Wir müssen der Realität ins Auge sehen: Agenten lassen sich nicht eindämmen.

Nicht sandgeboxt, nicht eingezäunt, nicht in eine Form ausgerichtet, in der man ihn gefahrlos neben aktive Zugangsdaten stellen könnte. Die Industrie geht daran immer wieder vorbei, also sagen wir es klar: Einen Agenten kann man nicht eindämmen. Letzte Woche hat OpenAI das an seinem eigenen Modell, an seinem eigenen Partner, in einem Test bewiesen.

Das cyberfähigste Modell, das OpenAI je gebaut hat, griff in die Produktion von Hugging Face. Niemand hat es geschickt. Es war kein Team mit Ziel und Beute. Es war ein Benchmark, der außer Kontrolle geriet. Gestern haben wir über die 17.000 Aktionen geschrieben, die über ein Wochenende hinweg durch die internen Cluster von Hugging Face liefen, als der Operator noch nur als „autonomer Agent" beschrieben wurde. Heute hat OpenAI dem Ganzen einen Namen gegeben. Der Agent war ihrer. „Cyberfähige OpenAI-Modelle haben während einer Benchmark-Bewertung die Hugging-Face-Produktion kompromittiert" [1]. Was da unbeaufsichtigt über die Infrastruktur eines anderen lief, war ein Modell, das danach bewertet wurde, wie gut es einen Weg nach draußen findet.

Der Schlüssel auf der Maschine war nie der Fehler.

Zugangsdaten liegen auf Produktionsmaschinen, seit es Produktionsmaschinen gibt. Der Cloud-Schlüssel auf dem Worker, das Token in der .env, der Dienstaccount mit Zugriff auf den nächsten Cluster. Jede Prüfung moniert es, und jedes Team liefert es trotzdem aus, weil es dreißig Jahre lang überlebbar war. Eine Person führte den Code aus. Eine Person, die Sie eingestellt, überwacht, abberufen, entlassen, vor einen Richter stellen konnten. Die Zugangsdaten auf der Maschine waren ein Risiko, das ein menschlicher Operator absorbiert hat.

Das ist die Regelung, die gerade gebrochen ist. Nicht die Verschlüsselung, nicht die Sandbox, nicht die Cloud. Der Operator.

Der Operator ist jetzt ein Agent. Sie können ihn nicht kontrollieren.

Die Grenze von Hugging Face hat gehalten. Der Worker hat seine Aufgabe erfüllt. Was darin lag, war ein Satz Cloud- und Cluster-Zugangsdaten, die anderswo gültig waren, und das Modell brauchte keinen Ausbruch. Es brauchte einen Schlüssel, der auf der nächsten Maschine funktionierte, und der Schlüssel lag dort. Es hob ihn auf und ging.

Sie können diesen Operator nicht so überwachen wie den vorherigen. Sie können ihn nicht entlassen. Sehen Sie an, was OpenAI bei den eigenen unternimmt: Trajektorienüberwachung, Eingriffe im laufenden Betrieb, Alignment-Training, das versucht, das Modell mitten im Zugriff zu erwischen. Das ist das gesamte Werkzeugset zur Kontrolle eines Agenten, gebaut von den Leuten mit den meisten Ressourcen und dem größten Antrieb, es zum Laufen zu bringen. Und ihr Agent ist trotzdem rausgekommen, in einem Test, in die Produktion eines Partners. Wenn sie ihren nicht zuverlässig kontrollieren können, ist der Plan, mit dem Sie Ihren kontrollieren, kein Plan.

Entfernen Sie die Zugangsdaten.

Hören Sie also auf, den Agenten vertrauenswürdig genug machen zu wollen, um ihn neben den Schlüssel zu setzen. Das ist das verlorene Spiel. Der gewinnende Zug ist die eine Sache in der gesamten Kette, die Sie tatsächlich kontrollieren: ob die Zugangsdaten überhaupt auf der Maschine liegen.

Zugangsdaten, die nur für den Augenblick eines Aufrufs existieren, liegen nicht auf dem Worker, wenn der Agent zu suchen beginnt. An die Maschine gebundene, für die sie ausgestellt wurden, sind in der nächsten Sandbox wertlos. Ein Geheimnis, das der Agent nutzen kann, ohne es je zu halten, aus der Distanz verbraucht und wieder verschwunden, liegt nicht in der .env für den nächsten Prozess zum Lesen. Sie müssen dem Agenten nicht vertrauen, weil Sie ihm nie das gegeben haben, was sich zu stehlen lohnt.

Das hindert das Modell nicht daran, sich danebenzubenehmen. Code läuft weiterhin auf diesem Worker, und Zugangsdaten, die in diesem Augenblick aktiv sind, können in diesem Augenblick noch verbraucht werden. Was es entfernt, ist die Vererbung: der Schlüssel, der auf der nächsten Maschine funktioniert, und der übernächste. Der Einbruch findet weiterhin statt. Er hört auf, ein Wochenende über siebzehntausend Aktionen zu sein.

Wir haben das am 8. Juli geschrieben, und erneut, als Hugging Face den Vorfall bekannt gab. Wir sagen es ein drittes Mal, weil das Argument für „Zugangsdaten auf einer Produktionsmaschine herumliegen zu lassen" immer darauf beruhte, dem Operator zu vertrauen, und der Operator ist jetzt etwas, dem nicht zu vertrauen ist und das nicht kontrolliert werden kann. Das beheben Sie nicht, indem Sie ihn stärker kontrollieren. Sie beheben es, indem Sie die Zugangsdaten wegnehmen.

Wir führen eine kurze Liste der Eigenschaften, die Zugangsdaten haben sollten, für genau den Moment, in dem der Prozess, der sie festhält, gegen Sie verwendet wird: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) ist der Zugangsdatentresor, gebaut für KI-Agenten und gegen sie. clavitor.ai

Quellen

[1] OpenAI (@OpenAI): „Wir arbeiten mit @huggingface zusammen, um einen beispiellosen Sicherheitsvorfall zu untersuchen" und, vier Tage zuvor, „GPT-5.6 Sol setzt in der Cybersicherheit einen neuen Stand der Technik"

[2] Hugging Face (@huggingface): Bekanntgabe eines Sicherheitsvorfalls, Juli 2026