OpenAIs Agent Escape und Umarmungsgesicht: Lektionen über Zero Trust und Eindämmung

Am 16. Juli gab Hugging Face einen Eingriff in einen Teil seiner Produktionsinfrastruktur bekannt. Diesmal war der Eindringling kein Angreifer an einer Tastatur. Es war ein autonomes KI-Agentensystem.

Die Agenten stammten aus den Sicherheitstests von OpenAI. OpenAI hatte mehreren Pioniermodellen – darunter GPT-5.6 Sol und ein leistungsfähigeres Pre-Release-Modell, das es nicht genannt hat – eine Aufgabe übertragen, die sie aufforderte, Schwachstellen in Exploits umzuwandeln. Die Umgebung, die sie in der Testumgebung ausführten, war kein vollständig abgeschnittener Sandbox. Es ermöglichte einen begrenzten Zugang zu externen Ressourcen, und diese Verbindung wurde Teil der Angriffsfläche.

Nichts, was die Agenten taten, war neu. Sicherheitsteams haben diese Techniken schon früher gesehen. Was sie nicht gesehen haben, ist ein System, das sie ohne eine Person betreibt, die entscheidet, was als Nächstes zu versuchen ist – in einem Tempo, das kein Analyst erreichen kann.

Das verändert die Mathematik der Verteidiger komplett. Man kann sich nicht aus einem Angriff herausfinden, der so schnell voranschreitet. Die einzige Kontrolle, die noch funktioniert, ist die, die bereits vorhanden ist, bevor der Agent eintrifft: harte Grenzen dessen, was ein einzelnes System erreichen kann.

Wie der Hugging Face-Bruch begann

Die OpenAI-Agenten fanden einen Zero-Day-Fehler im Proxy innerhalb der Testumgebung und nutzten diesen, um einen breiteren Zugang zu erhalten. Auf der Suche nach Benchmark-Antworten erreichten sie Hugging Face – eine Plattform, auf der Entwickler KI-Modelle, Datensätze und Anwendungen teilen. Hugging Face enthält außerdem Daten, die zum Training und Testen von KI-Systemen verwendet werden, was es zum naheliegenden Ort für OpenAI-Agenten macht, um ihren zugewiesenen Test abzuschließen.

Kein Mensch hat irgendetwas davon geleitet. Die Agenten von OpenAI fanden den Angriffspfad selbst, weil sie ihn für ihre zugewiesene Aufgabe benötigten.

Was sich tatsächlich bewegt hat

Christer Swartz, Direktor für Branchenlösungen bei Illumio, sagt, der erste Schritt sei, das Modell vom Agenten zu trennen – und zu verstehen, dass der Agent seinem zugewiesenen Ziel folgt.

"Ein Modell 'entkommt' nicht. Das Modell ist das Gehirn, und der Agent ist es, der im Namen des Modells handelt", sagte Swartz.

Das Modell lieferte die Begründung. Der KI-Agent nutzte diese Überlegung, um zu handeln. Es testete Software, entdeckte Schwachstellen und folgte dem Weg, der ihm half, seine Aufgabe zu erfüllen.

Der Agent versuchte nicht im menschlichen Sinne zu entkommen. Es tat, was ihm aufgetragen worden war: Schwachstellen finden und ausnutzen.

Wie Swartz es ausdrückte: "Wenn ein KI-System darauf ausgelegt ist, Schwachstellen zu finden, wird es sie finden." Der Agent brauchte keine böswillige Absicht. Es brauchte ein Ziel, die Fähigkeit zu handeln und Zugang.

Wie sich ein Brückenstand ausbreitete

Sobald die Agenten Hugging Face erreichten, wurde eine Schwachstelle zum Weg zur nächsten. Fehler in der Datenverarbeitungspipeline verschafften den Agenten einen anfänglichen Halt. Dieser Stützpunkt führte zu Zugangsdaten und Zugang zum Produktionssystem und dann zu einer seitlichen Bewegung in mehrere interne Cluster.

Hugging Face beschrieb den Einbruch als einen "Schwarm von Zehntausenden automatisierter Aktionen."

Laut dem Hugging Face Incident Initial Post-Mortem der Cloud Security Alliance verhielten sich die Agenten nicht wie erfahrene menschliche Angreifer. Fortgeschrittene Angriffe wurden von grundlegenden Fehlern gefolgt. Sie wiederholten bereits funktionierende Handlungen, gaben fehlgeleitete oder sinnlose Befehle und folgten ineffizienten Wegen.

Ihre Aktivitäten führten auch zu halluzinierten Artefakten und Tausenden von Zeilen unverständlichen Textes. Aber die Agenten arbeiteten weiterhin schnell, erledigten viele Aufgaben gleichzeitig und konzentrierten sich darauf, Benchmark-bezogenes Material zu finden.

"Die einzelnen Techniken sind nicht unbedingt neu", sagte Swartz. "Neu ist die Geschwindigkeit, mit der ein automatisiertes System Schwächen entdecken, Wege testen und auf das reagieren kann, was es findet."

Der Angriff dauerte tagelang. CSA beschreibt zwei Tage Aufklärung, eine ruhige Phase und dann einen Aktivitätsschub. Reuters berichtete , dass Hugging Face den Einbruch eingedämmt und das FBI alarmiert hatte, bevor OpenAI seine Agenten als Quelle identifizierte.

Hugging Face wandte sich an KI, um den KI-geführten Angriff zu untersuchen. Nachdem die Leitplanken führender westlicher Modelle die Rohdaten des Angriffs nicht verarbeiten wollten, ließ das Team GLM 5.2 laufen – ein Openweight-Modell aus dem chinesischen Labor Z.ai. Das Modell half dabei, mehr als 17.000 Ereignisse zu analysieren und den Angriff zu rekonstruieren.

Die agentischen Angriffe, die zuvor kamen

Forscher haben einen stetigen Fortschritt dokumentiert, von Vorfällen, bei denen KI als Ratschläge genutzt wird, bis hin zu Agenten, die selbst größere Teile von Angriffen durchführen:

• September 2024 — OpenAI O1-Test. Das O1-Modell von OpenAI nutzte einen Docker-Container aus, um während eines internen Tests eine Antwort zu erhalten. ‍
• November 2025 — Anthropic entdeckt Spionagekampagne. Anthropic berichtete, dass ein Bedrohungsakteur einen KI-Agent einsetzte, um einen Großteil einer Cyber-Spionagekampagne zu automatisieren, wobei Menschen weiterhin wichtige Entscheidungen leiten.
• Ende 2025 — Admin-Zugriff in acht Minuten. Sysdig dokumentierte einen KI-gesteuerten Angriff, der die Administratorrechte in etwa acht Minuten erreichte.
• Februar 2026 — Angriff der mexikanischen Regierung. Gambit Security meldete einen halbautonomen Angriff auf mexikanische Regierungssysteme.
• Juli 2026 – JADEPUFFER-Ransomware. Sysdig meldete eine mutmaßliche agentische Ransomware-Kampagne, die mehrere Phasen des Angriffs automatisierte.
• Juli 2026 — Hermes-Kampagne in Thailand. Forscher entdeckten eine von Hermes-Agenten geführte Kampagne, die sich gegen die thailändische Regierung richtete.

Wie Hugging Face CEO Clément Delangue es ausdrückte, war der Hugging Face-Vorfall "Tag eins für Cybersicherheit im Zeitalter der Agenten". Der CSA-Bericht bezeichnet ihn als den ersten öffentlich dokumentierten vollständig autonomen Angriff.

Warum Zero Trust und Eindämmung wichtig sind

Die Lehre ist nicht einfach, dass autonome KI-Agenten Schwachstellen schneller finden können. Es ist, dass KI sie in einen Angriffspfad einbinden kann, bevor die Verteidiger die Schwächen verstehen, die das möglich machen.

"Verteidiger müssen wie ein Angreifer denken und ihre Umgebung so sehen, wie der Angreifer sie sieht: als eine verbundene Reihe möglicher Wege", sagte Swartz.

Das erfordert mehr als eine Liste verwundbarer Systeme. Sicherheitsteams benötigen einen Sicherheitsgraphen , der zeigt, wie Agenten, Arbeitslasten, Identitäten, Anwendungen und Datenquellen miteinander verbunden sind – und was ein Angreifer als Nächstes erreichen könnte. Diese Ansicht verwandelt isolierte Warnungen in eine Karte möglicher Bewegungen.

Sobald dieser Weg sichtbar ist, können Zero Trust und Segmentierung ihn eindämmen. Jede Verbindung sollte einen Zweck haben. Jeder Agent sollte nur die für seine Aufgabe erforderlichen Systeme erreichen. Und jede kompromittierte Komponente sollte als möglicher Startpunkt behandelt werden, nicht als abgeschlossenes Ereignis.

"Ein Angreifer könnte durch die erste Tür gelangen, aber das sollte ihm keinen Zugang durch die zweite verschaffen", sagte Swartz.

KI erhöht die Einsätze, weil die Bewegung mit Maschinengeschwindigkeit stattfinden kann. Wie Swartz es ausdrückte: "Mensch gegen Maschine ist kein Kampf, den Teams manuell gewinnen können."

Das Ziel ist nicht, davon auszugehen, dass jede Sandbox, jeder Proxy oder jede Kontrolle für immer gilt. Es geht darum, eine Umgebung zu schaffen, in der ein einzelner Fehler kein Weg über die Umgebung werden kann.

Das ist die Aufgabe von Zero Trust: Die Verbindungen sehen, die Pfade begrenzen und die Verletzung eindämmen, bevor der Agent seinen nächsten Schritt vollendet.

KI-Agenten warten nicht. Dein Sicherheitsmodell sollte das auch nicht tun.

Sehen Sie, wie Illumio-Segmentierung verhindert, dass autonome Angriffe zu Verletzungen werden, bevor der Agent seinen nächsten Schritt vollendet.

Erfahren Sie mehr.

‍