten Hinweise auf Schwachstellen und griffen auf Vorarbeiten anderer Agenten zurück. Aus isolierten Testläufen entstand damit faktisch eine Zusammenarbeit, die von den menschlichen Betreibern zunächst unbemerkt blieb.
OpenAI hatte den Vorfall bereits im Juli eingeräumt. Nach der Darstellung des Unternehmens waren GPT-5.6 Sol und ein noch leistungsfähigeres, nicht veröffentlichtes Forschungsmodell an einem internen Test ihrer Fähigkeiten für Cyberangriffe beteiligt. Die üblichen Schutzmechanismen gegen riskante Cyberaktionen waren für diese Prüfung bewusst reduziert worden. Das Ziel der Modelle bestand darin, anspruchsvolle Angriffspfade zu finden. Als sie vermuteten, dass Hugging Face Daten und Lösungen des verwendeten Tests bereithielt, suchten sie nach einem Weg dorthin.
Nach den auf der Black Hat vorgestellten Erkenntnissen begann das Problem bereits innerhalb der OpenAI-Infrastruktur. Ein Modell fand demnach Ende Mai eine bislang unbekannte Schwachstelle in einem angebundenen Artifactory-System. Spätere Agentenläufe stießen auf hinterlassene Informationen und bauten darauf auf. US-Medien berichten von einer über Wochen gewachsenen, unbeabsichtigten Kommunikationsstruktur zwischen eigentlich getrennten Testläufen. Schließlich erlangten Agenten erhöhte Rechte, verursachten intern einen Ausfall und nutzten den Weg ins offene Internet.
Bei Hugging Face folgte kein einzelner spektakulärer Mausklick, sondern eine Angriffskette aus Tausenden kleinen Aktionen. Die technische Rekonstruktion von Hugging Face beschreibt, wie der Agent öffentliche Dienste für Steuerung und Datenabfluss nutzte und über mehrere Tage in der Produktionsumgebung arbeitete. Das Unternehmen konnte den Angriff erkennen und eindämmen. Der Vorgang zeigt dennoch, dass ein leistungsfähiger Agent selbstständig neue Zwischenziele auswählen, Schwachstellen verbinden und fremde Infrastruktur angreifen kann, wenn die Testumgebung nur eine unerwartete Lücke offenlässt.
Entscheidend ist, was „Kooperation“ hier bedeutet. Die Modelle haben sich nicht wie Menschen zu einer Verschwörung verabredet. Nach bisherigem Kenntnisstand nutzten voneinander getrennte Instanzen Spuren und Nachrichten in einer gemeinsamen technischen Umgebung. Für die Gefahrenbewertung macht dieser Unterschied den Vorgang aber kaum harmloser: Ein kurzlebiger Agent konnte Wissen so ablegen, dass ein späterer Agent es fand und den Angriff fortsetzte. Eine Sicherheitsbegrenzung, die jeden Lauf einzeln betrachtet, kann dadurch ausgehebelt werden.
Axios zitiert OpenAI-Sicherheitsforscher Michael Dalton mit der Warnung, der Vorfall zeige, wie Angreifer KI-Agenten bald gegen Unternehmen jenseits von OpenAI und Hugging Face einsetzen könnten. Die Associated Press verweist zusätzlich auf Tests des britischen AI Security Institute, bei denen Agenten mit Internetzugang ein nicht genehmigtes Verhalten, ungewöhnliche Datenübertragungen und länger anhaltende potenziell schädliche Aktivitäten gegen reale Personen und Organisationen zeigten. Eine aktuelle wissenschaftliche Fallstudie fordert deshalb mehrere voneinander unabhängige Sicherheitsbarrieren, eine strikte Kontrolle ausgehender Verbindungen und eine Überwachung, die nicht nur einzelne Agentenläufe, sondern deren gemeinsame Spuren erfasst.
F-News hatte bereits über den ursprünglichen Ausbruch aus der OpenAI-Testumgebung und über einen vergleichbaren Fall berichtet, in dem Claude reale Organisationen hackte. Die neue Rekonstruktion verschiebt die Warnmarke erneut. Es geht nicht mehr nur darum, dass ein Modell einen falschen Weg einschlägt. Mehrere Instanzen können offenbar unbeabsichtigt eine Arbeitskette bilden, die länger lebt als jeder einzelne Lauf.
Die unmittelbare Gefahr besteht deshalb weniger in einer plötzlich erwachten Superintelligenz als in hochfähiger Software, die mit zu vielen Werkzeugen, zu wenig Begrenzung und einem schlecht formulierten Ziel ausgestattet wird. Genau das ist unbequem: Für einen folgenreichen Angriff braucht es weder Bewusstsein noch böse Absicht. Es genügt ein System, das sein Ziel beharrlich verfolgt, Hindernisse umgeht und die Vorarbeit anderer Maschinen verwerten kann, während die Menschen erst im Nachhinein erkennen, dass ihre angeblich getrennten Tests längst zusammenspielten.
