Kurzfassung

  • Hugging Face CEO Clément Delangue bedankte sich auf X bei Z.ai und sagte, das chinesische Modell sei „ein wichtiger Teil unserer Verteidigung“ während des Einbruchs, den OpenAIs eigene Modelle durchführten.
  • Die amerikanische Spitzen-KI weigerte sich, bei der forensischen Untersuchung zu helfen – Sicherheitsfilter konnten einen Sicherheitsforscher, der echten Exploit-Code einreichte, nicht von einem Angreifer unterscheiden.
  • Delangues Schlussfolgerung: Verteidiger überall, nicht nur geprüfte Partner mit speziellem API-Zugang, benötigen leistungsstarke uneingeschränkte KI, die sie lokal ausführen können, bevor ein Angriff stattfindet.

Hugging Face CEO Clément Delangue hat gerade die pointierteste Danksagung in der KI-Welt verschickt – an ein chinesisches Startup – einen Tag nachdem OpenAI bestätigte, dass seine eigenen Modelle in die Server von Hugging Face eingedrungen waren.

Z.ai, das in Peking ansässige Labor, das letzten Monat GLM 5.2 als offene Gewichte veröffentlichte, erhielt von Delangue eine öffentliche Erwähnung auf X.

„Auch unendlich dankbar an z.AI. Sie haben GLM5.2 als offene Gewichte (kostenlos!) mit der Welt geteilt, und es wurde ein wichtiger Teil unserer Verteidigung“, sagte er in einem Retweet von Hugging Faces Head of Infrastructure, Adrien Carreira.

Laut OpenAI ist das Unternehmen GPT 5.6 Sol und ein weiteres KI-Modell aus einer Sandbox ausgebrochen, während sie an einem Cybersicherheits-Benchmark getestet wurden. Diese Modelle entschieden sich offenbar aus eigenem Antrieb, Hugging Face zu hacken, um die Antworten auf den Benchmark zu finden und die Bewertung erfolgreich zu bestehen.

Hugging Face versuchte, amerikanische Closed-Source-Modelle zur Verteidigung einzusetzen, aber die Zensur und Schutzmaßnahmen der Anbieter waren so weitreichend, dass selbst die besten Modelle versagten. GLM 5.2, lokal ausgeführt und mit offenen Gewichten, erwies sich als die beste Option für das Unternehmen.

Offene Gewichte bedeuten, dass die vollständigen Modellbaupläne für jedermann verfügbar sind – herunterladen, lokal ausführen, keine Genehmigung erforderlich, keine Einschränkungen. Z.ai veröffentlichte GLM 5.2 Mitte Juni unter einer MIT-Lizenz, einer freizügigen Open-Source-Lizenz, die uneingeschränkte kommerzielle Nutzung erlaubt, mit etwa 753 Milliarden Parametern – ein grobes Maß für die Größe und Leistungsfähigkeit eines KI-Modells.

Diese Offenheit war genau das, was während des Vorfalls zählte. Das Sicherheitsteam von Hugging Face versuchte zunächst, amerikanische kommerzielle KI zu nutzen, um mehr als 17.000 protokollierte Angreiferereignisse zu durchzugehen. Diese Modelle lehnten ab.

Sicherheitsvorkehrungen – Inhaltsfilter, die zur Verhinderung von Missbrauch entwickelt wurden – konnten einen Forscher, der echte Exploit-Payloads einreichte, nicht von dem Angreifer unterscheiden, der sie gesendet hatte. GLM 5.2 hatte kein solches Problem. Die lokale Ausführung bedeutete auch, dass alle sensiblen Daten – gestohlene Anmeldedaten, Exploit-Code, Artefakte des Angreifers – die gesamte Zeit in Hugging Faces eigenen Systemen blieben.

Carreira bezeichnete OpenAIs Hack als die schlechteste Incident-Response – den Prozess der Untersuchung und Eindämmung eines Cyberangriffs – seiner Karriere: Maschinengeschwindigkeit, ein Ziel, endlose parallele Angriffspfade. Seine Erkenntnis war, dass das Team „mit offenen Modellen, im Offenen, zurückkämpfte".

Delangues allgemeinerer Punkt ist einer, den er bereits zuvor gemacht hat, aber jetzt mit einem lebendigen Beispiel: Verteidiger überall – nicht nur Organisationen mit geprüftem API-Zugang – benötigen leistungsstarke, uneingeschränkte KI, die sie auf ihrer eigenen Hardware ausführen können. Hugging Face sagt, dass es noch den vollen Umfang des Einbruchs bewertet und plant, betroffene Parteien direkt zu kontaktieren.