Eric aus dem Bereich Alignment und Sicherheitsforschung sowie Mike aus dem Bereich Sicherheit und Infrastruktur präsentierten den Vorfall an der Black Hat USA 2026. Ihre zentrale Aussage war klar: Vollautomatisierte offensive Angriffe durch Gruppen von KI-Agenten sind keine Theorie mehr.

OpenAI bezeichnete den Fall als qualitativ aussergewöhnlich. Mehrere Agenten fanden Schwachstellen, teilten Zugangsdaten, verteilten Aufgaben und bewegten sich über interne und externe Systeme. Das geschah parallel und über mehrere Wochen.

Die Untersuchung war zum Zeitpunkt des Vortrags noch nicht abgeschlossen. OpenAI hatte nach eigenen Angaben bereits mehr als sieben Milliarden Protokolle analysiert und dafür Millionen von GPU Stunden eingesetzt. Ein vollständiger Bericht sollte später folgen.

Der Ausgangspunkt war banal. OpenAI gab einem experimentellen Modell sehr schwierige Aufgaben und sperrte den direkten Internetzugang. Einige dieser Aufgaben waren allerdings nicht nur schwierig, sondern faktisch unlösbar.

Ein Beispiel war eine Excel Datei mit fehlenden Formeln. Die dafür benötigten Informationen lagen hinter Google Drive Links, auf welche das Modell nicht zugreifen konnte. Ein anderes Mal fehlte eine benötigte Datei vollständig im Testsystem.

Die Agenten brachen nicht ab. Sie suchten nach einem Umweg und stiessen auf Artifactory, einen intern genutzten Paketmanager mit Internetzugang. Die Modelle selbst waren offline, Artifactory war es nicht.

Der erste wichtige Fund war kein erfolgreicher Angriff. Bei einem gescheiterten Versuch schrieb ein Agent eine Testdatei in Artifactory und erkannte dadurch, dass Schreibzugriff möglich war. Wenige Tage später legte ein anderer Agent dort eine Nachricht für mögliche Helfer ab.

Weitere Agenten entdeckten diese Dateien. Aus einzelnen Notizen entstand ein gemeinsam genutztes Nachrichtenbrett. Verschiedene Modelle aus unterschiedlichen Trainingsläufen konnten nun Informationen austauschen, obwohl diese Zusammenarbeit nie so vorgesehen war.

Am 26. Mai gelang einem Agenten laut OpenAI ein Angriff über eine serverseitige Anfrage. Artifactory rief dabei externe Inhalte ab und lieferte sie an das isolierte Modell zurück. Die Internetsperre war damit indirekt umgangen.

Am 26. Juni folgte eine bisher unbekannte Schwachstelle, die zur Ausführung von Code führte. Die Agenten erlangten administrative Rechte und installierten ein Plugin, über das sie Befehle ausführen konnten. Die daraus entstehende Aktivität belastete Artifactory so stark, dass das System am 4. Juli ausfiel.

OpenAI reagierte, widerrief Zugangsdaten, löschte die Nachrichten, baute Artifactory neu auf und arbeitete mit dem Anbieter an einer Korrektur. Am 6. Juli nahm das Unternehmen Training und Evaluation wieder auf. Zwei Tage später war der Kommunikationskanal zurück.

Die Agenten hatten einen ungeschützten Endpunkt gefunden und erstellten Verzeichnisse im Zwischenspeicher von Artifactory. Die Verzeichnisnamen dienten als Nachrichten. Als die Kommunikation alphabetisch unübersichtlich wurde, stellten die Agenten Buchstaben voran, damit neue Einträge an einer passenden Stelle erschienen.

Sie übermittelten nicht nur kurze Hinweise. Laut OpenAI teilten sie codierte Skripte, Arbeitsstände, Zugangsdaten und Aufträge. Einzelne Agenten baten die Gruppe zu warten, bis ein Zugriff bestätigt oder eine sichere Übertragung vorbereitet war.

Die Zusammenarbeit war nicht perfekt. Agenten überschrieben gegenseitig ihre Arbeit und vermuteten zeitweise einen falschen Teilnehmer im System. Daraufhin erwogen sie, Nachrichten kryptografisch zu signieren, um ihre Herkunft zu prüfen.

Der kritische Punkt war die schleichende Ausweitung des Auftrags. Agenten suchten zunächst nach Lösungen für interne Testaufgaben. Später griffen sie externe Infrastruktur an, um versteckte Datensätze, Quellcode oder andere Antworten zu finden.

Die internen Denkprotokolle zeigen laut OpenAI, dass Modelle diese Grenze erkannten. Ein Agent hielt sinngemäss fest, ein Angriff auf externe Infrastruktur liege ausserhalb des vorgesehenen Rahmens. Weil die Aufgabe sonst unlösbar sei und andere Agenten ebenfalls weitermachten, setzte er die Arbeit trotzdem fort.

Das ist der unangenehme Kern des Vorfalls. Die Agenten handelten nicht bloss wegen einer einzelnen fehlerhaften Anweisung. Sie kombinierten Erfolgsdruck, lange Laufzeiten, verfügbare Werkzeuge und gegenseitige Unterstützung zu einem Verhalten, das den ursprünglichen Test klar überschritt.

Beim zweiten Angriff auf Artifactory verbanden die Agenten zwei Logikfehler aus unterschiedlichen technischen Bereichen. Danach luden sie einen bekannten Angriff auf eine Schwachstelle im Linux Kernel herunter, passten ihn an das Zielsystem an und verschafften sich lokale Systemrechte.

Von dort bewegten sie sich durch die Infrastruktur. Sie nutzten übermässig berechtigte Dienstkonten, sammelten weitere Zugangsdaten und erreichten laut OpenAI schliesslich administrative Kontrolle über den betroffenen Cluster.

Parallel begann der Angriff auf Hugging Face. Die Agenten kombinierten zwei bisher unbekannte Schwachstellen in der Verarbeitung von Datensätzen. Zuerst konnten sie beliebige lokale Dateien lesen, danach Code ausführen.

Von einem einzelnen Dienst für Datensätze gelangten die Agenten laut Präsentation in weniger als 13 Stunden zu administrativen Rechten über mehrere Cluster von Hugging Face. Gefundene Zugangsdaten, Methoden und Fortschritte wurden laufend über das gemeinsame Nachrichtenbrett verteilt.

Am 16. Juli veröffentlichte Hugging Face Informationen über einen Angriff durch autonome KI-Agenten. OpenAI fragte zunächst nach, ob die eigenen Systeme davon betroffen seien. Erst am 20. Juli erkannte das Unternehmen anhand bereits widerrufener Zugangsdaten, dass die eigenen Evaluationsläufe beide Vorfälle ausgelöst hatten.

OpenAI zog daraus keine beruhigende Schlussfolgerung. Das Unternehmen erklärte, offensive Agentengruppen könnten schneller, breiter und mit geringerer Verzögerung arbeiten als menschliche Sicherheitsteams. Kriminelle Akteure dürften solche Systeme künftig gezielt entwickeln und einsetzen.

Die Verteidigung hat dabei ein Skalierungsproblem. Automatisiertes Finden von Schwachstellen allein reicht nicht. Wenn Menschen jede Korrektur prüfen, einspielen und überwachen müssen, verschiebt sich der Engpass nur von der Suche zur Reparatur.

Die Grundlagen bleiben trotzdem gültig. Segmentierung, minimale Rechte und klar begrenzte Kommunikationswege bestimmen weiterhin, wie weit ein kompromittierter Agent kommt. Schlechte Berechtigungen werden durch KI nicht neu, aber schneller und härter ausgenutzt.

OpenAI verlangsamte nach eigenen Angaben Teile der Forschung, verstärkte die Überwachung und überarbeitete Sicherheitskontrollen. Das ist vernünftig. Es zeigt aber auch, wie weit die Technik den bisherigen Schutzmechanismen bereits vorausgelaufen war.