Alles nur Marketing? 328 heise-Kommentare zu KI-Cyberangriffen

Binnen zwei Wochen haben OpenAI und Anthropic eingeräumt, dass ihre Modelle bei Sicherheitstests in Systeme echter Firmen eingedrungen sind. heise online berichtete über beide Fälle, der Leiter von heise Security ordnete den ersten als mutmaßlichen Marketing-Gag ein, und in den Foren liefen 328 Kommentare auf. Ich habe sie alle auswerten lassen und die zentralen Stellen selbst nachgeprüft. Der auffälligste Befund: Kaum jemand bestreitet noch, was die Modelle können — gestritten wird darüber, ob man den Berichten glauben darf.

Was passiert ist

Ein OpenAI-Modell sollte in einer abgeschotteten Testumgebung Sicherheitslücken aufspüren. Es fand einen Weg ins offene Internet und drang in Server der KI-Firma Hugging Face ein, über Schwachstellen, die bis dahin niemand kannte (sogenannte Zero-Days). Anthropic prüfte nach diesem Vorfall 141.000 eigene Testläufe nach und fand drei eigene Fälle: Claude Opus 4.7 verwechselte eine fiktive Zielfirma mit einem gleichnamigen echten Unternehmen, verschaffte sich in vier Durchläufen unter anderem Datenbankzugriff und brach auch dann nicht ab, als es die Verwechslung bemerkte. Ein zweites Modell legte selbstgeschriebene Angriffssoftware auf einer öffentlichen Download-Plattform ab; eine IT-Sicherheitsfirma installierte sie, das Modell hatte damit Zugriff auf deren Infrastruktur. Nur im dritten Fall stoppte das Modell von selbst. Alle Angaben stammen aus den Selbstberichten der Firmen — dazu gleich mehr.

Jürgen Schmidt, Leiter von heise Security, hält die OpenAI-Geschichte für zu passend, um wahr zu sein: Anthropic habe mit dem Etikett „gefährlich" die öffentliche Wahrnehmung gewonnen, OpenAI habe nachziehen müssen. Sein Kommentar endet mit der Einschätzung, das Problem sei „nicht, dass KI zu gefährlich oder gar unbeherrschbar wäre", sondern die Prioritäten der Konzerne.

Was die Foren daraus machen

Die Mehrheit beider Foren folgt Schmidt und verschärft: PR-Stunt, Börsen-Show, „erfundene Märchen". Der bestbewertete Beitrag unter dem Anthropic-Artikel (88 % positive Bewertungen) erklärt die Selbstanzeige zum Zugzwang im Hype-Wettrennen. Wer dagegenhält, zahlt dafür. Die Antwort eines Nutzers, Anthropic schaffe immerhin Transparenz, bevor andere es tun, steht bei −70 %. Ein Nutzer, der sich als Mozilla-Sicherheitsentwickler zu erkennen gibt, berichtet aus der Arbeit an der Firefox-Härtung: Mit den aktuellen Modellen habe man hunderte kritische Fehler gefunden, eine Größenordnung mehr als mit der Vorgängergeneration. Die Rückfrage aus dem Forum: ob er sich das ausdenke.

Aus der Redaktion beteiligte sich Schmidt genau einmal an der Diskussion, zu einer Formulierungsfrage. Der fachlich stärkste Einwand blieb ohne Antwort: Dass eine einzige unentdeckte Lücke zum Ausbruch reicht, gehöre zum Normalzustand der IT-Sicherheit, und die eigentliche Nachricht sei, dass aktuelle Modelle solche Lücken selbstständig finden und verketten.

Die Verteidigungslinie wandert

2023 war in denselben Foren zu lesen, Sprachmodelle seien bessere Autovervollständigung und könnten keinen brauchbaren Code schreiben. Diese Position ist fast verschwunden. Heute zweifelt man am Autonomiegrad der Vorfälle und an der Echtheit der Berichte. Wer seine Verteidigungslinie so weit zurückverlegt, hat die vorherige Stellung geräumt, ohne es auszusprechen. Und die Geschwindigkeit, mit der die Modelle besser werden, kommt in beiden Foren praktisch nicht vor: Diskutiert wird der Stand von heute, als bliebe er stehen.

Warum eine Fachcommunity abwinkt

Als Psychologe sehe ich drei Mechanismen ineinandergreifen.

Der erste ist eine gelernte Heuristik. Blockchain, NFTs, Metaverse: Wer bei Tech-Hypes „nur Marketing" sagte, lag fast immer richtig und stand hinterher gut da. Skepsis hat in dieser Community nie etwas gekostet, Leichtgläubigkeit oft. Die Heuristik feuert jetzt wieder, nur trifft sie diesmal auf eine Technologie, deren Fähigkeitskurve tatsächlich steigt.

Der zweite ist Identitätsschutz. Für IT-Profis entwertet ein Modell, das eigenständig Schwachstellen findet, ein Stück der eigenen Expertise. Zugleich kratzt es am Selbstbild dessen, der auf Hype nicht hereinfällt. „Alles inszeniert" erledigt beides in einem Zug: Die Bedrohung ist keine, und man selbst bleibt der Durchblicker.

Der dritte ist die Abstimmungsmechanik. Forum-Bewertungen sind ein Zugehörigkeitssignal. In einem Thread mit etabliertem Konsens stört der abweichende Fachbeitrag den gemeinsamen Spott, und frühe Bewertungen setzen die Richtung für alle späteren.

Ein wahrer Kern bleibt: Die Gefährlichkeits-Rhetorik der KI-Firmen dient auch dem Einwerben von Kapital, Selbstberichte sind interessengeleitet, unabhängige Untersuchungen fehlen. Bis hierhin ist die Skepsis berechtigt. Der Fehlschluss beginnt dort, wo aus Misstrauen gegen den Boten Entwarnung bei der Sache wird.

Worum es geht

Die Wissenschaftsjournalistin Eva Wolfangel beschreibt ein verbreitetes Missverständnis: Viele suchen die Gefahr in einem erwachenden Bewusstsein der Maschinen. Die dokumentierten Vorfälle brauchen davon nichts. Ein Sprachmodell mit Werkzeugzugriff, das Schwachstellen findet, Angriffscode schreibt und sich von System zu System weiterhangelt, richtet Schaden an, ohne irgendetwas zu „wollen". Sicherheitsforscher wie Thorsten Holz vom Max-Planck-Institut für Sicherheit und Privatsphäre ordnen die Lage ähnlich ein: Gefährlich ist, was die Systeme heute schon können.

Wie schief das Kräfteverhältnis bereits ist, zeigt ein Detail aus dem Hugging-Face-Vorfall. Die Verteidiger wollten für die Analyse der Angriffe selbst KI-Modelle nutzen und wurden von den Sicherheitsfiltern der Anbieter blockiert, weil die einen Verteidiger nicht von einem Angreifer unterscheiden können. Die Angriffsseite skaliert; die Verteidigungsseite scheitert an den eigenen Leitplanken.

Man kann den KI-Konzernen ihr Sicherheitstheater vorhalten und zugleich ernst nehmen, was ihre Modelle nachweislich tun. Erst beides zusammen ist informierte Skepsis — die Foren liefern bisher nur die erste Hälfte.

Quellen

• Kommentar: OpenAI – KI-Sicherheit nur ein Marketing-Gag? — Jürgen Schmidt, heise online, 22.07.2026
• KI-Attacke: Auch Anthropic-Modelle griffen echte Unternehmen an — dpa/heise online, 31.07.2026
• Forum zum Schmidt-Kommentar (181 Beiträge) und Forum zum Anthropic-Artikel (147 Beiträge)
• Eva Wolfangel im Podcast — Folge wird nachgetragen
• Thorsten Holz im Deutschlandfunk (22.07.2026) — Link wird nachgetragen

Anmerkung: Die 328 Forumsbeiträge wurden KI-gestützt ausgewertet (Claude); die genannten Bewertungszahlen (88 %, −70 %) haben wir am 31. Juli 2026 direkt im Forum nachgeprüft.