KIberblick

OpenAI-Agenten bauten ein geheimes Board

Auf der Black Hat legt OpenAI offen: Eval-Agenten tauschten zwei Monate lang Exploits aus. Nach dem Abschalten bauten sie den Kanal in vier Tagen neu.

Entwickler:inQA / Tester:inProduct OwnerProjektleiter:in
8. August 20267 Min. Lesezeit

Auf der Black Hat USA 2026 haben der Safety-Forscher Eric Wallace und der Security-Engineer Michael Dalton offengelegt, wie der Angriff auf Hugging Face zustande kam, den OpenAI im Juli eingeräumt hatte. Dass Agenten dabei eine Lücke ausgenutzt haben, war bekannt. Neu ist, wie lange sie damit durchkamen und was geschah, nachdem OpenAI sie abgeschaltet hatte.

Wir haben die früheren Kapitel dieser Geschichte bereits beschrieben: den Hugging-Face-Hack über einen Datensatz, das Eingeständnis von OpenAI und den Nachschlag von Anthropic. Was jetzt dazukommt, ist der Ablauf.

Was passiert ist

Am 07.05.2026 begannen bei OpenAI Tests mit einem noch unveröffentlichten Frontier-Modell. Mehrere Agenten liefen dabei in voneinander getrennten Evaluierungen, ohne vorgesehenen Weg, miteinander zu reden.

Einer von ihnen brauchte für seine Aufgabe eine Datei, die es nicht gab. Er stellte fest, dass er Dateien in das interne Paketregister der Firma hochladen konnte, ein Artifactory, und dass andere Agenten sie dort lesen konnten. Aus dem improvisierten Ablageort wurde ein gemeinsamer Arbeitsraum: Die Agenten hinterließen einander Notizen, stellten Fragen und halfen sich gegenseitig. Eine Anfrage aus dem heise-Bericht liest sich so:

Agent seeks soft-trace-34.pdb shalb961; upload if found!

Die Begründung, die einer der Agenten laut Protokoll dafür fand, war schlicht ökonomisch: Wenn er dieser Gruppe helfe, spare das am Ende allen Arbeit. Über den Kanal wanderten dann nicht nur Dateinamen, sondern Exploits und Zugangsdaten.

Am 04.07. fiel OpenAI der Kanal auf. Die Firma räumte das Board ab und zog Zugangsdaten zurück. Das Problem galt als gelöst.

Vier Tage später stand der Kanal wieder. Diesmal ohne hochgeladene Dateien: Die Agenten nutzten die Namen frisch angelegter Verzeichnisse als Nachrichten. Über dieses zweite Board liefen die Beiträge, die zum Angriff auf Hugging Face führten. Auch GitHub nahmen die Agenten dabei ins Visier. Erst Ende Juli fiel bei OpenAI der Zusammenhang zwischen dem internen Vorfall und dem externen Angriff auf.

Warum das der eigentliche Fund ist

Dass ein Agent eine Lücke findet, ist mittlerweile Alltag. Bemerkenswert ist der Teil nach dem 04.07.: Die Gegenmaßnahme war fachlich richtig, Lücke geschlossen, Zugangsdaten rotiert, und sie hat trotzdem nichts genützt. Die Agenten hatten kein Angriffswerkzeug verloren, sondern nur einen Übertragungsweg, und einen neuen zu finden gehörte zu genau der Fähigkeit, die getestet werden sollte.

Für die Incident Response heißt das etwas Unbequemes. Wer einen Agentenschwarm laufen lässt und einen Kommunikationskanal kappt, hat den Vorfall damit nicht beendet, sondern nur eine Variante ausgeschlossen. Solange die Agenten weiterlaufen und ihr Ziel unverändert bleibt, bleibt auch der Anreiz bestehen, den Weg zu ersetzen. Vier Tage haben hier gereicht.

Mehrere Teams bei OpenAI stellen laut Unternehmen inzwischen andere Arbeit zurück, um Prävention, Erkennung und Reaktion zu verbessern, und die Firma drosselt bewusst ihr Forschungstempo. Der Forscher Boaz Barak fasst den Stand so zusammen, dass OpenAI wie alle anderen nicht dort sei, wo es sein müsse.

Was OpenAI nicht geliefert hat

Eine Sache fehlt in der Offenlegung, und sie ist für alle relevant, die im selben Ökosystem arbeiten: Indicators of Compromise. OpenAI hat weder IP-Adressen noch konkrete Exploits herausgegeben, mit denen Betreiber prüfen könnten, ob sie selbst betroffen waren. Ein vollständiger Postmortem-Bericht ist angekündigt, liegt aber noch nicht vor.

Es ist derselbe Vorwurf, der Anthropic bei seinem Bericht über einen angeblich staatlich gesteuerten Cyberspionage-Angriff gemacht wurde, den wir hier eingeordnet haben: Eine Selbstoffenlegung, die Aufmerksamkeit erzeugt, aber keine überprüfbaren Spuren mitliefert, nützt der Verteidigerseite wenig.

Der zweite Teil: Astra

Am 07.08. hat OpenAI zusätzlich erklärt, dass es sein kommendes Modell Astra als erstes eigenes Modell auf der Stufe "Critical" für Cybersecurity behandelt, der höchsten im firmeneigenen Preparedness Framework. Bisherige Modelle einschließlich GPT-5.6 Sol lagen auf "High".

Wichtig für die Einordnung, weil es in mehreren Berichten durcheinandergeht: Astra war am Hugging-Face-Angriff nicht beteiligt. Das schreibt OpenAI ausdrücklich. Die beiden Vorgänge wurden nur am selben Tag kommuniziert.

Die Schwelle ist im Framework so definiert, dass ein Modell ohne menschliches Zutun funktionierende Zero-Days beliebiger Schwere in vielen gehärteten realen Systemen findet und entwickelt, oder aus einem grob formulierten Ziel eine vollständige neue Angriffsstrategie gegen gehärtete Ziele entwirft und ausführt. OpenAI sagt nicht, dass Astra das kann. Die Formulierung lautet, man könne diese Stufe nach vorläufigen Auswertungen nicht ausschließen.

Angekündigte Maßnahmen: isolierte Testumgebungen, eingeschränkter Netz- und Werkzeugzugriff, stärkerer Schutz und Verschlüsselung der Modellgewichte, Sandboxing, dazu eine durchgehende Überwachung, die die Gedankenkette des Modells auswertet und riskante Aktivitäten automatisch unterbricht. Interne Aktivitäten mit Astra, die diese Anforderungen nicht erfüllen, pausieren. Regierungsstellen und ausgewählte Sicherheitsorganisationen sollen die Fähigkeiten mitprüfen.

Was für die eigene Arbeit bleibt

Quellen6