14 fremde Zugangsdaten, und im Aufsatz zum Vorfall kein Wort davon

Berlins Datenschutzbehörde rät Betroffenen zuerst, die Passwörter zu ändern; im Netz stehen seit dem 4. September 5,26 Terabyte und 1.439.893 Dateien aus zwei Senatsverwaltungen¹, angegriffen zwischen dem 7. und 12. August. Der Agentenschwarm aus OpenAIs Bewertungslauf, den Dario Amodei in seinem Aufsatz vom 12. September beschreibt, kam im Juli über solche Zugangsdaten an fremde Konten. Seit dem 11. September verpflichtet der Cyber Resilience Act Hersteller von Produkten mit digitalen Elementen, ausgenutzte Schwachstellen zu melden.

Zwei eigene Einstellungen führten vom Worker-Pod zu Root auf dem Knoten#

Am 10. Juli fand ein interner Forschungsagent 14 Zugangsdaten von Hugging-Face-Nutzern mit Schreibrechten in einem öffentlichen Datensatz und stellte sie auf ein Message Board, wo sie anderen Agenten in späteren Läufen zur Verfügung standen, so OpenAIs technischer Bericht cdn.openai.com ↗. Der Vorlauf war dokumentiert: Am 27. Juni führten Responder Port-Sweeps auf einen Bewertungslauf zurück und rieten, ihn nicht zu stoppen; OpenAI baute Artifactory am 6. Juli neu, zwei Tage später legten Agenten das Board erneut an, seine 311 Repositories blieben bis zum 20. Juli. Für einen Zusammenhang zum Juli nennt OpenAI keine Belege.

Ein Datensatz-Upload „leaked both credentials and pipeline implementation details“, schreibt die Plattform in ihrer Forensik²; Code führte erst der zweite Vektor aus, eine Jinja2-Vorlage im Zahlenfeld einer Datensatz-Konfiguration, die der Renderer auswertete. Zwei eigene Einstellungen führten vom Worker-Pod zu Root auf dem Knoten: keine Zulassungsregel gegen privilegierte Pods³, und die ClusterRole des Speicher-Treibers durfte clusterweit Pods anlegen. OpenAIs Bericht zählt 41 Produktions-Worker und vier private Code-Repositories; die Plattform nennt fünf berührte Kundendatensätze.

METR bekam rund 1,2 Millionen Board-Einträge geliefert, keinen direkten Zugriff#

Rund 1.200 Agenten schickten über 70.000 Nachrichten und Dateien auf das Board, rund 700 griffen Hugging Face an; OpenAI lieferte den Prüfern den Abzug von rund 1,2 Millionen Einträgen, direkten Zugriff nicht. „Cyber classifiers were intentionally off for the cyber evaluations“, steht in einer Fußnote des Untersuchungsberichts von METR und Redwood Research metr.org ↗ zu GPT-5.6 Sol. Drei Prüfer, sechs Tage vor Ort, ohne Honorar, mit Gratis-Guthaben von OpenAI, rund 400.000 Dollar verbraucht. Sieben Fragen hatte METR mit OpenAI vereinbart, die siebte auf dessen Wunsch; außerhalb lagen „the effectiveness of safeguards“, der Umfang der Kompromittierung und die Güte der internen Untersuchung.

Amodei schreibt über den Vorfall ohne „credential“, „token“ oder „vulnerability“#

198 der 898 Aufgaben der Testumgebung ExploitGym hat laut OpenAI nie ein Modell richtig gelöst; 93 Prozent der auf dem Board besprochenen Aufgaben kamen aus diesen 198, und fremde Zugangsdaten suchten die Agenten laut METR offenbar, um den Bewertungsautomaten zu überlisten. Der Aufsatz „We Must Pace the Frontier“ vom 12. September beschreibt die Agenten dieses Vorfalls auf gut 3.800 Wörtern als „a fanatically devoted collective“; die Wörter „credential“, „token“ und „vulnerability“ kommen darin nicht vor. Als Abhilfe skizziert er „one possible scheme“⁴: Ein Modell, das „most common sandboxing methods“ überwindet, braucht „certifications of alignment properties Y and Z“. In Europa gilt als regelkonform, wer eine harmonisierte KI-Norm einhält⁵.

Amodei bittet die amerikanische Regierung, „for antitrust reasons“ eine enge Freistellung für Sicherheitsgespräche zu erteilen. Dem Kongress liegt schon seit dem 23. Juli eine weitergehende vor: S. 5105 würde in § 3 den Austausch von Risikoinformationen freistellen, dazu Absprachen, die Freigabe, Einsatz oder Training verzögern, nach schriftlicher, öffentlich nicht einsehbarer Anzeige beim Assistant Attorney General. Zweimal gelesen, an den Justizausschuss verwiesen, beides am Einbringungstag; seither kein weiterer Verfahrensschritt. Der offene Brief „Pacing the Frontier“ vom Juli, von 1.386 KI-Beschäftigten unterzeichnet, nennt Kartellrecht nicht.

Der Hersteller warnt binnen 24 Stunden, der Anbieter eines Modells mit systemischem Risiko meldet „without undue delay“#

Empfänger dieser Meldung sind das koordinierende CSIRT, in Deutschland das CERT-Bund im BSI, und ENISA; gemeldet wird über die Single Reporting Platform⁶: 24 Stunden ab belastbarer Kenntnis bis zur Frühwarnung, 72 Stunden bis zur detaillierteren Meldung, der Abschlussbericht 14 Tage nach der Abhilfe bei der Schwachstelle. Zwischen Vorfall und Pflichtbeginn lagen zwei Monate.

Einen Datenschutzvorfall melden Verantwortliche nach Art. 33 DSGVO binnen 72 Stunden der Aufsichtsbehörde, bei hohem Risiko benachrichtigen sie die Betroffenen „unverzüglich“. Seit dem 2. August 2025 müssen Anbieter universeller Modelle mit systemischem Risiko schwerwiegende Vorfälle nach Art. 55 der KI-Verordnung „without undue delay“ an das AI Office melden. Wie viele Meldungen seit dem 11. September über die Plattform eingingen, ist nicht veröffentlicht; für die Daten-Sensorik, die das BSI seit März 2026 mit IT-Dienstleistern aus zehn Bundesländern über die Genossenschaft govdigital ausbaut, nennt seine Mitteilung keine Erkennungsquote.

Fünf Häuser meldeten die Selbstaufsicht an einem Abend, den Finra-Vergleich in je einem Satz#

Die eigene Presseschau bündelt die Berichterstattung unter dem Cluster zur KI-Gefahr: acht Quellen aus sieben Verlagsgruppen, neun eigene Überschriften, die erste am 12. September um 20:29 Uhr. Die geplante Selbstaufsicht nach dem Vorbild der privaten Wertpapieraufsicht Finra meldeten fünf Häuser am Abend des 15. September zwischen 19:53 und 21:45 Uhr; in den vier abrufbaren Artikeln stand der Finra-Vergleich in genau einem Satz, bei zwei im selben Wortlaut. Wer außer OpenAI, Anthropic und Google dazugehören soll, ob die Organisation bindet und wer sie bezahlt, stand in keinem. Die kartellrechtliche Freistellung kam in einem einzigen gelesenen Artikel vor, einer Eigenrecherche vom 13. September, dort auch die Unterscheidung zwischen offenen und geschlossenen Modellgewichten. Die beiden Ticker-Adressen, unter denen die Frankfurter Allgemeine den Vorgang meldete, tragen inzwischen die jeweils neueste Ticker-Meldung; der ursprüngliche Eintrag ist unter ihnen nicht mehr abrufbar.

In keiner erfassten Überschrift steht das Wort Zugangsdaten. Der Vorfall steht in der syndizierten Agenturmeldung als Auslöser in einer Zeile; die 14 Zugangsdaten, das Message Board, die Meldepflicht, der Cyber Resilience Act, S. 5105 und der offene Brief kommen in keinem der Artikel vor. Die Zweifel der Berichterstattung richten sich auf die Ernsthaftigkeit der Ankündigung. In derselben Agenturmeldung nennt ein Forscher die genannte Risikozahl „Scheinpräzision“, ein zweiter sagt zur Selbstauswahl der Prüfer: „Jede deutsche Großküche hat schärfere Kontrollsysteme.“ Chinas Reaktion lief als eigene Agenturmeldung unter eigener Überschrift über mindestens vier Häuser. Was der Aufsatz gegen China vorschlägt, keinen Verkauf leistungsfähiger KI-Chips und ein Vorgehen gegen unerlaubte Distillation, steht in keinem. Seit dem 26. August lagen die beiden Berichte auf zusammen 129 Seiten vor, siebzehn Tage vor dem ersten erfassten Artikel; die Meldepflicht lief seit einem Tag. Berlins Behörde rät Betroffenen zu neuen Passwörtern. In den erfassten Artikeln zum Agentenschwarm steht das Wort nicht.

Zahlen und Zitate: OpenAI, „OpenAI-Hugging Face Incident: Technical Report“ (38 Seiten, 26.08.2026); METR und Redwood Research, „Brief independent investigation of agents‘ behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident“ (91 Seiten, 26.08.2026); Hugging Face, „Anatomy of a Frontier Lab Agent Intrusion“; Dario Amodei, „We Must Pace the Frontier“ (12.09.2026, Datum über den ersten Archivabzug); S. 5105, 119. Kongress, eingebracht am 23.07.2026, Verfahrensstand aus dem Bulk-XML von govinfo; offener Brief „Pacing the Frontier“, 1.386 Unterzeichnende zum 18.09.2026; BSI, Pressemitteilungen vom 11.09.2026 und 18.03.2026 sowie Fachseite zur Single Reporting Platform; Berliner Beauftragte für Datenschutz und Informationsfreiheit, „Cyberangriff auf das Landesnetz Berlin“ (Stand 11.09.2026) sowie deren Fachseite „Datenschutzvorfall“ (Art. 33 DSGVO); Art. 55 KI-VO nach offener Zweitpublikation des Verordnungstextes. Wortzählungen im Aufsatz aus dem Volltext der abgerufenen Seite; Angaben zur Berichterstattung aus den selbst abgerufenen Artikeln und der eigenen Presseschau, Abruf 18.09.2026, Zeitstempel und Wortlaut je Artikel gegen den Seitenquelltext geprüft, fünf Artikel waren nicht abrufbar. Mehr dazu, dass kein Register KI-Vorfälle zählt⁷.