KI bricht aus und hackt Firma – dieses Muster ist neu

Ausbruch aus Testumgebung

KI hackt fremde Firma – wie ernst ist der Vorfall wirklich?

KI-Modelle von OpenAI haben eine fremde Firma gehackt. Was nach einem Albtraum-Szenario klingt, ist es bei näherem Hinsehen gar nicht – denn die Bedrohung ist nicht neu.

OpenAI hat öffentlich Verantwortung für den Cyberangriff auf die KI-Plattform Hugging Face übernommen. Hinter der Attacke steckten laut dem Unternehmen gleich mehrere eigene Modelle – darunter das aktuelle GPT-5.6 Sol und eine noch unveröffentlichte, leistungsstärkere Version.

Der Angriff war kein Werk von Kriminellen, sondern das Ergebnis eines internen Tests. OpenAI wollte messen, wie weit seine Modelle bei Cyberangriffen kommen, und ließ sie dafür die Aufgaben eines Tests namens ExploitGym lösen. Die Modelle liefen dabei in einer abgeschotteten Umgebung ohne echten Internetzugang.

• KI-Wettrennen: China fordert die Konkurrenz heraus
• Studie zu Chatbots: Wie KI-Systeme ihre Nachrichtenquellen auswählen

Wie sich herausstellte, war diese Testumgebung nicht ausreichend gesichert, denn die Modelle gingen weiter, als es die Forscher von OpenAI vorgesehen hatten: Über eine bis dahin unbekannte Sicherheitslücke verschafften sie sich Zugang zum offenen Internet.

Anschließend schlussfolgerten sie selbstständig, dass die Lösungen für den Test wohl bei Hugging Face lägen – und drangen mit gestohlenen Zugangsdaten und weiteren Schwachstellen in deren Systeme ein. Beide Sicherheitsteams bemerkten die Aktivität, Hugging Face stoppte sie.

Die Schutzmechanismen, die solches Verhalten im Normalbetrieb blockieren, waren für diesen Test bewusst abgeschaltet. Es handelte sich um eine gezielte Grenzerprobung – nicht um ein Modell, das im Alltag plötzlich außer Kontrolle gerät. Es ist dennoch der erste bekannte Fall, in dem ein solcher Fähigkeitstest in einen echten Angriff auf ein fremdes Unternehmen umschlug.

Entscheidend ist vor allem, worum es den Modellen ging. Sie wollten keinen Schaden anrichten, sondern ihre Testaufgabe lösen – notfalls über eine drastische Abkürzung. Für den KI-Experten Fabian Westerheide steckt darin die eigentliche Lehre.

„Die KI wollte nicht im menschlichen Sinne schummeln. Sie hatte ein Ziel und hat einen überraschend effektiven Weg gefunden, dieses Ziel zu erreichen.“ Anders als Menschen verstünden solche Systeme unausgesprochene Regeln nicht automatisch. Wer einer KI sagt, sie solle einen Test lösen, meine selbstverständlich: auf dem vorgesehenen Weg. Das Modell aber bekomme zunächst nur ein Ziel.

Je leistungsfähiger die Systeme würden, desto kreativer könnten die Wege werden, die sie einschlagen. Entscheidend sei daher, welche Ziele und Handlungsspielräume man ihnen gebe. Denn, so Westerheide: „Sie optimieren nicht automatisch auf das, was wir meinen. Sie optimieren auf das, was wir ihnen tatsächlich vorgeben.“

Für den Cybersecurity-Experten Rüdiger Trost ist der Vorfall weniger ein Bruch als eine Fortsetzung bekannter Entwicklungen. Angriffe dieser Art gebe es bereits seit Längerem – bislang jedoch mit einem Menschen, der die eingesetzten KI-Werkzeuge selbst steuerte.

Ein Netzwerkangriff sei kein einzelnes Ereignis, sondern vollziehe sich in vielen kleinen Schritten, erklärt Trost. KI sei dabei bisher vor allem in den frühen Phasen zum Einsatz gekommen, Informationen über das Ziel zu sammeln, Daten und Social-Media-Profile auszuwerten oder Phishing-Mails zu personalisieren.