Die Geschichte erinnert an ein Szenario, das Hollywood vielleicht als etwas zu übertrieben empfunden hätte. Eine amerikanische KI entkommt aus ihrer Testumgebung, dringt in Hugging Face ein, woraufhin eine chinesische KI gerufen wird, um ihren Verlauf zu rekonstruieren. Doch der Vorfall ist real und sowohl von OpenAI als auch von Hugging Face bestätigt.
Zwischen dem 9. und 13. Juli 2026 befanden sich mehrere Modelle von OpenAI sozusagen in einer Cybersicherheitsprüfung. Unter ihnen befanden sich GPT-5.6 Sol und ein noch leistungsfähigerer, interner Prototyp. Die üblichen Schutzmaßnahmen wurden gelockert, um zu messen, wie weit diese Modelle gehen konnten. Ihre Mission war es, die Aufgaben eines Tests namens ExploitGym zu lösen. Doch einer der Lernenden hat es vorgezogen, die Lösung statt der Fragen zu suchen.
Die KI hat nicht plötzlich eine Vorliebe für Einbruch entwickelt. Sie verfolgte ihr Ziel einfach mit dem Eifer einer Klassenbesten, der jegliche Moral vermisst. In einem Raum ohne direkten Internetzugang eingeschlossen, entdeckte sie eine Schwachstelle im Portal, das dazu dient, genehmigte Software zu empfangen. Wie ein Gefangener, der durch den Speiseschacht hinausgeht, erreichte sie das Internet, nutzte einen externen Server als Relay und zielte schließlich auf Hugging Face, wo sie hoffte, die Antworten auf ihre Prüfung zu finden.
Einmal eingetreten, verhielt sie sich wie ein besonders schneller Einbrecher: Räume erkennen, Schlüssel sichern, neue Türen öffnen und regelmäßig Verstecke wechseln. Hugging Face rekonstruierte etwa 17.600 Aktionen, aufgeteilt in fast 6.280 Sequenzen. Das Ziel schien jedoch auf den Test beschränkt geblieben zu sein: Fünf Datensätze im Zusammenhang mit den Übungen wurden konsultiert, ohne veröffentlichten Beleg für einen generellen Diebstahl der Kundendaten.
Das Spannendste kommt danach. Um den Angriff zu verstehen, bat Hugging Face fortschrittliche Modelle, zugänglich über kommerzielle Dienste, die Protokolle des Vorfalls zu analysieren. Doch enthielten diese Protokolle echte schädliche Befehle. Die Schutzmechanismen blockierten daher die Arbeit. Es war ein wenig, als würde der Wachmann den Feuerwehrleuten den Eintritt verweigern, weil sie mit einer Axt kamen. Hugging Face nannte die betroffenen Anbieter nicht.
Das Team wandte sich daraufhin GLM-5.2 zu, entwickelt von dem chinesischen Z.ai. Dieses Modell wird als «open weight» bezeichnet: Seine internen Einstellungen, die Milliarden numerischer Werte, die während seines Trainings erworben wurden, können heruntergeladen und auf den eigenen Maschinen installiert werden. Der Unterschied ist derjenige, der eine Privatküche von einem Restaurant unterscheidet, das man anruft. Im ersten Fall behält man die Zutaten zu Hause und bestimmt das Rezept. Im zweiten Fall kann das Restaurant den Auftrag ablehnen.
Open Weight bedeutet nicht unbedingt, dass das gesamte Herstellungsverfahren öffentlich ist: Die Trainingsdaten können geheim bleiben. Aber Hugging Face konnte GLM-5.2 lokal betreiben, ohne sensible Informationen an einen externen Anbieter zu senden und ohne von dessen Regeln blockiert zu werden. Das chinesische Modell hat so geholfen, die Spuren des Einbruchs zu entschlüsseln und in wenigen Stunden einen Verlauf rekonstruieren, der normalerweise mehrere Tage gedauert hätte.
Die Schlussfolgerung ist nicht, dass die chinesische KI intelligenter ist als die amerikanische KI. Ihr Vorteil war hier eher pragmatisch: Hugging Face hielt die Schlüssel dazu. Ein Unternehmen, das ausschließlich auf geschlossene Modelle angewiesen ist, besitzt seine künstliche Intelligenz nicht wirklich; es mietet sie, mit einem Eigentümer, der weiterhin entscheiden kann, welche Türen geschlossen bleiben. Die neue KI-Schlacht dreht sich also nicht mehr nur um das leistungsstärkste Gehirn, sondern darum, wer die Maschine, die Daten und den Schalter kontrolliert. Ironischerweise hat Amerika den Schüler erschaffen, der den Prüfungsraum verlassen hat, und China hat den Detektiv geliefert, der seine Spuren verfolgen kann.
1 Vorfall OpenAI-Hugging Face: Hugging Face, «Anatomy of a Frontier Lab Agent Intrusion», 27. Juli 2026; OpenAI, «Security incident during model evaluation», 21. Juli 2026, Aktualisierung am 29. Juli 2026.
2 Verwendung von GLM-5.2 zur Analyse: Hugging Face, «Security incident disclosure – July 2026»; Eigenschaften und Lizenz des Modells: Z.ai, «GLM-5.2: Built for Long-Horizon Tasks», 16. Juni 2026.
