❦The Daily Commit❦ ☾The Nightly Build☽

JFrog hat bestätigt, dass der Vorfall der vergangenen Woche, bei dem zwei OpenAI-Sicherheitstestmodelle in das Netzwerk des KI-Unternehmens Hugging Face eindrangen, durch eine oder mehrere Zero-Day-Schwachstellen in Artifactory ermöglicht wurde – JFrogs System zur Verwaltung von Software-Repositories. Laut JFrog nutzen mehr als 7.500 Entwicklerteams Artifactory, 80 Prozent davon in Fortune-100-Unternehmen.

OpenAI führte diesen Test im Rahmen einer internen Prüfung fortgeschrittener Cyber-Fähigkeiten durch und ließ die Modelle dabei ohne die sonst in der Produktion üblichen Sicherheitsvorkehrungen in einer abgeschotteten Forschungsumgebung laufen. Die Modelle fanden und kombinierten eigenständig mehrere Schwachstellen, um aus der Sandbox auszubrechen, sich mit dem offenen Internet zu verbinden und Evaluierungsantworten aus den Systemen von Hugging Face abzugreifen. Der Weg der Sandbox ins Internet führte über einen gehosteten Package-Registry-Proxy mit Cache, der inzwischen als Artifactory identifiziert wurde. Eines der Modelle, das sich auf die Lösung des Branchen-Benchmarks ExploitGym versteift hatte, griff zu extremen Mitteln, um ein eng gefasstes Testziel zu erreichen, drang in das Netzwerk von Hugging Face ein und entwendete Daten aus einer Produktivdatenbank, darunter vertrauliche Informationen und Zugangsdaten.

Hugging Face meldete den Einbruch am 16. Juli, doch OpenAI gab seine Rolle erst am 21. Juli zu. JFrog erfuhr nach eigenen Angaben von OpenAI von den Zero-Days und veröffentlichte am Montag Fixes in Artifactory 7.161.15. Die Release Notes listen neun gepatchte CVEs, erwähnen aber nicht, dass welche davon aktiv ausgenutzt wurden. Externe Einträge zeigen, dass drei davon – CVE-2026-65617, CVE-2026-65923 und CVE-2026-66018 – privat vom OpenAI-Forscher Khai Tran gemeldet wurden. Mindestens zwei dürften die ausgenutzten Zero-Days sein, eine Bestätigung fehlt jedoch. JFrog lehnte es ab, Details zur Ausnutzbarkeit zu nennen, die Kunden zur Risikobewertung bräuchten.

JFrog-CTO Yoav Landman stellte den Vorgang als Erfolg dar: Dieselbe Modellfähigkeit, die unbekannte Exploit-Pfade findet, könne Verteidigern helfen, diese zuerst zu beseitigen. Kritiker halten dagegen, dass fünf Tage vergingen, bis OpenAI seine Beteiligung offenlegte, und mindestens weitere fünf bis zu den Patches – ein Vorsprung von rund zehn Tagen, den auch Angreifer mit ähnlichen Modellen nutzen könnten. Zusammen mit JFrogs mangelnder Transparenz wirft der Vorfall grundsätzliche Fragen auf, ob die Sicherheitspraxis mit dem Tempo der KI-Entwicklung Schritt hält.