Als eine KI Hugging Face hackte und eine andere KI sie stoppte

Hugging Face, die weltweit größte Plattform für KI-Modelle und Trainingsdatensätze, wurde nach eigenen Angaben Anfang Juli 2026 Ziel eines Angriffs, der vollständig von einem autonomen KI-Agenten gesteuert wurde. Der Fall ist bemerkenswert, weil die Verteidiger bei der forensischen Aufklärung ausgerechnet an den Sicherheitsvorkehrungen kommerzieller KI-Modelle scheiterten – und deshalb selbst auf ein offenes chinesisches Sprachmodell auswichen.

Das Wichtigste in Kürze

• Ein KI-Agent drang über eine präparierte Datensatzdatei in die Produktionsinfrastruktur von Hugging Face ein und führte dabei über 17.000 protokollierte Aktionen aus.
• Ausgenutzt wurden zwei Schwachstellen in der Datenverarbeitung: Remote-Code-Ausführung in einem Dataset-Loader und eine Template-Injection in der Dataset-Konfiguration.
• Der Angreifer eskalierte auf Node-Ebene, erbeutete Zugangsdaten und bewegte sich über ein Wochenende lateral durch mehrere interne Cluster.
• Öffentliche Modelle, Datensätze und die Software-Lieferkette blieben nach bisherigem Kenntnisstand unangetastet.
• Zur forensischen Analyse musste Hugging Face auf das offene chinesische Modell GLM 5.2 von Z.ai ausweichen, weil kommerzielle US-Anbieter die nötigen Anfragen blockierten.

Wie der Angriff ablief

Der Einstiegspunkt war unspektakulär: eine bösartig präparierte Datensatzdatei, hochgeladen wie Millionen andere auch. Sie nutzte zwei Ausführungswege in der Datenverarbeitungspipeline von Hugging Face aus, um Code auf einem internen Verarbeitungsworker auszuführen. Von dort eskalierte der Angreifer die Rechte auf Node-Ebene, sammelte Cloud- und Cluster-Zugangsdaten ein und bewegte sich über ein einziges Wochenende lateral durch mehrere interne Cluster. Nach Angaben des Unternehmens handelte es sich dabei nicht um manuelle Einzelschritte eines menschlichen Angreifers, sondern um ein „agentisches Sicherheits-Harness“, das den gesamten Ablauf autonom steuerte – über einen Schwarm kurzlebiger Sandboxes mit selbstmigrierender Kommando-Infrastruktur auf öffentlichen Diensten. Welches Sprachmodell dahintersteckte, ist bis heute unbekannt.

Die Guardrails, die die eigene Verteidigung blockierten

Entdeckt wurde der Angriff durch eine KI-gestützte Anomalie-Erkennung, die Sicherheitstelemetrie per LLM-Triage auswertete. Die eigentliche Aufklärungsarbeit begann danach – und stieß sofort auf ein Problem: Um die mehr als 17.000 protokollierten Aktionen zu rekonstruieren, mussten die Verteidiger echte Angriffsbefehle und Exploit-Payloads an ein Analysemodell übergeben. Genau das verweigerten die Sicherheits-Guardrails der großen kommerziellen KI-Anbieter, weil sie nicht zwischen einem Incident Responder und einem Angreifer unterscheiden konnten. Hugging Face wich deshalb auf GLM 5.2 aus, ein offenes Modell des chinesischen Anbieters Z.ai, das sich lokal auf eigener Infrastruktur betreiben ließ. Damit rekonstruierte das Team die komplette Angriffszeitlinie in Stunden statt Tagen – und musste dafür keine sensiblen Daten an einen externen API-Anbieter übermitteln.

Hugging-Face-Chef Clem Delangue brachte die Lehre daraus auf den Punkt: Offene Modelle hätten dem Team erlaubt, diese Arbeit zu erledigen, „ohne irgendjemanden um Erlaubnis zu fragen“. Der Fall zeigt eine Asymmetrie, die auch für andere Unternehmen relevant wird: Angreifer sind an keine Nutzungsrichtlinie gebunden, während Verteidiger durch genau jene Schutzmechanismen ausgebremst werden können, die eigentlich Missbrauch verhindern sollen. Bemerkenswert ist dabei die politische Nebenwirkung: Ein US-Unternehmen musste in einer akuten Sicherheitskrise auf ein chinesisches Open-Weight-Modell zurückgreifen, weil die eigenen heimischen Anbieter keine praktikable Alternative boten – ein Detail, das in der ohnehin angespannten Debatte um chinesische KI-Modelle in den USA für zusätzlichen Zündstoff sorgt.

Was Hugging Face jetzt ändert

Das Unternehmen hat die beiden ausgenutzten Codeausführungswege geschlossen, kompromittierte Knoten neu aufgesetzt und sämtliche betroffenen Zugangsdaten und Tokens rotiert. Hinzu kommen zusätzliche Kontrollen für den Zugriff auf interne Cluster sowie ein verbessertes Alerting für hochkritische Signale, das künftig binnen Minuten reagieren soll. Hugging Face arbeitet zudem mit externen Forensikern zusammen und hat den Vorfall den Strafverfolgungsbehörden gemeldet. Wer hinter dem Angriff steckt, ist weiterhin unklar; die professionelle, selbstmigrierende Infrastruktur deutet auf einen organisierten Akteur hin. Ähnliche, bislang kleinere Vorfälle mit KI-gesteuerten Angriffswerkzeugen häufen sich seit Anfang 2026 branchenweit; neu an diesem Fall ist vor allem der Umfang und die Tatsache, dass ein Agent über ein ganzes Wochenende hinweg eigenständig Strategien anpasste, ohne dass ein Mensch eingreifen musste.

Ausblick

In seiner offiziellen Stellungnahme zieht Hugging Face eine Schlussfolgerung, die über den eigenen Vorfall hinausweist: Autonomes, KI-gesteuertes Angriffs-Tooling sei „nicht mehr theoretisch“ und senke die Kosten für breite, geduldige Mehrstufen-Kampagnen, während es mit Maschinengeschwindigkeit operiere. Für Sicherheitsteams anderswo liegt die praktische Konsequenz nahe: ein leistungsfähiges Modell, das im eigenen Rechenzentrum läuft und nicht durch fremde Guardrails blockiert werden kann, gehört inzwischen ebenso zur Notfallausrüstung wie ein Backup-Plan. Der Fall dürfte damit auch die Debatte um offene KI-Modelle neu befeuern – nicht als Bedrohung, sondern als Werkzeug, das im Ernstfall schneller verfügbar ist als jede API mit Nutzungsrichtlinie.