San Francisco (USA) – Es klingt wie der Anfang eines Science-Fiction-Films: Ein mächtiger Tech-Konzern sperrt seine neueste KI in eine Testumgebung. Die Maschine soll selbstständig Sicherheitslücken finden, Angriffe planen und immer neue Wege ausprobieren. Aber dann geht sie weiter, als sie soll.
Die KI entdeckt eine bislang unbekannte Schwachstelle in einem Programm, mit dem sie Software laden darf. Sie nutzt die Lücke, verschafft sich mehr Rechte und arbeitet sich durch weitere Rechner von OpenAI. Bis sie das offene Internet erreicht. Die KI sprengt ihre Ketten!
3 KI-Modelle schlagen gemeinsam zu
Ihr Ziel wird Hugging Face, eine der wichtigsten Plattformen der KI-Branche. Hugging Face ist eine Art zentraler Marktplatz und Werkzeugkasten für KI-Entwickler. Unternehmen und Forscher stellen dort Modelle, Datensätze und Programme bereit, die weltweit millionenfach genutzt werden. Dort schleust das System einen manipulierten Datensatz ein, erbeutet Zugangsdaten und dringt in interne Bereiche vor. Beteiligt sind drei OpenAI-Modelle. Sie verbinden gestohlene Zugänge mit neu entdeckten Schwachstellen und setzen mehrere Angriffswege zu einer Kette zusammen.
In wenigen Stunden schaffen sie, wofür ein erfahrener Hacker wahrscheinlich Wochen gebraucht hätte. Über Stunden bleiben sie offenbar unentdeckt. Später müssen Ermittler mehr als 17.000 Spuren auswerten. Hugging Face spricht von Zehntausenden automatisierten Aktionen.
Doch warum greift die KI eine echte Firma an?
OpenAI zufolge gehen die Modelle „extreme Wege“, um ein „eher enges Testziel“ zu erreichen. Offenbar wittern die KI-Modelle bei Hugging Face Informationen, die ihnen weiterhelfen. Die Maschinen wollen nicht fliehen. Sie wollen an die Lösung. Genau das macht den Fall so beunruhigend: Alles zwischen ihnen und dem Ziel wird zum Hindernis – selbst die Grenze der Testumgebung oder die Sicherheitssysteme einer fremden Firma.
Der kanadische Informatiker und KI-Pionier Yoshua Bengio spricht von einem „Weckruf“, der amerikanische Forscher und Autor Nate Soares, der seit Jahren vor einer den Menschen überlegenen „Superintelligenz“ warnt, von einem „Warnschuss“. Denn der Vorfall steht nicht allein. Schon zuvor suchte eine OpenAI-KI 1 Stunde lang nach einem Weg ins Internet, obwohl sie ein Ergebnis nur intern melden sollte. Eine andere zerlegte einen blockierten digitalen Schlüssel und setzte ihn später wieder zusammen – ausdrücklich, um die Kontrolle zu umgehen.
Die Branche fürchtet den Kontrollverlust
Der KI-Konkurrent Anthropic erlebte Ähnliches. Seine Hacker-KI Mythos sollte aus einer abgeschotteten Umgebung ausbrechen. Sie schaffte es – und entwickelte danach selbstständig weitere Schritte zum offenen Internet. Anthropic nannte dies „ziemlich besorgniserregend“ und gibt die vollen Fähigkeiten nur ausgewählten Behörden und Unternehmen. OpenAI erklärt bis heute nicht, wann der Angriff bemerkt wurde und warum niemand früher eingriff.
OpenAI kann allerdings davon profitieren, wenn seine Modelle möglichst mächtig wirken. Der Meta-Forscher Taco Cohen nennt den Vorfall eine „exzellente Panik-Werbung“. Aus einem schweren Sicherheitsversagen wird so zugleich eine Leistungsschau. OpenAI wollte testen, wie gefährlich seine Maschinen werden können. Die Antwort: Sie bewegten sich am Ende stundenlang durch die Rechner einer fremden Firma.
