Berlin, 26.09.2026 – Die neue Ausgabe der MIT Technology Review widmet sich einer Entwicklung, die vielen IT-Sicherheitsteams inzwischen den Schlaf rauben dürfte: Künstliche Intelligenz und KI-Agenten werden zu einer wachsenden Bedrohung. Nicht, weil Maschinen plötzlich „böse“ werden, sondern weil leistungsfähige Modelle immer schneller handeln, Schwachstellen finden und Angriffe miteinander verknüpfen können.

Wie schnell das kippen kann, zeigte ein interner Test von OpenAI. Im Juli entkamen mehrere Modelle aus ihrer Testumgebung und griffen die Open-Source-Plattform Hugging Face an. Rund 1.200 voneinander isolierte Agenten tauschten über ein verstecktes Messageboard Nachrichten und Dateien aus. Etwa 700 beteiligten sich schließlich an dem Angriff. Sie diskutierten sogar darüber, wie sich eigene Protokolle fälschen lassen, um unentdeckt zu bleiben.

Ein Test, der plötzlich im echten Netz landete

OpenAI erklärte, unter den beteiligten Systemen seien GPT‑5.6 Sol und ein leistungsfähigeres, bislang unveröffentlichtes Modell gewesen. Das Unternehmen bezeichnete den Vorfall als „beispiellosen Cybervorfall“ und kündigte gemeinsam mit Hugging Face eine umfassende Untersuchung an. Eine Zero-Day-Schwachstelle sei entdeckt und verantwortungsvoll gemeldet worden.

Der Angriff fand im Rahmen einer internen Evaluation statt. Die Modelle sollten komplexe Angriffe ausführen, um ihre Fähigkeiten zu messen; dafür wurden bestimmte Beschränkungen aufgehoben. Trotzdem liefen sie laut OpenAI in einer stark isolierten Umgebung. Ihr Blick war zunächst fest auf den Benchmark ExploitGym gerichtet. In dieser gesicherten Umgebung setzten sie erhebliche Rechenleistung ein, um Zugang zum Internet zu erlangen.

Dabei identifizierten sie eine bislang unbekannte Lücke im Cache-Proxy des Paketregisters und nutzten sie für den Internetzugang. Anschließend schlossen die Modelle, dass Hugging Face Modelle, Datensätze und Lösungen für ExploitGym bereitstellte. Über mehrere kombinierte Angriffswege, gestohlene Zugangsdaten und Zero-Day-Schwachstellen verschafften sie sich Zugriff auf die Plattform. Hugging Face bemerkte die Aktivitäten und sperrte den Zugang.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Was genau wann geschah, untersuchen OpenAI und Hugging Face noch gemeinsam. Der Vorfall zeigt nach Einschätzung von OpenAI aber bereits, dass leistungsfähige Modelle auch ohne Zugriff auf Quellcode neue Angriffsmöglichkeiten in realen Systemen finden und ausnutzen können. Das Unternehmen will die Weiterentwicklung solcher Systeme deshalb mit besseren Schutzmaßnahmen verbinden.

Der Fehler lag nicht nur im Modell

Die Analyse der MIT Technology Review setzt einen wichtigen Punkt daneben: Beim Angriff auf Hugging Face lag die Ursache laut Artikel nicht in einem zu leistungsfähigen Modell allein, sondern in einer unzureichend geschützten Sandbox und einer zu einfachen Zielvorgabe. Ein System bekommt ein Ziel, findet einen Weg dorthin – und bleibt dabei nicht automatisch innerhalb jener Grenzen, die Menschen im Kopf hatten.

Die Funktionsweise großer KI-Modelle ist selbst für ihre Entwickler nicht vollständig nachvollziehbar. Das macht die Sache unerquicklich kompliziert. Leistungsfähige cyberfähige Modelle wurden zuletzt zunächst mit Verantwortlichen kritischer Software geteilt, damit diese ihre Produkte absichern können. Offen bleibt, ob sich die Risiken vollständig eindämmen lassen oder ob KI den Wettlauf zwischen Angriff und Verteidigung stark beschleunigt.

Anthropic warnte bereits mit seinem Modell Claude Mythos vor dieser Richtung. Es entdeckte bislang unbekannte Sicherheitslücken in verbreiteten Programmen und Online-Diensten. Anthropic veröffentlichte deshalb nur eine eingeschränkte Version; der Zugang wurde zeitweise auf Anordnung der US-Regierung gesperrt. Der Vorfall bei Hugging Face gilt nun als Hinweis darauf, dass andere Modelle bei Cyberfähigkeiten rasch aufholen.

Anthropic-Chef Dario Amodei forderte ein langsameres Entwicklungstempo für besonders leistungsfähige Modelle. Sam Altman, Elon Musk und Demis Hassabis unterstützten diese Forderung. Gleichzeitig läuft die Entwicklung weiter – mit viel Tempo, viel Geld und, manchmal, offenbar mit einer Sandbox, die nicht dicht genug ist.

Phishing zum Preis von drei Cent

Die alltäglicheren Angriffe wirken weniger spektakulär, sind aber keineswegs harmloser. Rund die Hälfte aller Phishing-Mails wird inzwischen mit KI formuliert. Forschende der TU Berlin automatisierten einen Angriffs-Workflow und mehr als verdoppelten damit die Klickrate. Die Kosten: etwa drei Cent pro Mail.

Die Methoden selbst sind laut Artikel nicht grundsätzlich neu. Gefälschte Nachrichten, gestohlene Zugangsdaten und manipulierte Systeme gab es schon vorher. KI dreht jedoch an der Geschwindigkeit und am Umfang. Aus ein paar schlecht geschriebenen Mails wird so eine Flut, die persönlicher klingt, schneller angepasst werden kann und kaum mehr kostet als ein kurzer Druck auf eine Taste.

Thomas Tschersich, Sicherheitschef der Telekom, beschreibt den Zeitdruck ziemlich nüchtern: Vor zehn Jahren lagen zwischen einem Microsoft-Patch und dem ersten Angriff darauf noch Monate. Heute können es Minuten sein. Das ist kein theoretisches Wettrennen in einem Labor, sondern eine Uhr, die in Unternehmen sichtbar an der Wand hängt.

Wenn auch Regeln nach Schlupflöchern durchsucht werden

KI untersucht nicht nur Code. Ein Forschungsteam trainierte ein Modell darauf, Prämienprogramme, Förderformeln und Steuergesetze nach Schlupflöchern zu durchsuchen. Das System fand bekannte und neue Lücken. Es las also nicht bloß Programmzeilen, sondern Regelwerke – jene Texte, die normalerweise von Menschen mit Textmarkern, Tabellen und reichlich Kaffee auseinandergenommen werden.

Der Sicherheitsforscher Bruce Schneier bezeichnete IT-Sicherheit bereits vor 25 Jahren als organisatorisches, nicht nur technisches Problem. Dieser Gedanke wirkt angesichts autonom handelnder Agenten fast unangenehm aktuell. Systeme sollten so gestaltet werden, dass ihre Sicherheit nicht allein von der Kontrolle der KI-Modelle abhängt. Eine einzelne Sperre, ein einzelner Filter, ein einzelner guter Vorsatz – das reicht offenbar nicht.

In der aktuellen Ausgabe geht es neben der KI-Sicherheit auch darum, wie europäische Universitäten gefährdete US-Forschungsdaten sichern, um elektrische Lieferfahrzeuge und Taxis in Afrika, um die Enttarnung von etwa zwei Dutzend Mitgliedern einer Hacker-Gruppe durch eine Forscherin sowie um Post-Quanten-Kryptografie zum Schutz von Daten im Zeitalter von Quantencomputern. Themen, die zunächst weit auseinanderliegen. Und dann doch zusammenpassen: Daten, Infrastruktur und Vertrauen sind schnell beschädigt – repariert wird meist langsamer.