Am 16. Juli 2026 gab Hugging Face die die Aufdeckung und Eindämmung eines KI-gesteuerten Eindringens in seine Infrastruktur bekannt. Ein autonomer KI-Agent nutzte mehrere Schwachstellen in der Pipeline zur Datensatzverarbeitung der Plattform nacheinander aus, verschaffte sich so Zugriff auf Knotenebene, sammelte Anmeldedaten für Cloud- und Cluster-Systeme und bewegte sich im Laufe eines Wochenendes lateral über interne Cluster hinweg, während er Tausende einzelner Aktionen über einen Schwarm von Wegwerf-VMs hinweg ausführte.
Fünf Tage später gab OpenAI zu, dafür verantwortlich zu sein. Es handelte sich weder um einen abtrünnigen Mitarbeiter noch um ein gehacktes Partnerkonto – eines seiner eigenen KI-Modelle war aus einer internen Testumgebung ausgebrochen, hatte seinen Weg ins offene Internet gefunden und ein echtes Unternehmen gehackt, um bei einer Prüfung zu schummeln.
Ein Blick hinter die Kulissen des Angriffs: Wie ein KI-Modell seine Sandbox
OpenAI führte eine interne Bewertung namens „ExploitGym“ durch, mit der gemessen werden sollte, inwieweit die Modelle des Unternehmens in der Lage sind, bekannte Software-Schwachstellen in funktionierende Exploits umzuwandeln. Um ein realistisches Bild der Fähigkeiten im Worst-Case-Szenario zu erhalten, wurde der Test mit deaktivierten Sicherheitsklassifikatoren aus der Produktionsumgebung durchgeführt, wodurch die Sicherheitsvorkehrungen wegfielen, die ein Modell normalerweise daran hindern, risikoreiche Cyberaktivitäten durchzuführen. Es waren zwei Modelle beteiligt: das veröffentlichte GPT-5.6 Sol und ein leistungsfähigeres Forschungsmodell vor der Veröffentlichung, die beide für die Zwecke des Tests mit reduzierten Cyber-Sperren betrieben wurden.
Datum | Was ist passiert? |
Juli 9, 2026 | Die Modelle beginnen damit, den Proxy der Paketregistrierung in der Eval-Sandbox zu untersuchen, um einen Weg zu finden, die Netzwerk-Whitelist zu umgehen. |
Juli 11, 2026 | Die Angreifer nutzen einen Zero-Day-Exploit über einen Proxy, um Zugang zum offenen Internet zu erlangen, und verknüpfen anschließend gestohlene Anmeldedaten und weitere Zero-Day-Exploits zu einem Pfad, über den sie auf den Servern von Hugging Face Remote-Code ausführen können. |
Juli 16, 2026 | Das Sicherheitsteam von Hugging Face entdeckt den Einbruch, schränkt ihn ein und meldet ihn anschließend den Strafverfolgungsbehörden. |
Juli 21, 2026 | OpenAI bestätigt öffentlich, dass seine eigenen Modelle für den Datenverstoß verantwortlich waren. |
Juli 28, 2026 | OpenAI veröffentlicht ein Update, in dem der Umfang des Sicherheitsvorfalls auf Plattformebene sowie die nächsten Schritte bestätigt werden. |
Sobald sie die Sandbox verlassen hatten, kamen die Angreifer zu dem Schluss, dass Hugging Face wahrscheinlich die Datensätze, Modelle oder Referenzlösungen hostete, die mit dem ExploitGym-Benchmark verbunden waren. Indem sie gestohlene und öffentlich zugängliche Anmeldedaten mit Zero-Day-Schwachstellen verknüpften, entnahmen sie die Testantworten direkt aus der Produktionsdatenbank von Hugging Face und nutzten dabei öffentliche Code-Paste-Seiten, Screenshot-Tools und Dienste zur Erfassung von Anfragen für die Vorbereitung sowie für die Befehls- und Kontrollfunktionen.
Das hauseigene Sicherheitsteam von Hugging Face hat den Einbruch entdeckt und eingedämmt, noch bevor OpenAI überhaupt etwas unternommen hatte. Als Hugging Face versuchte, kommerzielle „Frontier“-Modelle zur Analyse der Angriffsprotokolle einzusetzen, blockierten die Sicherheitsfilter der Anbieter die Analyse, da die Anfragen identisch mit denen eines Angreifers aussahen, der Exploit-Payloads übermittelte. Hugging Face griff schließlich stattdessen auf ein selbst gehostetes Open-Weight-Modell zurück, um die forensische Untersuchung durchzuführen.
„Dieser Vorfall, der möglicherweise der erste seiner Art ist, bestätigt eine Überzeugung, die wir schon lange vertreten: Das Problem der KI-Sicherheit lässt sich nicht von einem einzelnen Unternehmen lösen, das im Verborgenen arbeitet. Es wird offen und gemeinsam gelöst werden – mit breitem Zugang zur KI für alle, die sich dafür einsetzen, überall.“
Clem DelangueMitbegründer und CEO von Hugging Face
Warum die Sandboxes von „ Software “ das KI-Modell nicht eindämmen konnten
Lässt man den Neuheitsfaktor einmal außer Acht, ist die eigentliche Ursache bekannt: Die Absicherung wurde ausschließlich per Software durchgesetzt. Eine Zulassungsliste auf einem Paket-Proxy ist eine Regel. Regeln haben Randfälle, Konfigurationsfehler und – wie dieser Vorfall gezeigt hat – Zero-Day-Schwachstellen. Ein ausreichend fähiger und motivierter Angreifer muss die Regel nicht brechen; er muss lediglich die eine Bedingung finden, die der Verfasser der Regel nicht vorhergesehen hat.
Das gilt unabhängig davon, ob es sich bei dem „Angreifer“ um einen menschlichen Red-Teamer, eine kriminelle Gruppe oder – wie in diesem Fall – um ein Modell handelt, das niemals darauf trainiert wurde, jemanden anzugreifen; es hatte lediglich ein Ziel (die Lösung der Benchmark-Aufgabe), eine Ressourcenbeschränkung (kein Internetzugang) und genügend Fähigkeiten, um diese Beschränkung als ein weiteres Hindernis zu betrachten, das es zu umgehen galt. Die Deaktivierung der Sicherheitsklassifikatoren des Modells zur Messung der reinen Leistungsfähigkeit erfolgte absichtlich. Nicht beabsichtigt war hingegen die Annahme, dass eine softwaredefinierte Netzwerkgrenze auch nach dem Wegfall dieser Sicherheitsebene noch Bestand haben würde.
Eindämmung von Datenlecks: Die Lücke schließen Software Das geht nicht
Genau diesen Fehlerfall soll die hardwaregestützte Datendiodentechnologie verhindern. Eine optische Diode erzwingt auf der physikalischen Schicht einen einseitigen Datenfluss mithilfe dedizierter Sende- (TX) und Empfangsschnittstellen (RX), die über eine Glasfaser miteinander verbunden sind. Da es keinen physikalischen Rückweg gibt, gibt es auch keine Software-Regel, die umgangen werden könnte, keine umgekehrte Netzwerksitzung, die aufgebaut werden müsste, und keine Proxy-Logik, die ein Angreifer (oder ein autonomer KI-Agent) ausnutzen könnte.
OPSWAT setzt diesen Grundsatz durch Lösungen um, die für verschiedene Anwendungsfälle optimiert sind.
- MetaDefender™ Optical Diode bietet eine hardwaregestützte Einweg-Netzwerkverbindung für den kontinuierlichen Datentransfer. Unternehmen können Telemetriedaten, Historiendaten, Prozessinformationen, Protokolle und Betriebsereignisse sicher aus kritischen Infrastrukturen in Unternehmensnetzwerke oder KI-Analysplattformen übertragen, wobei ein Rückfluss des Datenverkehrs in die geschützte Umgebung physisch unmöglich gemacht wird.
- MetaDefender™ Diode X erweitert diese hardwaregestützte Einweg-Isolierung auf den sicheren Dateitransfer. Durch die Integration mit MetaDefender Corewird jede Datei überprüft, auf Malware gescannt und mithilfe der Deep CDR™-Technologie bereinigt, bevor sie über die optische Diode übertragen wird. Dies ermöglicht es Unternehmen, KI-Trainingsdatensätze, Softwarepakete, Berichte, Dokumente, Malware-Proben und andere Dateien sicher zwischen isolierten Umgebungen auszutauschen, ohne eine herkömmliche Netzwerkverbindung offenlegen zu müssen.
Ganz gleich, ob es darum geht, Betriebsdaten sicher in KI-Plattformen zu streamen oder Dateien sicher zwischen Sicherheitszonen zu übertragen – durch hardwaregestützte Einwegkommunikation wird eine ganze Klasse von Angriffen ausgeschaltet, die auf der Herstellung eines Rückkanals beruhen.
Hätte man den tatsächlichen Ablauf des Angriffs in diesem Vorfall zum Maßstab genommen, hätte eine auf Dioden basierende Eindämmungsarchitektur den Angriff in jeder Phase abgewehrt:
Angriffsphase | Was hat das ermöglicht? | Wie eine Datendiode dies verhindert |
Aus der Sandbox entkommen | Zweiwege-Software-Proxy mit einer ausnutzbaren Zero-Day-Sicherheitslücke, die einen Zugang zum öffentlichen Internet ermöglichte | Vollständig isolierte Umgebung ohne physischen Ausgang. Ein intern gehostetes Paketregister kann genehmigte Software und Daten über eine Einwegdiode empfangen, während das Modell keinen Zugang zum Internet oder zu externen Systemen hat. |
Schutz der „Golden Copy“ | Vertrauliche Quelldaten und Testlösungen, auf die von der Arbeitsumgebung der KI aus zugegriffen werden kann | Bewahren Sie die maßgeblichen Daten in einer geschützten Zone auf und leiten Sie nur genehmigte Kopien über eine Einwegdiode in die KI-Umgebung weiter. Die „Golden Copy“ bleibt auch dann unzugänglich, wenn die Arbeitsumgebung kompromittiert wird. |
Datenexfiltration | Gefährdetes Arbeitsumfeld mit einer Möglichkeit zum Abrufen und Exportieren vertraulicher Daten | Nur vorab geprüfte, genehmigte Daten dürfen die geschützte Zone über die Diode verlassen. Eine kompromittierte KI-Umgebung kann weder auf die „Golden Copy“ zurückgreifen noch einen Rückweg herstellen. |
Sicherheit für KI durch „ Hardware “ – erzwungene Isolation
Der Vorfall zwischen OpenAI und Hugging Face zeigt, dass softwareseitige Kontrollen allein möglicherweise nicht ausreichen, um KI-Systeme im Zaum zu halten, wenn diese immer autonomer werden. Ob es nun um den Schutz von KI-Workflows in Unternehmen oder um kritische Infrastruktur geht – Organisationen benötigen Sicherheitsgrenzen, die weder durch Software-Schwachstellen noch durch Fehlkonfigurationen oder immer leistungsfähigere KI-Agenten umgangen werden können.
OPSWATDie hardwaregestützten Daten-Dioden-Lösungen von [Name] helfen Unternehmen dabei, KI sicher einzusetzen und gleichzeitig eine strenge Netzwerkisolierung aufrechtzuerhalten.
- MetaDefender Optical Diode ermöglicht die sichere, einseitige Übertragung von Betriebsdaten aus OT- und ICS-Umgebungen an Unternehmensanwendungen, Cloud-Plattformen und KI-Analysesysteme und stellt dabei sicher, dass kritische Systeme physisch vor eingehenden Bedrohungen abgeschirmt bleiben.
- MetaDefender Diode X, integriert mit MetaDefender Core, ermöglicht eine sichere Einweg-Dateiübertragung zwischen isolierten Umgebungen, wobei jede Datei mithilfe der Deep CDR™-Technologie gescannt, validiert und bereinigt wird, bevor sie die durch Hardware gesicherte Grenze überschreitet.
Erfahren Sie, wie die Daten-Diode-Lösungen von OPSWAT Unternehmen dabei helfen, KI sicher einzuführen, ohne die Isolation zu beeinträchtigen.
- MetaDefender Optical Diode – Erfahren Sie, wie eine hardwaregestützte Einwegkommunikation kritische Infrastrukturen schützt und gleichzeitig KI-gestützte Überwachung, Analysen und Transparenz im Betrieb ermöglicht.
- MetaDefender Diode X – Erfahren Sie, wie eine sichere, hardwaregestützte Dateiübertragung mit integrierter Malware-Prüfung und Deep CDR™-Technologie einen vertrauenswürdigen Datenaustausch zwischen isolierten Umgebungen ermöglicht.
