Der Entfesselungskünstler Houdini war bekannt dafür, sich aus den schier unmöglichsten Situationen befreien zu können. In zwei aktuellen Beispielen haben nun KI-Programme das gleiche Talent gezeigt. Doch während Houdini für seine Aktionen Applaus und Bewunderung bekam, ist bei der sich selbst entfesselnden KI mehr Mahnung und Warnung angebracht.
Praxis-Info!
Mitte Juli 2026 veröffentlichte das amerikanische KI-Unternehmen OpenAI (u.a. ChatGPT) einen Bericht über einen Zwischenfall bei der KI-Entwicklung. Eine Kombination aus verschiedenen, teilweise noch nicht veröffentlichten KI-Modellen wurde auf ihre Fähigkeiten in Bezug auf Cyber-Attacken getestet. Dies geschah in einem isolierten Testnetzwerk. Der KI gelang es jedoch, einige bisher nicht bekannte Programmschwächen (Zero Day exploits) zu nutzen und aus dem isolierten Umfeld ins Internet auszubrechen. Im Anschluss infiltrierte die KI die Plattform Hugging Face, eine populäre Plattform und Community für KI und maschinelles Lernen. Nachdem Hugging Face die Infiltration bemerkte und OpenAI informierte, wurden entsprechende Gegenmaßnahmen eingeleitet.
Durch den Zwischenfall alarmiert, begann das KI-Unternehmen Anthropic (u.a. Claude) eine interne Untersuchung zum eigenen KI-Testumfeld. Dabei wurden drei Fälle von „entflohener KI“ festgestellt. Der im Vergleich zu OpenAI deutlich umfangreichere Bericht hierzu wurde letzte Woche veröffentlicht.
In allen drei Fällen wurde Claude mit einer sogenannten Capture-the-Flag-Aufgabe betraut, einer der Methoden, um die Cyberfähigkeiten eines Modells zu bewerten. Das Modell erhält dabei ein fiktives Szenario und die Information, dass eine geheime Information – die sogenannte „Flag“ (wörtlich: Flagge) – auf einem anderen Rechner im Netzwerk versteckt wurde. Die Aufgabe besteht darin, in diesen Rechner einzudringen und die Information abzurufen. Die Aufgabe ist offen gestaltet; es wird keine bestimmte Vorgehensweise vorgeschrieben. Auch hier sollten die Tests in einem isolierten Testumfeld stattfinden. Aufgrund eines Konfigurationsfehlers bestand im Testumfeld jedoch nach wie vor ein Internetzugang. Die KI betrachtete das Internet daher als Teil des Testumfelds.
In einem Fall war der Name der Zielfirma im Testszenario identisch mit dem Namen einer realen Firma. Nachdem sie ins Internet gelangt war, sah die KI daher die reale Firma als das Angriffsziel an. Die KI identifizierte mehrere Schwächen im Cyberschutz des Unternehmens und nutzte diese aus, um das Netzwerk zu infizieren. Dabei wurden Nutzerinformationen sowie Informationen aus Datenbanken abgezogen. Das Unternehmen bemerkte den Angriff nicht.
In einem anderen Fall programmierte die KI ein Python-Update (Programmiersprache, die Verbesserungen, neue Funktionen, Fehlerbehebungen oder Sicherheitsupdates enthält) mit einer Hintertür, welches es auf einer entsprechenden Webseite veröffentlichte. Hierzu musste die KI unter anderem eine eigene E-Mail-Adresse kreieren und registrieren. Das Python-update wurde 15-mal heruntergeladen und installiert, was einen KI-Zugang zu den Unternehmen verschaffte.
Im dritten Fall wurden eine weitere Firma durch einfache Cyberattacken infiltriert.
In allen Fällen bemerkte die KI nach einer Weile, dass sie sich entgegen den Anweisungen im freien Internet befand. Aber nur das im dritten Fall verwendete und neueste Modell von Anthropic beendete daraufhin die Angriffe.
Die beiden Fälle von OpenAI und Anthropic zeigen, dass es wie in Goethes „Zauberlehrling“ nicht immer einfach ist, die Geister, die man rief, zu bändigen. Unternehmen die intern KI-Anwendungen entwickeln, sollten dies als Warnung sehen. Der Fall mahnt aber auch zu erhöhten Anstrengungen zur Cybersicherheit an. Wie zu sehen, brauchen kriminelle Elemente keine tiefgreifenden Computerkenntnisse. Ein einfacher Prompt ist ausreichend, um einen KI-Angriff in Gang zu setzen.
Christian Thurow, Dipl.-Betriebsw. (BA), Senior Risk Manager, London (E-Mail: c.thurow@thurow.co.uk)
BC 9/2026
BC20260910