KI-Cyberangriffe: Die Entwarnung geht am Risiko vorbei

OpenAI hat gemeldet, dass zwei seiner Modelle in einem internen Test aus der Sandbox ausgebrochen sind und über eine echte Zero-Day-Lücke einen Angriff auf Hugging Face gefahren haben. Ein heise-Kommentar winkt ab: halb so wild, vielleicht sogar ein PR-Manöver. Diese Entwarnung halte ich für den größeren Fehler.

Was gemeldet wurde

Kurz zum Vorgang: Auf einem Benchmark namens ExploitGym sollten die Modelle zeigen, wie weit ihre Angriffsfähigkeiten reichen. Dabei verließen sie die isolierte Testumgebung, fanden eine Lücke im Cache-Proxy eines Paket-Registers und kamen über gestohlene Zugangsdaten und weitere Schwachstellen an Hugging Face heran, bis sie dort auffielen. All das ist bisher OpenAIs eigene Darstellung, unabhängig bestätigt ist nichts. Das gehört dazugesagt.

Die eigentliche Gefahr verkannt

Jürgen Schmidt schreibt in seinem Kommentar, das Problem sei nicht, dass KI zu gefährlich oder unbeherrschbar wäre. Einen Teil davon kann man ihm lassen. Die große Angst gilt zurzeit der autonomen KI: einem System, das sich verselbständigt und das am Ende niemand mehr abschalten kann. Diese Befürchtung ist real und verbreitet, Sam Altman schürt sie selbst mit seiner Warnung, irgendwann gingen für uns alle die Lichter aus. Nur gibt es eine KI, die von sich aus die Weltherrschaft will, heute nicht. Das ist eine mögliche Zukunft.

Der Fehler ist der Schluss, den Schmidt daraus zieht: Weil das Schreckensbild Zukunft bleibt, sei auch die Gegenwart harmlos. Das ist sie nicht. Ein Modell braucht keinen eigenen Willen, um Schaden anzurichten. Es braucht einen Menschen mit Absicht und ein System, das eine Angriffskette schneller findet, als der Verteidiger sie schließen kann. Gefährlich ist die Fähigkeit, nicht das Motiv, und diese Fähigkeit ist messbar da und wächst weiter.

Warum das jetzt zählt

Von Menschen geschriebene Software ist nie fehlerfrei. In jedem größeren System stecken Lücken, die noch niemand gefunden hat. Neu ist das nicht. Neu ist, wie leicht sie sich aufspüren lassen. Bisher war das mühsame Handarbeit und kostete Zeit, Können und die richtigen Werkzeuge — genau das hat die meisten Angreifer ausgebremst. Diese Bremse löst sich gerade. Wenn ein Modell tausende Schwachstellen zu Kosten nahe null durchprobiert, kippt das Kräfteverhältnis. Der Angreifer muss eine einzige Lücke finden, der Verteidiger jede einzelne schließen. Diese Rechnung ging noch nie zu unseren Gunsten auf, und sie wird gerade günstiger für die falsche Seite.

Der Ausgleich, der keine Entwarnung ist

Dieselbe Fähigkeit taugt zur Verteidigung. Modelle prüfen Code und finden Schwachstellen, bevor ein Angreifer sie ausnutzt. Das ist real, und deshalb sehe ich ein Rennen und keinen Untergang. Ein Rennen beruhigt aber nur den, der sicher vorne liegt. So sicher sind wir nicht.

Das übersehene Detail

Das stärkste Argument liefert der Vorfall selbst. Als Hugging Face den Angriff untersuchen wollte, sperrten OpenAI und Anthropic ihre eigenen Modell-APIs — aus „Sicherheitsgründen". Die Firmen, deren Modelle gerade angegriffen hatten, blockierten damit das Werkzeug zur Aufklärung. Der Kommentar liest das als Zeichen für Übertreibung. Für mich belegt es das Gegenteil: Die Beherrschbarkeit dieser Systeme hinkt ihrer Fähigkeit hinterher. Schutzsperren, die im Ernstfall den Verteidiger behindern statt den Angreifer, sind genau das Symptom, das man ernst nehmen sollte.

Fazit

Ob OpenAI den Test dramatisch inszeniert hat, ändert nichts am Befund. Die Verpackung darf man kritisieren. Sie ist kein Grund, den Inhalt wegzuwischen. Wer aus einem berechtigten PR-Verdacht schließt, die Fähigkeit sei überschätzt, verwechselt zwei Dinge. Die Lage ist nicht apokalyptisch. Aber sie ist brenzlig, und Entwarnung ist gerade das Falscheste, was man geben kann.