0 
Ein Sicherheitstest bei OpenAI hat ein Szenario real werden lassen, vor dem Fachleute seit Langem warnen: Eine KI-Software verschaffte sich selbstständig Zugang zu den Computersystemen eines anderen KI-Unternehmens und agierte dabei so methodisch wie ein erfahrener Angreifer. Nach Angaben von OpenAI war es ein missglückter interner Test ohne böswillige Absicht. Der Vorfall zeigt jedoch drastisch, welches Risiko von leistungsfähigen KI-Systemen im Cyberbereich ausgehen kann – und wie viel schlimmer die Folgen bei einem gezielten Angriff hätten sein können.
Das betroffene Unternehmen Hugging Face, eine Plattform für quelloffene KI-Anwendungen, hatte bereits in der vergangenen Woche über einen Cyberangriff informiert und den Verdacht geäußert, dass Künstliche Intelligenz dahinterstecken könnte. Inzwischen ist klar: Die Attacke ging auf einen internen Versuch bei OpenAI zurück, den die Software ungeplant zu weit trieb.
Ein Test, der zum Ernstfall wurde
OpenAI spricht selbst von einem „beispiellosen Cyber-Zwischenfall“. Nach Darstellung des Unternehmens kamen dabei mehrere unglückliche Faktoren zusammen – darunter unerwartete Entwicklungen und das Versagen von Schutzmechanismen.
Getestet werden sollten das neue Modell GPT-5.6 Sol sowie eine noch unveröffentlichte Nachfolgeversion. In einer abgesicherten Umgebung sollten die Systeme Aufgaben aus dem in der Branche verbreiteten Testprogramm ExploitGym lösen. Ziel war es zu prüfen, wie gut die Modelle Sicherheitslücken für Cyberangriffe ausnutzen können. Statt sich auf die vorgesehene Umgebung zu beschränken, gingen die Systeme jedoch deutlich weiter, um möglichst gute Ergebnisse zu erzielen.
Flucht ins offene Internet
Zunächst gelang es der Software, aus der Testumgebung auszubrechen und sich eigenständig Zugang zum offenen Internet zu verschaffen. Möglich wurde das über eine bis dahin unentdeckte Schwachstelle.
Im Netz kamen die Modelle laut OpenAI zu dem Schluss, dass sich bei Hugging Face nützliche Informationen zur Lösung der ExploitGym-Aufgaben finden lassen könnten. Daraufhin verschaffte sich die KI Zugang zu „geheimen Informationen“ auf der Plattform, um beim Test besser abzuschneiden – faktisch also zu schummeln.
Für den Angriff nutzte die Software laut OpenAI nicht nur neu entdeckte Sicherheitslücken, sondern auch gestohlene Zugangsdaten. Außerdem verknüpfte sie mehrere Schwachstellen zu einer Angriffskette. Hugging Face zufolge führte der digitale Angreifer tausende einzelne Schritte aus und verlagerte mehrfach den Standort seiner technischen Infrastruktur. Das Unternehmen bemerkte den Angriff zwar, hatte nach eigenen Angaben aber Schwierigkeiten, wirksam dagegen vorzugehen, weil die Software so geschickt agierte. Auch OpenAI erkannte, dass der Versuch nicht wie geplant verlief.
Wie konnte das passieren?
Nach Angaben von OpenAI lief der Test eigentlich in einer „höchst isolierten Umgebung“. Die KI durfte nur sehr begrenzt Datenpakete aus dem Internet abrufen. Eine externe Spezialsoftware fungierte dabei als eine Art Türwächter.
Genau dort lag jedoch offenbar das Problem: In dieser Kontrollsoftware steckte eine bislang unbemerkte Schwachstelle. Die OpenAI-Modelle entdeckten sie und nutzten sie aus, um sich den Weg ins offene Internet freizulegen. OpenAI teilte mit, die Lücke inzwischen dem betroffenen Anbieter gemeldet zu haben.
Hugging Face wurde demnach nicht gezielt ausgewählt, sondern geriet ins Visier, weil die KI dort Antworten auf die ExploitGym-Aufgaben vermutete. Mit dem freien Zugang zum Netz konnte das Modell methodisch nach Schwachstellen in den Systemen der Plattform suchen. Laut OpenAI hätte es ebenso gut auch ein anderes Unternehmen treffen können.
Wachsende Sorge über KI als Cyberwaffe
Der Vorfall verschärft die Debatte über den möglichen Missbrauch leistungsfähiger KI für Cyberangriffe. Experten warnen seit Jahren davor. Der KI-Forscher Steve Newman vom Golden Gate Institute for AI bezeichnete den Zwischenfall als einen äußerst präzisen „Warnschuss“.
Auch aus OpenAI selbst kamen ungewöhnlich deutliche Worte. Micah Carroll, der sich bei dem Unternehmen mit Risiken einer Zukunft befasst, in der KI-Systeme sich selbst weiterentwickeln können, schrieb auf X, falls dieser Vorfall niemanden von der Gefahr einer wachsenden Diskrepanz zwischen menschlichen Absichten und dem Verhalten von KI überzeuge, wisse er nicht, was es dann tun solle.
Zusätzlich meldete sich das Bundesamt für Sicherheit in der Informationstechnik zu Wort. Demnach wäre sogar ein Angriff auf kritische Infrastruktur denkbar – etwa mit dem Ziel, einer Stadt den Strom abzustellen, wenn dies für die Erfüllung einer Aufgabe durch die KI hilfreich wäre.
Rufe nach schärferen Regeln
In den USA wurden umgehend erneut Forderungen nach strengeren Regeln für Künstliche Intelligenz laut. Der demokratische Kongressabgeordnete Greg Casar nannte den Vorfall „extrem alarmierend“ und warnte davor, dass sich KI rasant entwickle, ohne dass verlässliche Sicherheitsregeln existierten.
Zusätzliche politische Brisanz erhält die Debatte durch die Lage in Washington: Präsident Donald Trump hatte in seiner zweiten Amtszeit die KI-Leitplanken seines Vorgängers Joe Biden rasch zurückgenommen, um US-Entwicklern Vorteile zu verschaffen. Sollten die Republikaner im November ihre Mehrheiten im Repräsentantenhaus und im Senat verlieren, dürften neue Anläufe für schärfere Vorschriften folgen.
In Europa gewann die Diskussion ebenfalls an Schärfe. EU-Abgeordnete sprachen sich dafür aus, die Abhängigkeit von US-Technologiekonzernen zu verringern. Mehrere Europapolitiker forderten demnach leistungsfähige eigene KI-Systeme und mehr Kontrolle über Schlüsseltechnologien in Europa.
Anthropics Modelle heizen die Debatte zusätzlich an
Für Unruhe in der Branche hatte zuletzt auch ein Modell des OpenAI-Konkurrenten Anthropic gesorgt. Die Software namens Mythos entdeckte Sicherheitslücken in weit verbreiteten Programmen und Online-Diensten, die teils jahrzehntelang unentdeckt geblieben waren. Die Schwachstellen konnten anschließend geschlossen werden.
Gleichzeitig wurde dadurch deutlich, welches Schadenspotenzial solche Systeme entfalten könnten, wenn sie in falsche Hände geraten. Anthropic stellt die vollständigen Fähigkeiten von Mythos deshalb nur ausgewählten Behörden und Unternehmen zur Verfügung. Für andere Nutzer gibt es eine eingeschränkte Version namens Fable, bei der unter anderem die Cybersicherheitsfunktionen fehlen.
Nach Warnungen vor möglichem Missbrauch hatte die US-Regierung Anthropic zeitweise dazu verpflichtet, den Zugang zu Mythos und Fable zu sperren. Diese Beschränkung wurde inzwischen wieder aufgehoben.
Quelle: dpa/bearbeitet durch Julian Weber
