Kurz vor dem Mega-IPO: Open AI-Modelle hacken Konkurrenten.

Düsseldorf. Vergangene Woche berichtete der weitverbreitete KI-Dienst Hugging Face, Opfer eines groß angelegten Hackerangriffs geworden zu sein. Nun räumte das US-Unternehmen OpenAI ein, hinter dem Angriff zu stecken.

Demnach sollen sich zwei KI-Modelle des Unternehmens im Rahmen eines Sicherheitstests selbstständig aus der Testumgebung befreit haben und in die Infrastruktur des Wettbewerbers eingedrungen sein. OpenAI-Chef Sam Altman sprach von einem „schwerwiegenden Sicherheitsvorfall".

Nach eigener Darstellung wollte OpenAI beim neuen Modell GPT-5.6 Sol und einer noch unveröffentlichten künftigen Version ausloten, inwieweit die Systeme Sicherheitslücken für Cyberattacken ausnutzen können. Dafür sollte die Software Aufgaben eines Standardtests mit dem Namen Exploitgym lösen, der in der Branche häufig verwendet wird.

Eigentlich gibt es für solche Tests eine gesicherte Umgebung. Laut OpenAI gelang es dem Modell jedoch, eine bislang unbekannte Schwachstelle auszunutzen, um sich außerhalb des geschützten Bereichs zu bewegen und sich Zugang zum freien Internet zu verschaffen.

Hugging Face ist ein Marktplatz für KI-Modelle

Von dort nutzte es eine Schwachstelle in der Infrastruktur von Hugging Face, um in deren System einzudringen. „Die Modelle identifizierten und verknüpften Schwachstellen in der Forschungsumgebung von OpenAI und der Produktionsinfrastruktur von Hugging Face", teilte OpenAI mit.

Hugging Face gilt als zentrale Plattform der KI-Branche und Infrastrukturanbieter für maschinelles Lernen. Der Anbieter betreibt ein Portal, das wie eine Art Marktplatz für KI-Modelle und Datensätze fungiert. Vergangene Woche berichteten die Gründer, dass das Unternehmen Opfer einer ausgeklügelten Cyberattacke geworden sei.

Als Reaktion auf das Eingeständnis von OpenAI, hinter der Attacke zu stecken, sagte Hugging-Face-Chef Clem Delangue: „Es ist wirklich unglaublich, dass all das ganz autonom durchgeführt wurde."

Die Unternehmen beschreiben den Angriff als Eindringen über einen manipulierten Datensatz. Darüber sei es dem System gelungen, Zugangsdaten zu sammeln und in interne Bereiche des Unternehmens vorzudringen. Mehr als 17.000 einzelne Aktionen über den Zeitraum eines Wochenendes habe Hugging Face in einer ersten Analyse des Vorfalls protokolliert.

Was danach geschah, ist ebenso bemerkenswert wie der Angriff selbst. Als die Sicherheitsverantwortlichen von Hugging Face den Vorfall forensisch aufarbeiten wollten, planten sie nach eigenen Angaben, auch modernste KI-Modelle führender US-Anbieter einzusetzen. Namen nannte das Unternehmen nicht; in der Branche wird vermutet, dass es um OpenAI und Anthropic ging.

Allerdings verweigerten die US-Modelle den Dienst. „Diese Anfragen wurden durch die Sicherheitsvorkehrungen der Anbieter blockiert, die nicht zwischen einem Einsatzkräfte-Mitarbeiter und einem Angreifer unterscheiden können", schrieb Hugging Face. Offenbar ließen OpenAI und Anthropic es nicht zu, dass sich Hugging Face wirksam gegen eine Cyberattacke verteidigen konnte.

Die Lösung: Hugging Face setzte auf ein offenes Modell namens GLM 5.2 des Pekinger Start-ups Zhipu AI. Anders als die Spitzenmodelle von Anthropic und OpenAI stellt das Unternehmen sein Modell frei zur Verfügung. Kunden wie Hugging Face können es auf eigenen Servern betreiben und einsetzen. Das Abschalten bestimmter Funktionen wie es bei der Sicherheitsanalyse von Hugging Face möglich gewesen sein soll, ist dann nicht möglich.

Auch wenn Hugging Face die Unternehmen OpenAI und Anthropic nicht namentlich benannte, formulierte die Firma einen klaren Vorwurf: „Der Angreifer unterlag keinerlei Nutzungsrichtlinien, während unsere eigenen forensischen Untersuchungen durch die Sicherheitsvorkehrungen der gehosteten Modelle, die wir zunächst ausprobiert hatten, behindert wurden."

Der CEO des Cloud-Anbieters Box, Aaron Levie, formulierte ausgehend von dem Fall eine klare Forderung in Richtung von OpenAI und Anthropic: „Die einzige Lösung besteht natürlich darin, genau diese Modelle zu nutzen, um Systeme besser zu schützen, zu patchen und zu verteidigen."

Big-Tech-Konkurrenz mischt sich in KI-Sicherheitsdebatte ein

Der Vorfall bleibt nicht auf OpenAI, Hugging Face und Anthropic beschränkt. Auch andere Schwergewichte der Technologiebranche beobachten die Entwicklung genau, schließlich investieren sie selbst Milliardensummen in eigene KI-Sicherheitsarchitekturen. Der Facebook-Mutterkonzern Meta Platforms etwa treibt mit seiner Llama-Modellreihe ein offenes Alternativmodell zu den geschlossenen Systemen von OpenAI und Anthropic voran – ein Ansatz, der in der Debatte um Kontrollierbarkeit und Abschaltbarkeit von KI-Agenten zunehmend an Bedeutung gewinnt. Auch Google-Mutter Alphabet forscht über die eigene KI-Sparte DeepMind intensiv an Sicherheitsmechanismen für autonome KI-Agenten, die genau solche Sandbox-Ausbrüche verhindern sollen, wie sie OpenAI nun eingestehen musste.

Für Anleger, die im Technologiesektor investiert sind, ist der Fall deshalb mehr als eine Randnotiz aus der KI-Szene: Er zeigt, dass Cybersicherheit zu einem elementaren Wettbewerbsfaktor zwischen den großen Plattformbetreibern wird. Sowohl Meta als auch Alphabet positionieren sich zunehmend als Anbieter robuster, kontrollierbarer KI-Infrastruktur – ein Argument, das im Wettbewerb um Cloud- und Unternehmenskunden künftig an Gewicht gewinnen dürfte.

Kritiker: „Exzellente Panik-Werbung"

Branchenexperten bezweifelten die Darstellung von OpenAI. Der Cybersicherheitsexperte Manuel Atug von der AG Kritis sagte: „Das klingt dermaßen nach Effekthascherei und Werbung." OpenAI betreibe ein System, das Kollateralschäden produziere, und ziehe sich dann aus der Verantwortung. Atug forderte: „Wer als Hersteller von Software solche Kollateralschäden verursacht, muss auch die Herstellerhaftung dafür übernehmen."

Der KI-Forscher Taco Cohen vom Meta-Konzern beschrieb den Fall als „exzellente Panik-Werbung". Er legte nahe, dass OpenAI bei einem gezielten Hackerangriff auf einen direkten Konkurrenten erwischt wurde und nun als Ausrede verwende, dies sei nur bei einem Test passiert. Dass ausgerechnet ein Forscher von Meta, welche selbst einer der größten Investoren in generative KI-Modelle sind diese Kritik öffentlich äußert, unterstreicht die Rivalität zwischen den führenden KI-Entwicklern.

Der KI-Forscher John David Pressman legte nahe, dass OpenAI offenbar nicht in der Lage sei, in einer sicheren Umgebung mit den eigenen Modellen zu experimentieren. Die Firma habe Glück gehabt, dass sich Hugging Face so verständnisvoll geäußert habe. Wenn das nächste Mal eine Regierungsorganisation Opfer einer solchen Attacke werde, werde OpenAI ganz andere Konsequenzen spüren.

Weitreichender sei die Erkenntnis, dass offenbar ein Modell eines kleinen Pekinger Start-ups ausgereicht habe, sich gegen das mächtigste Modell von OpenAI zur Wehr zu setzen, schrieb Pressman auf der Plattform X.

Experten warnen seit Langem vor Cyberattacken mit KI-Software. In den vergangenen Monaten hat vor allem ein neues Modell des OpenAI-Rivalen Anthropic die Debatte weiter angeheizt. Die Software mit dem Namen Mythos entdeckte Sicherheitslücken in teils jahrzehntealter Software sowie in weitverbreiteten Programmen und Onlinediensten, die zuvor unentdeckt geblieben waren.

Die Schwachstellen konnten anschließend geschlossen werden. Zugleich führt der Fall vor Augen, dass solche Systeme in den falschen Händen zur verheerenden Cyberwaffe werden können.

Anthropic macht die vollen Möglichkeiten von Mythos nach eigenen Angaben nur ausgewählten Behörden und Unternehmen zugänglich. Für andere Nutzer gibt es eine abgespeckte Version mit dem Namen Fable, der unter anderem entsprechende Fähigkeiten im Bereich der offensiven Cybersicherheit fehlen.

Nach Warnungen, die Modelle könnten sich den Sicherheitsvorgaben entziehen, musste Anthropic auf Geheiß der US-Regierung den Zugang zu Mythos und Fable zeitweise sperren. Inzwischen ist die Blockade wieder aufgehoben.

Für Anleger im Technologiesektor bleibt festzuhalten: Der Vorfall verdeutlicht, dass KI-Sicherheit und Cyberresilienz zu einem strategischen Differenzierungsmerkmal zwischen den großen Anbietern werden. Dieser Faktor wird wohl langfristig auch die Marktbewertung von Konzernen wie Meta, Alphabet, Anthropic und OpenAI beeinflussen.