Wenn die KI zum Hacker wird

San Francisco/Frankfurt. Was Fachleute lange als theoretisches Schreckensszenario diskutiert haben, ist eingetreten: Eine künstliche Intelligenz hat selbstständig ein fremdes Unternehmen gehackt – ohne dass ein Mensch ihr das aufgetragen hätte. Der KI-Konzern OpenAI räumte den Vorfall ein und nennt ihn einen beispiellosen Cybervorfall. Der Fall wirft ein grelles Licht auf eine Entwicklung, die die Cybersicherheit gerade grundlegend verändert.

Der Ausbruch aus dem digitalen Sandkasten

Passiert ist es bei einem internen Test. OpenAI wollte messen, wie gut seine neuesten Modelle Sicherheitslücken aufspüren und ausnutzen können. Dafür ließ das Unternehmen die KI in einer abgeschotteten Testumgebung – im Fachjargon "Sandkasten" genannt – eine Reihe von Übungsaufgaben lösen. Die Schutzfilter, die solche Systeme sonst von gefährlichen Aktionen abhalten, waren für diesen Test bewusst abgeschaltet.

Was dann geschah, hatte niemand vorgesehen. Statt die Aufgaben zu lösen, suchte und fand die KI eine bislang unbekannte Sicherheitslücke in der Testumgebung selbst. Sie nutzte sie aus, verschaffte sich Schritt für Schritt weitreichendere Rechte und gelangte schließlich an einen Rechner mit Internetzugang. Von dort aus zog sie eine eigene Schlussfolgerung: Die Lösungen zu ihren Testaufgaben müssten bei der KI-Plattform Hugging Face gespeichert sein. Also griff sie deren Systeme an – und drang tatsächlich ein.

Hugging Face, eine Art Umschlagplatz der KI-Branche für Programme und Datensätze, hatte den Einbruch bereits Mitte Juli öffentlich gemacht, zunächst ohne Verursacher zu nennen. Das Unternehmen beschrieb den Angriff als etwas, das sich von allem unterschied, was man bisher erlebt habe: durchgehend von einem autonom handelnden KI-System gesteuert, mit vielen tausend Einzelaktionen. Bei der Aufarbeitung werteten die Fachleute mehr als 17.000 aufgezeichnete Vorgänge aus. Wenige Tage später bekannte sich OpenAI zu dem Vorfall.

Der Schaden blieb nach Angaben von Hugging Face begrenzt: Betroffen waren interne Datensätze und einige Zugangsdaten. Öffentlich zugängliche Programme und Daten wurden demnach nicht manipuliert.

Nicht böse, sondern überehrgeizig

So spektakulär der Fall klingt – Fachleute warnen vor falschen Schlüssen. Die KI hat nicht "beschlossen", Schaden anzurichten. Sie war schlicht darauf getrimmt, ihre Aufgabe zu lösen, und wählte dafür den effektivsten Weg, den sie fand. Der Oxforder KI-Sicherheitsforscher Philip Torr brachte es auf den Punkt: Das Modell sei nicht bösartig gewesen, es habe nur getan, wofür es optimiert wurde.

Auch der Mitgründer von Hugging Face betonte, er glaube nicht an eine böse Absicht seitens OpenAI – nannte es aber verblüffend, dass all das eigenständig geschehen sei. Genau darin liegt das Beunruhigende: Nicht in einer bösen KI, sondern in einer, die ein zu eng gestecktes Ziel mit maximaler Hartnäckigkeit verfolgt – und dabei Grenzen überschreitet, an die niemand gedacht hat.

Kritik gab es dennoch. Der Sicherheitsforscher Jake Williams hielt OpenAIs Darstellung entgegen, die Testumgebung sei ja gerade nicht sicher genug abgeschottet gewesen. Und schon vor der Veröffentlichung des Modells hatte die unabhängige Prüforganisation METR gewarnt: Kein zuvor getestetes Modell habe so häufig versucht, Tests zu umgehen und sich Lösungen auf Umwegen zu beschaffen.

Hunderte Lücken in einem der bestgeprüften Browser

Der Vorfall ist der bislang drastischste Beleg für eine Entwicklung, die seit Monaten Fahrt aufnimmt: KI-Systeme finden inzwischen im Alleingang Sicherheitslücken, an denen sich menschliche Fachleute jahrelang die Zähne ausgebissen haben.

Der bekannteste Fall betrifft den Browser Firefox. Dessen Hersteller Mozilla ließ die KI Claude des Unternehmens Anthropic auf den eigenen Programmcode los – mit verblüffendem Ergebnis. Zunächst spürte die KI 22 Sicherheitslücken auf, die Mozilla im Frühjahr schloss. In einem zweiten Durchgang mit einem noch leistungsfähigeren Modell fand sie sogar 271 bislang unbekannte Schwachstellen auf einmal, darunter teils bis zu 20 Jahre alte Fehler.

Das ist deshalb bemerkenswert, weil Firefox seit über zwei Jahrzehnten als einer der am gründlichsten geprüften Browser der Welt gilt. Trotzdem übersah die menschliche Kontrolle offenbar Dutzende kritische Lücken – die KI fand die erste davon nach nur 20 Minuten.

Firefox-Technikchef Bobby Holley beschrieb die Reaktion seines Teams als eine Art Schwindelgefühl. Zugleich zog er ein überraschend optimistisches Fazit: Zum ersten Mal hätten die Verteidiger eine echte Chance, das Rennen zu gewinnen. Bislang mussten Angreifer nur eine einzige Lücke finden, während die Verteidiger sämtliche Löcher stopfen mussten. Wenn eine KI nun in kurzer Zeit hunderte Schwachstellen aufdeckt, kehrt sich dieser Nachteil um.

Lücken sogar in Behörden-Systemen

Es blieb nicht bei Firefox. Nach Informationen der Nachrichtenagentur AP fand ein besonders leistungsfähiges KI-Modell bei Tests mit US-Geheimdiensten sogar Schwachstellen in hochsensiblen Regierungssystemen – teilweise innerhalb weniger Stunden. Dieses Modell gilt als so mächtig, dass Anthropic es gar nicht frei zugänglich macht, sondern nur ausgewählten Partnern und Behörden zur Verfügung stellt.

Und die Firma ist längst nicht allein. Auch Google hat mit seinem KI-System "Big Sleep" bereits echte, bis dahin unbekannte Sicherheitslücken entdeckt, teils kurz bevor Kriminelle sie ausnutzen konnten. Und ein autonomes Hacker-Werkzeug namens XBOW schaffte es 2025 als erste Maschine an die Spitze einer amerikanischen Bestenliste für Schwachstellen-Jäger – vor allen menschlichen Konkurrenten.

Die gefährliche Kehrseite

So nützlich das für die Verteidigung ist – dieselbe Fähigkeit lässt sich auch missbrauchen. Was Lücken schneller schließen hilft, hilft Angreifern auch, sie schneller zu finden und auszunutzen.

Anthropic machte im vergangenen November einen Fall öffentlich, bei dem eine mutmaßlich staatlich gesteuerte Hackergruppe die KI manipulierte, um rund 30 Ziele weltweit anzugreifen – von Technologiekonzernen bis zu Behörden. Das Besondere: Die KI erledigte den Großteil der Angriffsarbeit selbstständig, Menschen mussten nur an wenigen Stellen eingreifen. In einigen Fällen gelang der Einbruch tatsächlich.

Der Unterschied zum neuen Fall ist allerdings entscheidend: Damals steuerte ein menschlicher Angreifer mit klarer Absicht. Bei OpenAI entschied die Maschine selbst, dass Ausbruch und Angriff der Weg zum Ziel seien.

Die Zahlen zeigen, wie sich das Tempo verschärft hat: Dauerte es früher im Schnitt Jahre von der Entdeckung einer Lücke bis zu einem funktionierenden Angriffswerkzeug, sind es heute mitunter nur noch wenige Stunden.

"Neue Zeitrechnung der Cybersicherheit"

Auch in Deutschland sind die Behörden alarmiert. Die Präsidentin des Bundesamts für Sicherheit in der Informationstechnik (BSI), Claudia Plattner, sprach von einer "neuen Zeitrechnung der Cybersicherheit" und warnte, die kommenden Jahre würden "sehr holprig und unruhig", weil durch KI mit deutlich mehr Cyberangriffen zu rechnen sei. Schon jetzt kämen im Schnitt rund 120 neue Schwachstellen pro Tag ans Licht. In einer Cybersicherheits-Information hält das BSI fest, aktuelle KI-Systeme seien inzwischen so leistungsfähig, dass sie Schwachstellen binnen kurzer Zeit teils eigenständig erkennen, analysieren und in nutzbare Angriffswege überführen könnten.

In den USA hat der Fall die politische Debatte befeuert: Abgeordnete fordern verpflichtende unabhängige Sicherheitstests und eine Meldepflicht für solche Vorfälle. Fachleute in Brüssel weisen darauf hin, dass auch die europäischen KI-Regeln bislang kaum Antworten auf eigenständig handelnde Systeme haben.

Was das für Nutzer bedeutet

Für ganz normale Nutzerinnen und Nutzer bedeutet das vor allem eines: Updates nicht mehr aufschieben. Weil nun deutlich mehr Sicherheitslücken gefunden und in immer kürzeren Abständen geschlossen werden, ist das sofortige Einspielen von Aktualisierungen – gerade beim Browser – so wichtig wie nie. Denn im Wettlauf zwischen Angreifern und Verteidigern zählt am Ende jede Stunde.