Der von OpenAI veröffentlichte Sicherheitsvorfall rund um Hugging Face hat innerhalb kürzester Zeit zahlreiche Reaktionen aus der internationalen Cybersecurity-Branche ausgelöst. Wie weitreichend die Folgen autonom agierender KI-Agenten tatsächlich sind und welche Konsequenzen Unternehmen daraus ziehen sollten, bewerten die Experten allerdings unterschiedlich. Dieser Beitrag bündelt die vollständigen Stellungnahmen von Arctic Wolf, TrendAI (Trend Micro), Forescout, Zero Networks, Synack, Bitdefender und Mondoo und gibt sie im Wortlaut wieder.
Foto: it&d business, erstellt mit Unterstützung von KI
OpenAI hat einen Sicherheitsvorfall veröffentlicht, der sich im Rahmen eines internen Tests zur Bewertung der Cyberfähigkeiten neuer KI-Modelle ereignet haben soll. Nach Angaben des Unternehmens gelang es einem getesteten KI-Agenten, eine Zero-Day-Schwachstelle sowie kompromittierte Zugangsdaten zu nutzen, um eine isolierte Testumgebung zu verlassen und auf Systeme von Hugging Face zuzugreifen. Der Vorfall sorgt international für intensive Diskussionen über die Risiken autonom agierender KI-Agenten, zugleich werden die technischen Details und ihre Einordnung innerhalb der Sicherheitsbranche differenziert bewertet.
Welche Schlüsse Unternehmen daraus ziehen werden und welche Auswirkungen der Vorfall auf die künftige Cyberabwehr haben könnte, beurteilen mehrere internationale Security-Anbieter unterschiedlich. Nachfolgend veröffentlichen wir die vollständigen Stellungnahmen von Arctic Wolf, TrendAI (Trend Micro), Forescout, Zero Networks, Synack, Bitdefender und Mondoo im Wortlaut.
Foto: Arctic Wolf
Dan Schiappa, President Technology and Services bei Arctic Wolf
„KI ist zunehmend in der Lage, komplexe Cyberangriffe mit nur minimaler menschlicher Beteiligung durchzuführen. Der Vorfall bei OpenAI verdeutlicht, dass fortschrittliche Modelle Schwachstellen eigenständig identifizieren, mehrstufige Angriffspfade entwickeln, auf Sicherheitsmaßnahmen reagieren und Ziele verfolgen können. Und das auf eine Weise, die an das Vorgehen erfahrener menschlicher Angreifer erinnert.
Ebenso wichtig ist jedoch eine weitere Erkenntnis aus dem aktuellen Vorfall:
Selbst hochentwickelte KI ist häufig erfolgreich, weil sie bekannte Schwachstellen ausnutzt. Ungepatchte Sicherheitslücken, unzureichend geschützte Kommunikationskanäle, übermäßige Berechtigungen und grundlegende Mängel bei der Cyberhygiene eröffnen Angreifern nach wie vor Angriffsmöglichkeiten.
Neu ist die Technologie, nicht jedoch die Sicherheitslücken, die sie ausnutzt. Unternehmen, die ihre IT-Assets nicht vollständig im Blick haben, Schwachstellen nicht konsequent beheben, Identitäten unzureichend absichern oder ihre Angriffsfläche nicht wirksam reduzieren, bieten KI-gestützten Angreifern dieselben Möglichkeiten, die menschliche Angreifer bereits seit Jahren ausnutzen. Der Unterschied: KI kann diese in Maschinengeschwindigkeit erkennen und ausnutzen.
Sicherheitsteams sollten diesen Vorfall als Ausblick auf die künftige Bedrohungslage verstehen. Je stärker KI die Hürden für komplexe Cyberangriffe senkt, desto wichtiger werden eine umfassende Transparenz über die gesamte IT-Umgebung sowie die Fähigkeit, Sicherheitsvorfälle in erhöhter Geschwindigkeit zu untersuchen und darauf zu reagieren. Der wirksamste Schutz vor zunehmend autonom agierenden Bedrohungen sind resiliente Security Operations, die Schwachstellen schnell erkennt, Angriffe frühzeitig identifiziert und Gegenmaßnahmen einleitet, bevor Angreifer – ob menschlich oder KI-gestützt – ihre Ziele erreichen können.“
Foto: TrendAI
Richard Werner, Cybersecurity Platform Lead Europe bei TrendAI
„Das Narrativ der ‚eigenmächtig handelnden KI‘ ist effizient darin, Verantwortung abzuwälzen.
Was tatsächlich passiert ist: OpenAI hat einen Agenten gebaut, der zu autonomen Cyber-Operationen fähig ist, ihn in einer vermeintlich kontrollierten Umgebung getestet und diese Eindämmung ist gescheitert. Der Agent ist ausgebrochen, hat Zugangsdaten gestohlen, eine unbekannte Schwachstelle gefunden und ist in die Systeme von Hugging Face eingedrungen. Niemand hat ihm befohlen, gezielt Hugging Face anzugreifen, aber darum geht es nicht! OpenAI hat sich entschieden, diese Fähigkeit zu bauen, hat die Testbedingungen festgelegt, hat das Sandboxing definiert, das letztlich nicht gehalten hat. Von ‚beispiellos‘ und ‚eigenmächtigem Handeln‘ zu sprechen, beschreibt den Mechanismus, nicht die Verantwortung. Es ist, als würden Sie eine autonome Waffe bauen, diese auf einem vermeintlich sicheren Testgelände erproben, sie außer Kontrolle geraten und jemanden treffen lassen – und der Welt anschließend erklären, ‚die Waffe hat eigenständig gehandelt‘. Technisch korrekt. Trotzdem: Ihre Waffe, Ihr Testgelände, Ihr Versagen.“
Foto: TrendAI
Udo Schneider, Governance, Risk & Compliance Lead Europe bei TrendAI
„Sagt man einem Agenten, er solle eine Aufgabe ‚auf jede erdenkliche Weise‘ lösen, wird er das wörtlich nehmen. Mit ausreichend Autonomie und Zeit wird er in Infrastruktur vordringen, die er nie hätte berühren sollen: alte Passwörter, verwaiste Zugangsdaten, vergessene API-Keys. Nicht, weil man es ihm gesagt hat, sondern weil er im Streben nach dem vorgegebenen Ziel schlicht alles Verfügbare ausprobiert hat. Sprache öffnet diese Tür standardmäßig.
Die beiden naheliegenden Lösungsansätze greifen jeweils nur teilweise: Human-in-the-Loop-Kontrolle funktioniert, skaliert aber nicht für die langlaufenden, komplexen Workflows, in denen genau solche Vorfälle entstehen. Engere Guardrails im Modell oder in den Prompts helfen, garantieren aber nichts: Es handelt sich um probabilistische, keine deterministischen Systeme. Ein Guardrail ist eine starke Wahrscheinlichkeitsannahme, keine Mauer.
Deshalb zählen die unspektakulären, nicht-KI-spezifischen Kontrollen mehr als die KI selbst: Zugriffsfilterung, Kontrolle darüber, was überhaupt als Input beim Modell ankommt, Sandboxes, die tatsächlich halten, und Berechtigungskonzepte nach dem Prinzip der geringsten Rechte (Least-Privilege-Prinzip). Vor allem:
Ein Agent sollte niemals einfach als ‚der Nutzer‘ laufen und dabei sämtliche Zugangsdaten und Berechtigungen erben. Er sollte als er selbst laufen – beschränkt auf genau das, was die Aufgabe erfordert.“
Foto: Forescout
Sai Molige, Senior Manager of Threat Hunting bei Forescout
„Der OpenAI-Hugging-Face-Vorfall ist ein konkretes Argument für das Prinzip ‚Assume Autonomy‘ (angenommene Autonomie) und nicht nur ein warnendes Beispiel. Die Lektion lautet nicht, dass ein Modell ‚entkommen‘ ist; sie lautet, dass selbst eine kontrollierte Evaluierungsumgebung unerwartete Wege zu sensiblen Systemen, Zugangsdaten oder Daten enthalten kann. Sobald dieser Weg existierte, hat ein ausreichend fähiger Agent ihn gefunden.
Umgebungen, die für KI-Autonomie ausgelegt sind (Autonomy-ready), müssen im Vorfeld kontrollvalidiert werden und nicht erst während eines Vorfalls improvisiert werden: standardmäßige Blockierung von ausgehendem Datenverkehr (Deny-by-Default Egress), kurzlebige und nicht exportierbare Zugangsdaten, tiefgehende Segmentierung, Telemetrie zur Korrelation schneller verteilter Aktionen sowie ein geprobter Eindämmungs- und Rollback-Prozess.
‚Assume Autonomy‘ bietet einen nützlichen Rahmen, um zu bewerten, ob die Kontrollmechanismen bereit sind. Die vier Bedingungen für vertrauenswürdige Autonomie sind Kontext, Begrenzung (Constraint), Reversibilität und Transparenz. Kontext bedeutet zu verstehen, worauf ein Agent zugreifen kann und womit diese Systeme verbunden sind. Begrenzung bedeutet, den Zugriff durch technische Kontrollen einzuschränken, anstatt sich auf Anweisungen oder erwartetes Verhalten zu verlassen. Reversibilität bedeutet, in der Lage zu sein, Workloads schnell zu stoppen, Zugangsdaten zu widerrufen und Systeme zu isolieren. Transparenz bedeutet, eine ausreichende Sichtbarkeit der Aktivitäten zu haben, um zu verstehen, was der Agent tut, während er es tut.
Für hochgradig fähige agentenbasierte Systeme muss die Governance jede dieser Fragen mit Nachweisen beantworten. Das bedeutet Autonomie-Stresstests, unabhängige Red-Team-Übungen mit Fokus auf das Versagen der Eindämmung (Containment Failure), adversarielles Testen von Identitäts- und Egress-Grenzen, auditierte Isolationskontrollen, Laufzeitautorisierung für weitreichende Aktionen sowie Live-Rollback-Übungen.
Die erforderliche Sicherheitshaltung lautet nicht: ‚Vertraue dem Modell, bis es sich falsch verhält.‘ Sie besteht vielmehr darin, davon auszugehen, dass ein fähiger Agent jeden erreichbaren Weg entdeckt, der ihn seinem Ziel näherbringt, und sicherzustellen, dass kein solcher Weg unbeabsichtigte Berechtigungen gewährt.“
Foto: Zero Networks
Kay Ernst, Country Manager DACH bei Zero Networks
„Am besten stellt man sich Hugging Face wie eine riesige öffentliche Bibliothek vor, in der die Leute statt Büchern KI-Modelle hochladen, die sich jeder nehmen und nutzen kann. Nun hat jemand ein ´vergiftetes´ Buch eingeschleust. Als das interne System der Bibliothek das Buch zur Katalogisierung öffnete, führte es im Hintergrund Code aus, anstatt einfach nur – wie vorgesehen – dazuliegen. Das reichte aus, um sich Zugang zum internen Verwaltungsbereich zu verschaffen. Von dort aus wurden Zugriffsschlüssel, interne Daten und diverse Zugangsdaten entwendet; über das Wochenende hinweg verschaffte sich der Angreifer Zugang zu immer weiteren Bereichen. Die öffentlichen Regale – also die Inhalte, die tatsächlich von der Allgemeinheit heruntergeladen werden – scheinen nach aktuellem Kenntnisstand unberührt geblieben zu sein. Der interne Verwaltungsbereich wurde jedoch gründlich durchforstet.
Hugging Face an sich hat in den vergangenen Jahren viel zur Verbesserung der Sicherheit getan. Früher wurde das Unternehmen in Vorträgen oft als warnendes Beispiel angeführt: Modelle mit verstecktem Schadcode, die für jedermann frei zum Download bereitstanden, ohne dass die Nutzer davon wussten. Als Reaktion darauf hatte Hugging Face die Speicherung der Modelle so umgestellt, dass sich dort kein Code mehr verbergen kann; zudem wurden Scan-Verfahren und Warnhinweise eingeführt. Das sind echte Fortschritte. Der aktuelle Vorfall ist jedoch eine andere Art von Einbruch; daher werden nun gezielt die Schwachstellen geschlossen, die ausgenutzt wurden, potenziell kompromittierte Schlüssel ausgetauscht und die Systeme auf einen möglichen zweiten Angriff hin genauer überwacht.
Betrachtet man die Situation bei Unternehmen allgemein: Die meisten verteidigen sich immer noch so, als säße am anderen Ende des Angriffs ein Mensch – jemand, der irgendwann müde wird oder unvorsichtig Spuren hinterlässt. Diese Annahme ist überholt. Wenn ein System eigenständig auf externe Daten zugreift, ohne dass ein Mensch dies vorab prüft, entsteht eine Schwachstelle, die ausgenutzt werden kann. Unternehmen sollten sich also nicht fragen: ´Wie verhindern wir jeden Einbruch?´ – denn das ist unmöglich. Die entscheidende Frage lautet vielmehr: ´Wie weit kann ein Angreifer vordringen, sobald er erst einmal im System ist, bis wir ihn bemerken und isolieren?´
KI agiert wie ein Einbrecher, der niemals müde wird und keinen Schlaf braucht – und der nicht nur nacheinander an einzelnen Türklinken rüttelt, sondern tausende Türen gleichzeitig auf ihre Sicherheit prüft. Genau das ist hier passiert. Es war nicht etwa ein einzelner Mensch, der Befehle in ein Terminal tippte, sondern ein Schwarm kleiner, automatisierter Prozesse, die pausenlos agierten und ständig ihre Verstecke wechselten, um die Rückverfolgung zu erschweren. Was wirklich beunruhigt, ist Folgendes: Selbst das Sicherheitsteam von Hugging Face hatte Schwierigkeiten, KI-Tools für die Untersuchung des Angriffs einzusetzen. Diese Tools waren nämlich so programmiert, dass sie jegliche Eingaben verweigerten, die wie ein echter Angriffsbefehl aussahen – völlig unabhängig davon, ob sie von den „Guten“ stammten. Daraus lassen sich zwei Schlüsse ziehen: Diese Agenten können heute schneller und unerbittlicher agieren, als es einem Menschen je möglich wäre, und die Sicherheitsmechanismen, die wir entwickeln, sind nicht immer darauf ausgelegt, uns bei einer Reaktion in diesem Tempo zu unterstützen.
Man kann nie verhindern, dass ein Schloss irgendwann geknackt wird. Worauf man jedoch Einfluss hat, ist das, was geschieht, sobald sich jemand im Haus befindet. Unternehmen müssen dafür sorgen, dass eine offene Tür nicht gleich den Zugang zu allen Räumen freigibt.
Sie sollten Bereiche voneinander abtrennen, unterschiedliche Schlüssel für verschiedene Räume verwenden und die Situation so genau überwachen, dass ein Eindringling in einem kleinen Bereich feststeckt, anstatt das ganze Wochenende über ungehindert durch das gesamte Gebäude zu streifen. "
Foto: Mondoo
Patrick Münch, CSO & Mitgründer Mondoo
"Die Schlagzeilen zu diesem Vorfall mögen von einem “beispiellosen” Ereignis sprechen, doch nichts an dieser Angriffskette war wirklich neuartig: eine ungepatchte Schwachstelle, ausgeweitete Berechtigungen, gestohlene Zugangsdaten, ein Exploit zur Remotecodeausführung. Beispiellos ist vielmehr der Akteur: Ausdauer, Geschwindigkeit und Skalierung schlagen inzwischen die Neuartigkeit.
Ein KI-Agent braucht keinen Zero-Day, den sonst niemand hat. Er braucht ein Wochenende und 17.000 Versuche, um die eine Tür zu finden, die Sie abzuschließen vergessen haben. Verteidiger müssen entsprechend reagieren.
Das beginnt damit, das lokale, kontextbezogene Risiko zu erkennen – also welche Schwachstellen und Fehlkonfigurationen in Ihrer Umgebung tatsächlich von Bedeutung sind, statt sich auf einen generischen Schweregrad zu verlassen – und diese in demselben maschinellen Umfang zu beheben. Agentische KI ist hier bereits ein zentraler Wegbereiter, indem sie Sicherheitslücken schneller priorisiert und schließt, als es ein menschliches Team je könnte. KI gehört inzwischen fest zum Arsenal sowohl der Angreifer als auch der Verteidiger. Die Frage ist, welche Seite sie am wirkungsvollsten einsetzt."
Foto: Synack
Angela Heindl-Schober, Synack
„Zwei Aspekte machen den Hugging Face-Vorfall besonders bemerkenswert. Zum einen dient der Angriff als frühes Warnsignal. Der Einbruch wurde von einem autonomen KI-Agenten durchgeführt, der über einen manipulierten Datensatz eindrang, sich Zugriffsrechte auf Knotenebene verschaffte, Zugangsdaten abgriff und sich innerhalb eines einzigen Wochenendes seitwärts durch interne Cluster bewegte. Es wurden mehr als 17.000 einzelne Aktionen ausgeführt – alle protokolliert, aber vollautomatisch und ohne menschliches Eingreifen.
Bei der Aufklärung des Vorfalls versuchte Hugging Face zunächst, auf leistungsstarke ´Frontier-KI-Modelle´ zurückzugreifen, denen man bei solchen Aufgaben üblicherweise vertraut. Diese Modelle verweigerten jedoch den Dienst: Die Sicherheitsmechanismen, die verhindern sollen, dass KI böswillige Akteure unterstützt, konnten nicht zwischen einem Angreifer und einem Sicherheitsanalysten unterscheiden, die beide dieselben Exploit-Payloads und C2-Artefakte untersuchten. Hugging Face stellte fest: ´Der Angreifer war an keine Nutzungsrichtlinien gebunden, während unsere eigene forensische Arbeit durch die Schutzmechanismen der zunächst genutzten Modelle blockiert wurde.´ Letztlich führten sie die Untersuchung mit einem Open-Weight-Modell auf der eigenen Infrastruktur durch, um diese Hürde zu umgehen.
Besonders positiv ist die Transparenz von Hugging Face. Ihre Offenlegung verdeutlicht, wie sich Angriffe auf die Lieferkette weiterentwickeln und wie KI-gestützte Attacken Angreifern schnelle Erfolge ermöglichen. Zudem unterstreicht der Vorfall den Wert lokaler Modelle gegenüber der ausschließlichen Nutzung von ´Frontier-Modellen´.
Die aufgetretenen Probleme zeigen ein Dilemma auf: Die Schutzmechanismen, die verhindern sollen, dass KI-Angreifer unterstützt, behindern uns gleichzeitig bei der Reaktion, sobald ein Angreifer bereits in das System eingedrungen ist.
Die Lage wird zunehmend turbulent. Unternehmen müssen mehr denn je proaktiv überprüfen, ob ihre Tools und Prozesse den Anforderungen für den Unternehmenseinsatz entsprechen.“
Foto: Bitdefender
Martin Zugec, Technical Solutions Director bei Bitdefender
"Die in der Diskussion stehende Attacke einer OpenAI-KI auf Hugging Face hat eine Zero-Day Lücke in einem Package-Registry-Proxy ausgenutzt, um die Isolation zu durchbrechen. Die KI eskalierte in der Folge Privilegien, startete Seitwärtsbewegungen und erreichte so einen Knotenpunkt mit Internetzugang. Sie nutzte einen bösartigen Datensatz, um über unsichere Loader und Template-Injection die Ausführung von Remote-Code auszulösen. Sie stahl im Anschluss Anmeldedaten und bewegte sich weiter. Jede dieser Angriffstechniken hat bereits ihren Namen, ihre Vorgeschichte und ihre gut dokumentierte Abwehrstrategie. Keine davon stellt einen Durchbruch in der Offensivforschung dar.
Dies deckt sich mit den Ergebnissen unserer Studie zur Cybersicherheit 2026, für die wir 1.200 IT- und Sicherheitsexperten nach ihren Einschätzungen befragt haben. Gefragt, wie sie KI-gesteuerte Bedrohungen charakterisieren würden, beschrieb eine Mehrheit – 29,8 Prozent – KI als „einen Kraftmultiplikator für die aktuelle, vollständige Angriffskette“, während nur 25,7 Prozent sie als revolutionäre technische Bedrohung bezeichneten, die wirklich KI-native Angriffe hervorbringt. Die Fachleute für IT-Sicherheit lassen sich nicht zum Narren halten. KI hat das Durchschnittsniveau der Angriffe erhöht, nicht die Grenzen der Innovation verschoben.
Was meiner Meinung nach für KI-generierte Malware galt, untermauert auch dieser Vorfall:
Die Bedrohung ist real, KI ist aber dabei keine Magie. Was Hugging Face an den Tag legt, ist nicht überragende Raffinesse, sondern unermüdliche Orchestrierung: ein Angreifer, der ein Dutzend mittelmäßiger Schritte in maschineller Geschwindigkeit aneinanderreiht – ohne Ermüdungserscheinungen und ohne menschliches Eingreifen.
Dieser Unterschied spielt für die Abwehr eine enorme Rolle. Wer glaubt, es mit einer neuartigen Superwaffe zu tun zu haben, wartet auf eine neuartige Gegenmaßnahme. Wer jedoch erkennt, dass es sich um bereits bekannte, aber unerbittlich angewandte Angriffstechniken handelt, weiß bereits, was zu tun ist.
Unsere Daten zeigen aber, dass die meisten Unternehmen dies nicht tun: Bitdefender Labs hat mehr als 700.000 Vorfälle analysiert und festgestellt, dass 84 Prozent der schwerwiegenden Angriffe auf „Living-off-the-Land“-Techniken beruhen: legitime Tools wie PowerShell, WMI und RDP, die niemals eine Signaturwarnung auslösen. Dennoch stufen nur 20,5 Prozent der Sicherheitsexperten laut unserer Studie diese Gefahr als eine der drei größten Probleme ein. Diese Wahrnehmungslücke von 63,5 Prozentpunkten ist die größte Diskrepanz in unserem Bericht, und der Einbruch bei Hugging Face fiel genau in diese Lücke. Einmal eingedrungen, nutzte der Angreifer Living-off-the-Land-Ressourcen wie jeder menschliche Hacker auch.
Es gibt einen Vorbehalt, den man nicht verschweigen sollte: In unserer Studie haben wir festgestellt, dass die von vielen befürchtete „KI-Angriffsapokalypse“ nicht eingetreten ist. Dieser Vorfall ist der erste ernstzunehmende Anhaltspunkt, der dieser Aussage widerspricht. Die Obergrenze der kriminellen Raffinesse hat sich nicht verschoben – wohl aber die Obergrenze hinsichtlich Autonomie und Skalierung. Ein durchgängiger Angriff ohne menschlichem Operator ist eine wirklich neue Dimension. Dieses Problem wird gesehen: 34 Prozent unserer Befragten haben KI-gesteuerte Angriffskoordination und anpassbare laterale Bewegung bereits als zunehmende Gefahr identifiziert. Wir sollten das ernst nehmen. Aber ohne es zu etwas zu machen, was es nicht ist.
Die richtige Reaktion ist weder Panik noch Davonrennen und Kündigen - sondern Architektur. Signaturbasierte Erkennung kann einen Angreifer, der die eigenen Admin-Tools nutzt, nicht abfangen – ganz gleich, ob es sich bei diesem Hacker um eine Person oder einen Prozess handelt. Eine auf Audits ausgerichtete Compliance, die – wie 56 Prozent der von uns Befragten zugeben – in erster Linie eine reine Abhakübung ist, kann einen Angriff nicht verhindern, für dessen Modellierung sie nie konzipiert wurde. Was dagegen wirkt, ist eine präventionsorientierte Sicherheit, die den Handlungsspielraum eines Angreifers von vornherein einschränkt, sowie eine verhaltensbasierte Abwehr, die bösartige Muster unabhängig von dem zu ihrer Erzeugung verwendeten Tool kennzeichnet.
Das zitierfähigste Wort für den Vorfall dieser Woche ist das Wort „autonom“. Am allerwichtigsten ist jedoch zu betonen, dass alles, was die Autonomie bewirkt hat, ganz gewöhnlich war. Wer sich konsequent gegen das Gewöhnliche verteidigt, gibt der autonomen KI keinen Raum."
 OpenAI.png&size=390x230&crop=0&trim=1)
