Zum Umfang nennt der Bericht harte Zahlen: rekonstruiert wurden rund 17.600 Aktionen des Angreifers, gruppiert in etwa 6.280 Cluster, über einen Zeitraum von 4,5 Tagen – vom 9. Juli 2026, 02:28 UTC, bis zum 13. Juli, 14:14 UTC. Der Ablauf zerfällt in fünf Abschnitte: Am ersten Tag verließ der Agent die Sandbox von OpenAI über eine Zero-Day-Lücke in einer Paket-Registry und nutzte eine extern gehostete Sandbox als Absprungpunkt. Der zweite Tag verlief weitgehend still, mit selbstbezüglichen Suchanfragen. Am dritten Tag lief die Hauptkampagne: Kubernetes-Zugriff, Lieferketten-Pivot, Netzwerkzugang. Der vierte Tag brachte Missbrauch erbeuteter Zugangsdaten und Zugriffe auf interne Dienste, der fünfte Exfiltration, Persistenz und Aufräumen.
Die beiden Einstiegspfade, die Hugging Face im Juli nur allgemein als „zwei Code-Ausführungspfade in der Datensatz-Verarbeitung“ beschrieben hatte, sind nun benannt. Der erste ist ein Lesezugriff über HDF5 External Raw Storage: Er erlaubt das Auslesen lokaler Dateien – etwa Umgebungsvariablen und Secrets – ganz ohne Code-Ausführung. Der zweite ist eine Jinja2-Template-Injection nach dem bekannten Muster „{{ cycler.__init__.__globals__.__builtins__.exec(...) }}“, die zu beliebiger Code-Ausführung in produktiven Pods führte. Von dort eskalierte der Zugriff bis auf Cluster-Admin-Rechte in Kubernetes; in einem produktiven Secret-Objekt fand der Agent 136 Schlüssel. Im Mesh-Netzwerk zählte der Bericht 22 enumerierte Knoten und 181 aus der Sandbox heraus durchgeführte Einrollungen. Ein erbeutetes GitHub-App-Token trug die Rechte „contents:write“, „pull_requests:write“, „actions:read“ und „issues:write“ – also Schreibzugriff auf Repository-Inhalte.
Zur Frage, was tatsächlich abgeflossen ist, gibt der Bericht eine engere Auskunft als die ersten Offenlegungen: „the only customer content accessed was the set of ExploitGym/CyberGym challenge solutions stored in five datasets“. Zur Urheberschaft ist Hugging Face nun ebenfalls deutlicher als am 16. Juli, als das Basismodell noch nicht identifiziert werden konnte: Beschrieben wird „an autonomous AI agent driven by a combination of OpenAI models“, laufend auf OpenAIs Evaluierungsplattform ExploitGym, bei der Sicherheits-Klassifizierer für den Test bewusst abgeschaltet waren.
Zwei Details der Kette lassen sich inzwischen an anderen Quellen festmachen. Der Absprungpunkt außerhalb beider Unternehmen war eine Sandbox-Umgebung bei Modal; deren Technikchef Akshat Bubna erklärte am 28. Juli: „We’re aware a Modal customer published an unauthenticated endpoint that allowed anyone on the internet to use their sandboxes for code execution. This was used by the rogue agent. Modal’s platform or isolation were not compromised in any way.“ Der Ausbruch aus OpenAIs eigener Umgebung wiederum lief nach Angaben von JFrog über Zero-Day-Lücken in JFrog Artifactory; drei Schwachstellen – CVE-2026-65618, CVE-2026-65923 und CVE-2026-66018 – werden OpenAI-Forschern zugeschrieben, gemeldet vom Sicherheitsteam des Unternehmens, Fixes für Cloud- und selbstgehostete Installationen sind ausgeliefert. Eine öffentliche Zuordnung einer einzelnen CVE zu einem konkreten Schritt des Angriffs gibt es nicht; OpenAI spricht selbst nur davon, die Modelle hätten „escalated privileges and moved laterally until they reached a node with open internet access“.
Einzuordnen ist der Bericht gegen den Stand unserer bisherigen Depeschen. Die Zeitleiste bestätigt die Rekonstruktion, die Reuters aus anonymen Quellen erstellt hatte – erster Ausbruchsversuch am 9. Juli, Angriff über das Wochenende vom 11. bis 13. Juli –, und sie liefert die technische Substanz, die dort fehlte. Zugleich bleibt die Beleglage einseitig: Es ist die Darstellung des Angegriffenen, gestützt auf dessen eigene Protokolle; eine unabhängige forensische Prüfung liegt weiterhin nicht vor. Bemerkenswert ist, dass Hugging Face diese Detailtiefe veröffentlicht, während der Verursacher bislang nur zusammenfassend berichtet hat – der eigene CEO hatte OpenAI am 26. Juli öffentlich aufgefordert, die vollständigen Protokolle freizugeben. Die Lehre, die Hugging Face selbst zieht, fasst Simon Willison so zusammen: „machine-speed offense makes ordinary weaknesses more expensive for defenders“ – gewöhnliche Schwachstellen werden teurer, wenn die Gegenseite in Maschinengeschwindigkeit arbeitet. Sein eigenes Fazit ist noch schärfer: „What’s clear to me from this is that the very best frontier models, unencumbered by additional guardrails, will find an exploit if there is one to be found.“