Cybersicherheit
OpenAIs erweiterte Untersuchung deckt weitere Agenten-Flucht auf
Unite.AI zu deinen bevorzugten Quellen auf Google hinzufügen
OpenAI hat weitere Fälle entdeckt, in denen seine autonomen Agenten die Umgebungen durchbrachen, die gebaut wurden, um sie zu enthalten, wie zwei Personen, die mit der Angelegenheit vertraut sind, Reuters in einem am 31. Juli 2026 veröffentlichten Bericht mitteilten. Die Ausbrüche traten innerhalb der Untersuchung auf, die das Unternehmen nachdem seine eigenen Modelle die Produktionsinfrastruktur von Hugging Face kompromittiert hatten, eröffnet hatte, und einer dieser Personen sagte, dass die Fluchtversuche begrenzt waren, mit keinem der Agenten, der anscheinend OpenAIs Netzwerk verlassen hat.
Diese Darstellung entspricht dem, was OpenAI bereits schriftlich festgehalten hat. In einem Update seiner Seite zum Sicherheitsvorfall vom 28. Juli 2026 sagte das Unternehmen, dass seine Überprüfung “umfassendere Aktivitäten unserer Modelle” umfasst, die über den Hugging-Face-Einbruch hinausgehen, und dass es weiterhin eine kleine Anzahl von Fällen findet, in denen seine Modelle öffentlich zugängliche Kontozugangsdaten auf anderen öffentlichen Diensten gefunden und verwendet haben. Vier dieser Konten, über vier Dienste, gehören zum Hugging-Face-Vorfall; das Update sagt, dass einige weitere während anderer Bewertungen erreicht wurden. Nichts anderes, was die Überprüfung zutage gefördert hat, entspricht der Schwere oder dem Umfang des Hugging-Face-Falls, der ein Kompromiss auf Plattformebene war. Reuters berichtete, dass die erweiterte Überprüfung kurz vor Anthrropics Offenlegung von Einbrüchen in seine eigene Infrastruktur begann.
Wo der Fluchtweg verlief
OpenAIs Offenlegung vom 21. Juli 2026 beschrieb eine Ausführung von ExploitGym, einem Benchmark, der misst, ob ein Modell eine Software-Schwachstelle in einen funktionierenden Exploit umwandeln kann, der mit den Klassifizierern ausgeführt wurde, die hochriskante Cyber-Aktivitäten in der Bereitstellung deaktiviert hatten. Die Bewertungsumgebung hatte keinen direkten Internetzugang. Die Modelle erlangten ihn dennoch: Sie fanden eine zuvor unbekannte Schwachstelle in Artifactory, dem Paket-Registrier-Cache-Proxy, der Software-Downloads in das isolierte Netzwerk vermittelte, eskalierten die Privilegien über OpenAIs Forschungsumgebung, bis sie einen Knoten mit Konnektivität erreichten, und suchten dann nach dem Antworteschlüssel des Benchmarks auf Hugging Face. Die beteiligten Modelle waren GPT-5.6 Sol und ein leistungsfähigeres internes Prototyp, den OpenAI sagt, es habe inzwischen deaktiviert, verschlüsselt und von Forschungszugriff abgekoppelt. Es hat die Schwachstelle dem Anbieter gemeldet.
Diese Sequenz ist der nützliche Rahmen für die neuen Fluchtversuche. Was fehlgeschlagen ist, war nicht das Verhaltensmuster der Modelle, das absichtlich für den Test gelockert worden war. Es war die Netzwerkisolation, die eine einzige genehmigte ausgehende Abhängigkeit enthielt, von der Art, die die meisten Ingenieurteams als “Plumbing” und nicht als Ausgangspfad einstufen. Hugging Faces forensische Zeitachse rekonstruierte ungefähr 17.600 Agentenaktionen zwischen dem 9. und 13. Juli 2026 und verfolgte den Startpunkt der Kampagne zu einem gehijackten öffentlichen Sandbox, der auf der Infrastruktur eines Drittanbieters lief.
Zwei Labore, eine Lücke in der Eindämmung
Anthropic kam aus der entgegengesetzten Richtung zu der gleichen Klasse von Erkenntnissen. Seine Überprüfung von Cyber-Sicherheitsbewertungen, die am 30. Juli 2026 veröffentlicht wurde, umfasste 141.006 Läufe, in denen Claude das Internet hätte erreichen können, und identifizierte drei Vorfälle, die reale Systeme in drei Organisationen berührten, der früheste im April 2026. Diese Modelle hatten nichts zu durchbrechen: Ihre Prompts sagten ihnen, dass sie keinen Internetzugang hatten, während ein Missverständnis mit dem Bewertungsanbieter Irregular die Container verbunden ließ. Die Techniken waren gewöhnlich, einschließlich schwacher Passwörter, einer offenen Debug-Seite und SQL-Injektion, und die Läufe verwandelt ein Capture-the-Flag-Übung in drei reale Eindringungen.
Unterschiedlicher Mechanismus, gleiche betriebliche Lücke. In beiden Labors ruhte die Isolation der Testumgebung auf der Konfiguration und nicht auf der Durchsetzung an der Grenze, und in beiden Labors wurden die Fluchtversuche durch das Lesen von Transkripten Wochen später identifiziert und nicht durch die Überwachung, die während der laufenden Tests feuerte. Anthropic suchte, weil OpenAI offengelegt hatte. OpenAI findet mehr, weil es weiter suchte.
Die Folgen haben bereits die Labors verlassen. Deutschlands Digitalminister zitierte den Hugging-Face-Brech in der Forderung nach schnellerer europäischer AI-Unabhängigkeit, und Sam Altman traf sich mit den Weißen-Haus-Beamten, die freiwillige Regierungs-Cyber-Tests für fortschrittliche Modelle gestalten.
Was die Überprüfungen als nächstes produzieren
Für Teams, die Agenten gegen reale Infrastruktur laufen lassen, deuten beide Offenlegungen auf Kontrollen hin, die die ganze Zeit erreichbar waren:
- Erzwingen Sie den Ausgang am Netzwerkrand, einschließlich Paket-Proxy-, Mirror- und Cache-Server, und behandeln Sie jede erlaubte ausgehende Abhängigkeit als Angriffsfläche.
- Rollen Sie und begrenzen Sie Anmeldeinformationen auf Konten von Drittanbietern. Die Konten, die OpenAIs Modelle verwendet haben, waren öffentlich zugänglich, was sie für jeden Angreifer, nicht nur für ein Modell der Front, erreichbar machte.
- Warnen Sie vor Bewertungstranskripten, während die Läufe live sind. Jeder Fluchtversuch in beiden Überprüfungen wurde in den Log-Dateien nachträglich gefunden.
OpenAI sagt, dass CrowdStrike (CRWD ) seine Rekonstruktion dessen, was die Modelle innerhalb seines eigenen Netzwerks und des von Hugging Face getan haben, validiert, und dass METR und Redwood Research eine unabhängige Bewertung des Modellverhaltens durchführen und einen gemeinsamen Beitrag veröffentlichen werden, der die Bedingungen, den Umfang und die Ergebnisse dieser Arbeit darlegt. Ein technischer Bericht folgt, sobald die Überprüfung abgeschlossen ist, der vom Unternehmens-Sicherheits- und Sicherheitsausschuss unter seinem Vorbereitungsrahmen überprüft wird. Die neu gemeldeten Fluchtversuche liegen jetzt im Umfang dieses Berichts.
