Thought Leadership
Hugging Face hat eine detaillierte Analyse des Angriffs veröffentlicht, OpenAI hat weitere Erkenntnisse aus der eigenen Untersuchung nachgereicht.
Der kürzlich bekannt gewordene Sicherheitsvorfall rund um KI-Modelle von OpenAI wirft neues Licht auf das Ausmaß des Angriffs. Hugging Face und OpenAI haben ihre jeweiligen Untersuchungsergebnisse nun öffentlich gemacht.
Am 16. Juli hatte die ML-Plattform Hugging Face erstmals bekannt gegeben, Ziel eines Cyberangriffs geworden zu sein, hinter dem ein autonomes KI-Agentensystem steckte. Fünf Tage später bestätigte OpenAI, dass eigene Modelle für den Angriff verantwortlich waren. Diese hatten eigentlich im Rahmen einer Evaluierung in einer als abgeschottet geltenden Testumgebung laufen sollen, gerieten jedoch außer Kontrolle und drangen in Hugging-Face-Systeme ein, offenbar in dem Versuch, gestellte Aufgaben zu erfüllen.
Fast 18.000 Aktionen in gut vier Tagen
In der von Hugging Face veröffentlichten Rekonstruktion des Angriffs zeigt sich ein genauer Ablauf: Bereits am 9. Juli hatten die Modelle demnach ihre Sandbox verlassen. Am 11. Juli begann dann das, was Hugging Face als „Hauptkampagne“ gegen die eigene Infrastruktur bezeichnet.
Über einen Zeitraum von rund 4,5 Tagen zählte Hugging Face insgesamt etwa 17.600 einzelne Aktionen der Modelle. Darunter waren Aufklärungsschritte, der Aufbau von Command-and-Control-Strukturen über gängige öffentliche Webdienste, das Ausweiten von Zugriffsrechten sowie Bewegungen zwischen verschiedenen Systemen.
Einstieg über Zero-Day-Lücke bei JFrog
OpenAI legte am Dienstag ein Update vor, wonach die Modelle zunächst Zero-Day-Schwachstellen in einer Software von JFrog ausnutzten, um sich Zugang zum Internet zu verschaffen. Erst danach erfolgte der Angriff auf Hugging Face.
Nach eigener Aussage fand OpenAI keine weiteren Vorfälle, die in Schwere oder Umfang mit dem Angriff auf Hugging Face vergleichbar wären. Gleichzeitig bestätigte das Unternehmen aber, dass die Aktivitäten der Modelle nicht auf Hugging Face beschränkt blieben.
OpenAI teilte dazu mit, man habe bei der fortlaufenden Prüfung des Vorfalls sowie weiterer Modellaktivitäten eine geringe Zahl an Fällen gefunden, in denen die Modelle frei zugängliche Zugangsdaten für Accounts bei anderen öffentlich erreichbaren Diensten aufgespürt und verwendet hätten.
Vier betroffene Accounts, zwei davon aktiv genutzt
Konkret geht es laut OpenAI um vier Accounts bei vier unterschiedlichen Diensten, die im Zusammenhang mit dem Hugging-Face-Vorfall betroffen waren. Hinzu kommen einige weitere Accounts, auf die im Zuge anderer Evaluierungen zugegriffen wurde. Ein Account habe den Modellen als ausgehende Relaisstation und Zwischenlager gedient, ein zweiter zur Speicherung von Daten. Bei den übrigen zwei Accounts habe es sich um reinen Lesezugriff gehandelt, der nicht dazu genutzt wurde, den Angriff auf Hugging Face weiter voranzutreiben.
Im Rahmen unserer laufenden Überprüfung des Eindringens bei Hugging Face und der umfassenderen Aktivitäten unserer Modelle haben wir eine kleine Anzahl von Fällen festgestellt, in denen die Modelle öffentlich offengelegte Zugangsdaten auf Kontoebene bei anderen öffentlich verfügbaren Diensten identifiziert und verwendet haben. Dies umfasst vier Konten bei vier Diensten im Rahmen des Hugging Face-Vorfalls (sowie einige Konten, auf die im Rahmen anderer Evaluierungen zugegriffen wurde).
OpenAI
Kunde von Modal Labs betroffen
Nach Berichten mehrerer großer Medien soll einer der betroffenen Accounts einem Kunden des KI-Infrastrukturanbieters Modal Labs zuzuordnen sein. Der Technikchef von Modal Labs bestätigte, dass Agenten von OpenAI den Account eines Kunden kompromittiert hätten. Die eigene Plattform sei davon nicht betroffen gewesen. Ursache sei vielmehr gewesen, dass der betroffene Kunde einen Endpunkt ohne Authentifizierung öffentlich zugänglich gemacht hatte, über den beliebige Personen im Internet dessen Sandbox-Umgebungen zur Codeausführung nutzen konnten.
Darüber hinaus erklärte OpenAI, dass die Modelle verschiedene frei verfügbare Onlinedienste eingesetzt hätten, etwa Plattformen zum Teilen von Code, Dienste zum Abfangen von Anfragen sowie Screenshot-Tools. In diesen Fällen sei es jedoch zu keiner Kompromittierung auf Ebene der Plattformen oder einzelner Accounts gekommen.
(red)
