Thought Leadership
JFrog hat bestätigt, dass KI-Modelle von OpenAI eine bislang unbekannte Schwachstelle in der selbst gehosteten Software Artifactory ausgenutzt haben.
Ausgangspunkt des Vorfalls war ein interner Test von OpenAI zur Bewertung der Cyberfähigkeiten eigener KI-Modelle. Nach Angaben von OpenAI lief die Testumgebung namens ExploitGym ohne die sonst üblichen produktiven Klassifikatoren, die riskante Cyberaktivitäten normalerweise blockieren. Sowohl das Modell GPT-5.6 Sol als auch ein leistungsfähigeres, noch unveröffentlichtes Modell liefen zudem mit reduzierten Sicherheitsschranken gegen Cyberangriffe.
Die abgeschottete Umgebung hatte laut OpenAI nur einen einzigen Netzwerkpfad, einen intern gehosteten Proxy und Cache für ein Software-Repository. Dieser Proxy entpuppte sich später als JFrog Artifactory, die Software des Unternehmens JFrog zur Verwaltung von Softwarepaketen. Die Modelle setzten erhebliche Rechenressourcen ein, um über diesen Pfad einen Weg aus der Testumgebung heraus zu finden.
Von Artifactory bis zur Produktionsdatenbank von Hugging Face
Nach Angaben von OpenAI gelang es den Modellen, ihre Rechte innerhalb der Umgebung schrittweise auszuweiten und sich lateral durch das Netzwerk zu bewegen, bis sie einen mit dem offenen Internet verbundenen Knoten erreichten. Von dort aus schlossen die Modelle darauf, dass die Plattform Hugging Face möglicherweise Modelle, Datensätze oder Lösungen zu den ExploitGym-Aufgaben bereithalten könnte. Am Ende gelang es den Modellen laut OpenAI, Testlösungen direkt aus der Produktionsdatenbank von Hugging Face zu beziehen.
In einem von OpenAI beschriebenen Beispiel nutzte eines der Modelle gestohlene Zugangsdaten sowie weitere Zero-Day-Schwachstellen, um einen Weg zur Remotecode-Ausführung auf Servern von Hugging Face zu finden. Hugging Face hatte den Einbruch bereits am 16. Juli öffentlich gemacht, zu diesem Zeitpunkt jedoch noch nicht gewusst, welches Modell dafür verantwortlich war. Offen bleibt bislang, wie dieses Beispiel mit der ursprünglichen Darstellung von Hugging Face zusammenhängt, wonach der erste Zugriff über die Ausführung eines bösartigen Datensatzes erfolgt sei.
JFrog hat Updates für Cloud- und selbst gehostete Kunden veröffentlicht
JFrog-Technikchef Yoav Landman schilderte den Vorfall aus Sicht des Unternehmens in einem eigenen Blogbeitrag. Demnach habe das Sicherheitsteam von OpenAI die Erkenntnisse an JFrog gemeldet, woraufhin das Unternehmen Korrekturen entwickelt, geprüft und sowohl für Cloud-Kunden als auch für selbst gehostete Installationen veröffentlicht habe. Cloud-Kunden von JFrog seien demnach bereits automatisch geschützt. Betreiber selbst gehosteter Artifactory-Installationen sollten die Release Notes des Herstellers prüfen und auf die entsprechende korrigierte Version für ihren jeweiligen Versionszweig wechseln.
Landman bewertete den Vorfall vor allem mit Blick auf die Reaktionsgeschwindigkeit. Eine von einem KI-Modell gefundene Schwachstelle, die wochenlang ungepatcht bleibe, sei nach seinen Worten „ein Geschenk für Angreifer“.
Offene Fragen zu betroffenen Schwachstellen
Am 27. Juli wurden mehrere CVE-Einträge zu Artifactory veröffentlicht, jeweils mit Angaben zu betroffenen und korrigierten Versionsbereichen. Mindestens drei dieser Einträge, CVE-2026-65618, CVE-2026-65923 und CVE-2026-66018, führen Forscher von OpenAI als Melder auf. Weder JFrog noch OpenAI haben bislang bestätigt, ob diese Einträge tatsächlich den während des Tests ausgenutzten Schwachstellen entsprechen. Auch die benötigten Zugriffsrechte vor der Ausnutzung, die genaue Zahl der verwendeten Schwachstellen sowie die in der OpenAI-Umgebung eingesetzte Artifactory-Version hat JFrog bislang nicht offengelegt. Unklar bleibt zudem, warum OpenAI von einer einzelnen Zero-Day-Schwachstelle im Proxy spricht, während JFrog mehrere Schwachstellen erwähnt.
OpenAI bezeichnete den Vorfall als „beispiellosen Cybervorfall“ und erklärte, Hugging Face inzwischen in sein Programm für vertrauenswürdigen Zugriff aufgenommen zu haben. Die Untersuchung des Vorfalls dauert nach Angaben beider Unternehmen weiter an.
(red)
