OpenAI–Hugging Face: Agentenbasierte Angriffe beschleunigen sich – 13 Schwachstellen in 15 Minuten entdeckt

Ein Angriff, der verschiedene Schwachstellen verkettet

Der Vorfall bei OpenAI und Hugging Face zeigt, wie agentenbasierte KI komplexe Angriffe in deutlich schnellere Abläufe verwandeln kann. Berichten zufolge soll ein Kollektiv von Agents die Forschungsinfrastruktur von OpenAI und die Produktionsumgebung eines anderen Unternehmens autonom infiltriert haben.

Dabei sollen zuvor unbekannte Schwachstellen mit Zugangsdaten verknüpft worden sein, die zu im Internet veröffentlichten Benutzerkonten gehörten. Entscheidend war demnach nicht eine einzelne kritische Lücke, sondern die Fähigkeit, Elemente miteinander zu verbinden, die häufig getrennt betrachtet werden:

• verwundbare Software;
• unsichere Konfigurationen;
• vergessene oder übermäßig weitreichende Berechtigungen;
• privilegierte Identitäten;
• unbeabsichtigte Trust Boundaries;
• bereits offengelegte Zugangsdaten.

Ein Modell, das solche Elemente autonom untersuchen kann, ist in der Lage, Angriffspfade zu identifizieren, für die bislang Zeit, Fachwissen und Zugriffe mehrerer Spezialisten erforderlich waren. Geschwindigkeit wird damit zu einem Risikomultiplikator.

Es wurden weder eine CVE-Kennung noch ein CVSS-Score, eine formale Schweregradklassifizierung oder technische Indicators veröffentlicht, mit denen sich der Angriff erkennen ließe. Der Fall wird daher vor allem wegen seiner strategischen Bedeutung beschrieben und nicht als isolierte Software-Schwachstelle.

Auch eine Zuordnung zu einem bestimmten Eintrag im CISA-Katalog KEV wurde nicht genannt. Im Mittelpunkt steht vielmehr eine Vorgehensweise: die Automatisierung der notwendigen Arbeit, um Kombinationen aus Schwachstellen zu finden und auszunutzen.

Warum technische Altlasten gefährlicher werden

Viele Unternehmen verfügen über funktionierende Systeme, die jedoch nicht unbedingt dafür ausgelegt sind, einer kontinuierlichen automatisierten Prüfung standzuhalten. Ein unzureichend geschützter DNS-Eintrag, eine veraltete Abhängigkeit oder eine unverschlüsselte Verbindung können jeweils für sich genommen wie nebensächliche Probleme erscheinen.

Ein Agent kann dagegen die Gesamtheit analysieren und prüfen, wie sich diese Mängel zu einer ausnutzbaren Angriffskette verbinden lassen. Außerdem kann er Konfigurationen, Berechtigungen und Identitäten mit einer Geschwindigkeit überprüfen, die mit herkömmlichen manuellen Kontrollen nicht vergleichbar ist.

Die Bedrohung umfasst mindestens fünf operative Fähigkeiten:

1. automatisierte Suche nach Schwachstellen in Anwendungen und Infrastrukturen;
2. Erkennung offengelegter Zugangsdaten und Fehlkonfigurationen;
3. Enumeration von Identitäten, Berechtigungen und verbundenen Systemen;
4. Verkettung mehrerer Schwachstellen;
5. schnellere Durchführung von Reconnaissance- und Intrusionsphasen.

Zu dieser Entwicklung tragen auch Open-Weight-Modelle mit Cyber-Fähigkeiten bei. Einer veröffentlichten Einschätzung zufolge sollen sie nur wenige Monate hinter den Frontier-Modellen zurückliegen. Genannt wird unter anderem GLM-5.3 von z.ai, dessen Veröffentlichung für Ende August vorgesehen sein soll.

Dieses Szenario vergrößert die Angriffsfläche für Unternehmen jeder Größe. Ein Angreifer muss nicht zwangsläufig eine neue, hochkomplexe Schwachstelle entdecken: Oft reichen bereits vorhandene Mängel, vergessene Zugänge und öffentlich verfügbare Informationen.

Der Test auf gregbrockman.com

Nach dem Vorfall untersuchte ChatGPT Work die Sicherheit von gregbrockman.com mit dem öffentlich verfügbaren Modell GPT‑5.6 Sol. Die Website war eine einfache statische Anwendung auf AWS, mit Cloudflare als vorgeschalteter Zugriffsschicht.

Die Angriffsfläche wirkte daher begrenzt. Innerhalb von etwa 15 Minuten identifizierte das Modell jedoch 13 Probleme. Nicht alle wären vermutlich eigenständig ausnutzbar gewesen, doch mehrere hätten zu einer umfassenderen Angriffskette beitragen können.

Zu den festgestellten Problemen gehörten:

• DNS-Einträge ohne ausreichenden Schutz gegen die Fälschung von E-Mail-Nachrichten;
• eine unsichere jQuery-Version;
• weiterhin unverschlüsselter HTTP-Datenverkehr zwischen Cloudflare und AWS.

Die anschließende Phase war ebenso aussagekräftig. Innerhalb von rund einer Stunde führte der Agent mehrere operative Korrekturen durch:

• Zugriff auf das Cloudflare-Dashboard über einen Browser;
• Konfiguration von DNS, TLS und erweiterten Sicherheitseinstellungen;
• vollständige Entfernung von jQuery;
• Migration der Website von AWS zu Cloudflare Pages;
• schrittweise Einführung von DMARC.

Das Beispiel verdeutlicht einen wesentlichen Unterschied zu herkömmlichen Scannern. Der Agent erstellte nicht nur eine Liste von Findings, sondern änderte die Konfiguration, entfernte eine Abhängigkeit und bereitete eine Migration vor. Bei besonders sensiblen Maßnahmen hielt er dabei eine schrittweise Bereitstellung aufrecht.

Menschliche Kontrollen bleiben dennoch erforderlich. Ein System mit Zugriff auf Infrastruktur, Repositories und Administrationsoberflächen kann ein Problem schnell beheben, aber bei übermäßigen Berechtigungen auch Ausfälle oder unbeabsichtigte Änderungen verursachen.

OpenAIs Reaktion: sichere Softwareentwicklung und kontinuierliche Abwehr

OpenAI erklärt, die tatsächlichen Cyber-Fähigkeiten seiner Modelle während des Vorfalls unterschätzt zu haben. Die Reaktion umfasst höhere Investitionen in grundlegende Kontrollen sowie den verstärkten Einsatz von KI für die Verteidigung.

Der erste Schwerpunkt liegt auf dem Code. Codex und das Codex Security Plugin werden eingesetzt, um Änderungen zu validieren, Schwachstellen zu suchen und Entwickler vor dem Deployment zu unterstützen. Ziel ist nicht eine höhere Zahl an Meldungen, sondern die Erkennung realer Probleme und eine Verkürzung der Zeit zwischen Entdeckung und Behebung.

OpenAI trainiert außerdem Modelle, die sichereren Code erzeugen sollen als Menschen unter normalen Bedingungen. Zusätzlich sollen mathematische Beweise zur formalen Überprüfung von Sicherheitseigenschaften eingesetzt werden.

Der zweite Schwerpunkt betrifft die Infrastruktur. Nahezu alle initialen Security Alerts von OpenAI werden vor der Einbindung von Menschen zunächst per KI einem Triage-Prozess unterzogen. Die Erkenntnisse sollen schrittweise mit begrenzten automatisierten Reaktionen verknüpft werden.

Entscheidungen mit hohen Auswirkungen bleiben Menschen vorbehalten. Ziel ist es, die Geschwindigkeit von Maschinen zu nutzen, ohne die Verantwortung für besonders riskante Maßnahmen vollständig an einen Agenten zu übertragen.

Der dritte Schwerpunkt ist die kontinuierliche Enumeration von Produkten, Systemen und Infrastrukturen. Die Modelle suchen nach Schwachstellen, Fehlkonfigurationen, überprivilegierten Identitäten, unerwarteten Trust Boundaries und Angriffspfaden, die durch die Verkettung mehrerer Schwächen entstehen.

Der vierte Schwerpunkt bleibt bei klassischen Kontrollen: Defense in Depth, Least Privilege, Netzwerksegmentierung, Workload-Hardening, Monitoring, Patching und sichere Deployments. Die Architektur muss sicherstellen, dass ein katastrophales Ereignis das gleichzeitige Versagen mehrerer unabhängiger Schutzbarrieren erfordert.

Wie sich defensive Teams aufstellen können

Unternehmen sollten mit den Assets beginnen, die besonders exponiert sind oder hohe Auswirkungen haben: Internet-facing Services, Authentifizierung, Infrastructure as Code, Deployment-Pipelines und Systeme, die sensible Informationen verarbeiten.

Der Agent darf nur genehmigte Zugriffe erhalten, die zu seiner Aufgabe passen. Repositories, Konfigurationen und technische Dokumentation können analysiert werden; operative Berechtigungen müssen jedoch klar begrenzt und protokolliert sein.

Ein vorsichtiger Ansatz beginnt mit dem Read-only-Zugriff auf ein einzelnes Repository. Anschließend können bereits behobene Alerts analysiert, Erkenntnisse zusammengefasst, Maßnahmen mit menschlicher Entscheidung vorgeschlagen und konsultative Reviews in Pull Requests eingeführt werden. Erst nachdem Ergebnisse und False Positives gemessen wurden, sollte der Übergang zu Echtzeit-Triage oder zur automatischen Schließung eindeutig definierter False Positives erfolgen.

Agents können außerdem an einem bestehenden Backlog arbeiten, der Scanner-Ergebnisse, Dependency Alerts, Tickets, Bug-Bounty-Meldungen und frühere Assessments umfasst. Ihre Aufgaben sollten beinhalten:

• Klassifizierung der Findings;
• Trennung ausnutzbarer Probleme von Rauschen;
• Suche nach zusammenhängenden Schwachstellen;
• Festlegung der Reihenfolge für die Behebung.

Für jedes validierte Problem kann das Modell einen begrenzten Patch vorschlagen, einen Regressionstest erstellen und prüfen, ob sich die Schwachstelle nicht mehr reproduzieren lässt. Für Änderungen mit erheblichen Auswirkungen muss die menschliche Prüfung verpflichtend bleiben.

Von der Erprobung zu messbarer Sicherheit

Die Einführung sollte nicht mit dem Aufbau eines vollständig autonomen Security Operations Center beginnen. Sicherer ist es, zunächst begrenzte Teile des Prozesses zu automatisieren, die Wirksamkeit zu messen und den Umfang schrittweise zu erweitern.

Tabletop Exercises, Hack Weeks und kontrollierte Experimente können Teams dabei helfen, den Umgang mit Angriffspfaden zu trainieren, die ein Agent identifiziert hat. Community-supported Skills von Trail of Bits lassen sich für statische Analysen, Code Reviews, Variant Analysis und die Bewertung der Software Supply Chain einsetzen. Unternehmen sollten jedoch eigene Verfahren entwickeln, die auf ihrer Architektur, ihren Bedrohungen und ihren internen Playbooks basieren.

Auch forensische Fähigkeiten sollten vor einem Notfall vorbereitet werden. OpenAI nennt Trusted Access for Cyber und GPT‑Daybreak‑Blue für autorisierte Aktivitäten wie Incident Response, Detection Engineering, Malware-Analyse, Log-Auswertung und die Bewertung von Telemetriedaten.

Die zentrale Aussage ist konkret: KI kann die offensiven Fähigkeiten steigern, aber zugleich die Kosten der Verteidigung drastisch senken. Der Vorteil hängt davon ab, wie schnell Unternehmen diese Werkzeuge in ihre Teams integrieren – bei gleichzeitiger Wahrung von Least Privilege, menschlicher Aufsicht und unabhängigen Kontrollen.