Du kennst das vielleicht: Du findest einen alten USB-Stick und fragst dich, was darauf noch liegt. Meistens sind es alte Fotos oder vergessene Dokumente. Aber manchmal liegt da auch etwas, das nie hätte öffentlich werden sollen – ein Passwort, ein Schlüssel, eine Zugangsdaten-Datei. Jetzt stell dir vor, dieser USB-Stick wäre so groß wie eine ganze Stadt. Und alle könnten ihn durchsuchen. Genau das ist in der Welt der Künstlichen Intelligenz passiert.
Die Sicherheitsforscher von Truffle Security haben alle öffentlichen Datensätze auf Hugging Face durchsucht. Hugging Face ist die Plattform, auf der die meisten offenen KI-Modelle und Trainingsdaten liegen. Das Ergebnis ist beeindruckend und beunruhigend zugleich: 7,6 Petabyte an Daten, 187 Millionen Dateien, und darin versteckt 221.303 aktive, eindeutige Zugangsdaten. Diese Zugangsdaten sind keine harmlosen Überreste. Sie stammen aus 6.003 Datensätzen, die zum Training von KI-Modellen genutzt werden. Wer so einen Schlüssel findet, kann unter Umständen fremde Systeme betreten, als wäre er der Besitzer.
Was ist Hugging Face?
Hugging Face ist eine Art GitHub für Künstliche Intelligenz. Unternehmen, Universitäten und Entwickler laden dort Modelle, Datensätze und Code hoch, damit andere sie nutzen können. Viele bekannte KI-Modelle basieren auf diesen offenen Ressourcen. Wer ein eigenes Modell trainieren möchte, greift oft auf diese Daten zurück. Das macht die Plattform zu einem zentralen Knotenpunkt der KI-Welt.
Und genau dort haben die Forscher ihre Suche gestartet. Sie haben das gesamte öffentliche Datenangebot heruntergeladen, jede Datei geöffnet und nach Mustern gesucht, die auf Zugangsdaten hinweisen. Das ist kein einfacher Textabgleich. Es braucht enorme Rechenleistung und ausgeklügelte Algorithmen, um in einer Flut von Daten die wenigen Stellen zu finden, an denen ein Passwort oder ein API-Schlüssel liegt. Am Ende stand eine Zahl fest, die man sich erst einmal auf der Zunge zergehen lassen sollte: 221.303 lebende, verifizierte Zugangsdaten.
Der größte Secret-Scan aller Zeiten
Um das Ausmaß zu verstehen, hilft eine kleine Rechnung. 7,6 Petabyte sind 7,6 Millionen Gigabyte. Ein einzelner DVD-Rohling fasst etwa 4,7 Gigabyte. Man bräuchte also rund 1,6 Millionen DVDs, um diese Datenmenge zu speichern. Stapelt man diese DVDs aufeinander, ergibt das einen Turm von fast zwei Kilometern Höhe. Das entspricht etwa 4,4 Empire-State-Buildings, die übereinandergestellt werden. Und in diesem gigantischen Datenberg lagen Hunderttausende Schlüssel offen herum.
Die Forscher haben nicht nur die Größe des Datenbestands erfasst, sondern auch jede einzelne Zugangsdaten auf ihre Gültigkeit geprüft. Das bedeutet: Sie haben bei den jeweiligen Anbietern angefragt, ob der Schlüssel noch funktioniert. Nur solche Zugangsdaten sind in die Statistik eingeflossen, die zum Zeitpunkt der Prüfung tatsächlich aktiv waren. Das ist ein wichtiger Unterschied zu früheren Untersuchungen, bei denen oft nur nach Mustern gesucht wurde, ohne die Gültigkeit zu bestätigen.
Zugangsdaten mit gefährlicher Reichweite
Besonders brisant sind Zugangsdaten, mit denen man Software verändern kann. Im Trainingsdatensatz fanden sich 349 aktive GitHub-Persönliche Zugangs-Tokens. Davon hatten 223 vollen Schreibzugriff auf Repositories, 130 konnten CI-Workflows umschreiben, 112 besaßen Admin-Rechte für Organisationen und 110 konnten Pakete veröffentlichen. Dazu kamen 318 Docker-Hub-Tokens, mit denen sich Container-Images hochladen lassen. Wer solche Schlüssel kontrolliert, kann Code in Projekte einschleusen, die von Millionen Menschen genutzt werden. Das ist ein direkter Angriff auf die Software-Lieferkette.
Ein Beispiel verdeutlicht die Gefahr: Ein einzelnes Token mit Repo-Schreibrecht gehörte dem Gründer einer weit verbreiteten Model-Context-Protocol-Registry. Sein Konto war mit der offiziellen MCP-Organisation verbunden. Deren Repositories enthalten Server und Software-Entwicklungskits, die von großen KI-Tools verwendet werden und zusammen mehr als 178.000 GitHub-Sterne haben. Mit diesem Token hätte ein Angreifer Änderungen an dieser Software vornehmen können, die dann an alle Nutzer ausgeliefert worden wären. Die Forscher nennen die Namen nicht, aber sie haben die Lücken den betroffenen Unternehmen gemeldet.
Cloud-Zugänge und Datenbanken in Hülle und Fülle
Neben Entwickler-Tokens fanden sich auch Schlüssel, die Zugang zu echter Infrastruktur eröffnen. So entdeckten die Forscher 8.557 aktive Google-Cloud-Service-Konto-Schlüssel in 3.811 verschiedenen Projekten. Einige davon waren Firebase-Admin-Schlüssel mit Datenbankzugriff, andere hatten Besitzer-Rollen oder Kubernetes-Cluster-Administratorrechte. In den Projektmetadaten fanden sich Hinweise auf Gesundheits- und Zahlungsanwendungen. Die Forscher haben diese Schlüssel nur zur Verifizierung genutzt und keine Daten ausgelesen. Aber die schiere Menge zeigt, wie viele Cloud-Umgebungen über Trainingsdaten angreifbar sind.
Auch bei Amazon Web Services war die Ausbeute erheblich. 3.343 AWS-Schlüssel bestanden die Identitätsprüfung, 907 konnten S3-Buckets auflisten. Über die Buckets ließ sich per Metadaten feststellen, dass mindestens 51,7 Terabyte an Daten in nicht-öffentlichen S3-Buckets lagen. Die Bucket-Namen deuteten auf Produktiv- und Backup-Systeme, auf Rechnungsdaten, Kundendaten und Terraform-Konfigurationen. Nimmt man alle sichtbaren Buckets zusammen, ergibt sich eine untere Grenze von 185 Terabyte. Und dann sind da noch die Datenbanken: 8.594 aktive Datenbank-Zugangsdaten, die zu MongoDB-, Postgres- und anderen Datenbanken führten. Die meisten waren kleine Testdatenbanken, aber der Ausreißer war ein MongoDB-Cluster mit 617,7 Gigabyte Daten. Einige Datenbanken waren sogar mit US-Verteidigungsunternehmen und einer brasilianischen Bundesbehörde verbunden.
Auch die KI-Anbieter selbst sind betroffen
Die Trainingsdaten sind voll von Schlüsseln für KI-Dienste. Die Forscher fanden 11.496 aktive Zugangsdaten für OpenAI, Azure OpenAI, Anthropic, Gemini, Groq und andere Anbieter. Allein 742 OpenAI-Schlüssel und 26 Anthropic-Schlüssel waren aktiv. Jeder dieser Schlüssel ist quasi eine offene Rechnung an den Besitzer. Selbst wenn man nur den niedrigsten Standardrahmen von 100 US-Dollar pro Monat ansetzt, ergibt sich eine potenzielle Belastung von rund 920.000 US-Dollar pro Jahr. Das ist nur die Untergrenze, denn viele Konten haben höhere Limits.
Besonders kritisch sind Organisationskonten und Maschinen-Konten, die oft mit hohen Budgets ausgestattet sind und selten rotiert werden. Ein einziger Schlüssel mit dem höchsten Anthropic-Tarif könnte bis zu 200.000 US-Dollar pro Monat verbrauchen. Und da ist noch nicht einmal berücksichtigt, dass ein Angreifer mit einem solchen Schlüssel direkt an die Grenzen der Modelle kommt. Die Forscher betonen, dass sie die Schlüssel niemals verwendet haben. Aber die bloße Existenz dieser Zugangsdaten zeigt, wie nachlässig im Umgang mit KI-Anbietern gearbeitet wird.
Wie die Geheimnisse in die Trainingsdaten gelangen
Es gibt zwei Wege, wie ein Zugangsschlüssel in einen öffentlichen Datensatz gerät. Der häufigere Fall ist der eines Fremden, dessen Schlüssel irgendwo im Internet geleakt ist. Ein Scraper sammelt den Schlüssel ein, er landet in einem öffentlichen Korpus, und schließlich wird dieser Korpus als Trainingsdatensatz auf Hugging Face hochgeladen. Der Eigentümer des Schlüssels weiß meist nichts davon. Der seltenere, aber umso peinlichere Fall ist ein Selbst-Leak: Ein Unternehmen oder eine Einzelperson veröffentlicht einen Datensatz und hat dabei versehentlich den eigenen Schlüssel in einer Notebook-Datei oder einem Cache mit hochgeladen.
Bei Hugging-Face-Tokens ist dieses Muster besonders gut sichtbar. Insgesamt fanden die Forscher 787 aktive Hugging-Face-Tokens. 237 davon hatten Schreibzugriff, 70 sogar Admin-Rechte für Organisationen. Von den nachvollziehbaren Fällen stammten etwa 700 aus fremden Korpus-Sammlungen und 63 von den Besitzern selbst. Ein aktives Schreib-Token in einem öffentlichen Datensatz ist eine Einladung zu einem Supply-Chain-Angriff: Damit lassen sich Modell-Gewichte austauschen oder Datensätze vergiften, und die manipulierten Inhalte verbreiten sich über die gleiche Pipeline an alle Nutzer. Hugging Face selbst hat bei Enterprise-Konten bereits eine Schutzmaßnahme: Wird ein Token in ein öffentliches Repository hochgeladen, wird es automatisch widerrufen. Die gefundenen Tokens waren genau die, die außerhalb dieses Schutzes lagen.
Was das für die KI-Zukunft bedeutet
Diese Untersuchung ist ein Weckruf, kein Weltuntergang. Sie zeigt, dass die KI-Entwicklung in einer atemberaubenden Geschwindigkeit voranschreitet, aber die Sicherheitshygiene nicht Schritt hält. Öffentliche Trainingsdaten sind nicht nur ein Rohstoff für bessere Modelle, sondern auch ein Ziel für Angreifer. Wer Schlüssel in Datensätze einbettet, öffnet nicht nur sich selbst die Tür, sondern auch allen, die diese Daten später nutzen.
Für Unternehmen gibt es konkrete Lehren. Zugangsdaten müssen regelmäßig rotiert werden, insbesondere solche, die in Skripten, Notebooks oder Backup-Dateien auftauchen. Es braucht Scans, die die eigenen Geheimnisse in öffentlichen Repositories und Datensätzen suchen. Und wer KI-Modelle trainiert, sollte die Herkunft der Trainingsdaten genauso ernst nehmen wie die Qualität der Inhalte. Ein einziger vergessener Schlüssel kann mehr Schaden anrichten als ein fehlerhaftes Modell.
Für dich als Nutzer von KI-Diensten bedeutet das: Die Risiken sind real, aber nicht hoffnungslos. Wenn du selbst Entwickler bist, schau nach, welche Schlüssel du in Code oder Konfigurationsdateien hinterlassen hast. Nutze Umgebungsvariablen und Secret-Management-Tools. Und wenn du auf Plattformen wie Hugging Face unterwegs bist, denk daran: Öffentlich bedeutet nicht harmlos. Die digitale Welt ist ein riesiges Archiv, und manche Dinge löscht man besser, bevor sie jemand findet.
Die Forscher von Truffle Security haben die Ergebnisse an Hugging Face gemeldet. Das Unternehmen hat schnell reagiert und sogar eigene Scanner für Speicher-Buckets beigesteuert. Das ist ein gutes Zeichen. Aber die eigentliche Arbeit liegt bei jedem, der Zugangsdaten erstellt oder verwendet. Ein Schlüssel ist wie ein Hausschlüssel: Du gibst ihn nur den Leuten, denen du vertraust. Und du lässt ihn nicht auf der Straße liegen, nur weil die Straße noch neu aussieht.
Quelle: trufflesecurity.com
