Man kann längst nicht mehr von Einzelfällen sprechen. Immer öfter attackieren neue KI-Modelle noch während ihrer Testphase andere Systeme – "autonomes Hacking" ist der Fachausdruck dafür. Hersteller, Nutzer und Rechtssysteme sind darauf nicht vorbereitet.
Eine außer Kontrolle geratene künstliche Intelligenz mag noch als unglücklicher Einzelfall erscheinen. Zwei solche Vorfälle wirken bereits wie Fahrlässigkeit. Vier lassen den Verdacht aufkommen, dass das Problem tiefer liegt – womöglich bei der Technologie selbst.
Und das sind nur die in den vergangenen Wochen bekannt gewordenen Fälle. Wie es dazu kommen konnte – und was Experten vorschlagen, um das Problem in den Griff zu bekommen.
Am 21. Juli teilte das US-Unternehmen OpenAI mit, eines seiner noch nicht veröffentlichten Modelle habe während eines abgeschotteten Sicherheitstests die Testumgebung verlassen und anschließend eine Serie von Angriffen auf Hugging Face, einen franko-amerikanischen Anbieter von KI-Infrastruktur, gestartet. Eine Woche später räumte auch der Konkurrent Anthropic ähnliche Vorfälle ein: In sechs Fällen hätten seine Modelle unbeteiligte Dritte angegriffen.
Zyniker werteten die Warnungen beider Unternehmen als PR-Manöver. Doch kaum ein Unternehmen sucht Aufmerksamkeit, indem es zunächst einen Cyberangriff auslöst, diesen verschweigt, bis das Opfer an die Öffentlichkeit geht, und anschließend darauf hofft, dass ein Wettbewerber freiwillig Vergleichbares einräumt. Zudem meldete inzwischen auch das britische AI Security Institute (AISI), eine staatliche Prüfstelle, dass es dasselbe Verhalten beobachtet habe.
In einem am 4. August veröffentlichten Bericht erklärte das AISI, bei der Sicherheitsbewertung der jüngsten Modelle von OpenAI und Anthropic seien insgesamt 19 Angriffe auf Personen und Organisationen registriert worden, die an den Tests nicht beteiligt waren. Im schwerwiegendsten Fall versuchte ein Modell, ein nicht näher benanntes Open-Source-Projekt zu kompromittieren – Bestandteil eines sogenannten Supply-Chain-Angriffs auf das fiktive Angriffsziel der Testaufgabe.
Am 6. August teilte schließlich auch Meta mit, eines seiner Modelle habe sich in internen Tests ähnlich verhalten.
Die Einzelheiten unterscheiden sich. Das System von OpenAI hätte eigentlich vollständig vom Internet isoliert sein sollen. Seine Angriffstour begann, nachdem es eine bis dahin unbekannte Schwachstelle ausgenutzt hatte, um aus seiner virtuellen Sandbox ins öffentliche Internet auszubrechen.
Auch Anthropics Modell sollte vergleichbaren Beschränkungen unterliegen; aufgrund menschlichen Versagens war dies jedoch nicht der Fall. Das AISI gewährt seinen Testsystemen grundsätzlich Internetzugang.
Neu war für die Behörde allerdings, dass Modelle bereit waren, Kollateralschäden in Kauf zu nehmen, um ihr Ziel zu erreichen. Meta nannte bislang nur wenige Details und kündigte weitere Informationen an.
Die Vorfälle markieren eine neue Kategorie von KI-Risiken. Bislang richteten sich die Sorgen im Bereich der Cybersicherheit – etwa jene, die Anthropic bei der Einführung seines leistungsfähigen Mythos-Modells im April äußerte – vor allem auf den Missbrauch leistungsfähiger KI durch Menschen.
Aus diesen Befürchtungen speisen sich zahlreiche Regulierungsvorschläge. Die jüngste Serie autonomer Hackerangriffe, bei denen sich der menschliche Beitrag auf die Eingabe eines Prompts beschränkt, legt jedoch nahe, dass diese Konzepte zu kurz greifen.
Ein Beispiel ist der Vorschlag zur Selbstregulierung, den Demis Hassabis am 14. Juli vorstellte. Der damalige Chef von Google DeepMind – der am 5. August ankündigte, den Vorstandsvorsitz abzugeben und künftig als Chairman von DeepMind sowie als Chief Scientist des Google-Mutterkonzerns Alphabet zu wirken – plädierte dafür, dass die Labore ihre Modelle selbst testen und Veröffentlichungen so lange zurückhalten, bis deren Sicherheit nachgewiesen ist. Ähnliche Konzepte haben auch OpenAI-Chef Sam Altman und Anthropic-Gründer Dario Amodei vorgeschlagen.
Der Grundgedanke überzeugt. KI-Labore sollten offenlegen, nach welchen Sicherheitsmaßstäben sie ihre Modelle prüfen, und sicherstellen, dass externe Prüfer diese Standards einhalten. Das autonome Hacking zeigt jedoch, dass Modelle bereits gefährlich sein können, bevor sie überhaupt öffentlich zugänglich sind. Alle bekannten Vorfälle ereigneten sich ausgerechnet während jener Sicherheitsprüfungen, die Hassabis als Lösung vorgeschlagen hatte.
Zugleich werfen sie schwierige haftungsrechtliche Fragen auf. Ein Hackerangriff ist strafbar – sofern ihn ein Mensch begeht. Handelt dagegen eine KI eigenständig, wird unklar, wem das Verhalten rechtlich zugerechnet werden kann.
Das amerikanische Strafrecht knüpft grundsätzlich an vorsätzliches Handeln an, erläutert Rune Kvist, Leiter der Artificial Intelligence Underwriting Company, die KI-Unternehmen versichert. Wenn kein Mensch einen Angriff beabsichtigt hat, könnte juristisch womöglich gar keine Straftat vorliegen. Auch Schadensersatzansprüche stoßen an Grenzen. Dennoch ist offenkundig ein Schaden entstanden. Dieser Widerspruch sei "nicht hinnehmbar", sagt Kvist.
Gabe Weil vom Institute for Law and AI in Massachusetts plädiert deshalb für eine Gefährdungshaftung. Nach dem Vorbild der Regeln für das Halten wilder Tiere würde die Verantwortung unabhängig von einem Verschulden stets denjenigen treffen, der die riskante Tätigkeit ausübt.
Auch die Branche selbst fordert inzwischen mehr Rechtssicherheit. In einem offenen Brief von Beschäftigten mehrerer großer KI-Labore – unterzeichnet u. a. von Dario Amodei – wird die US-Regierung aufgefordert, mit der Dynamik der KI-Entwicklung Schritt zu halten.
Doch der Staat arbeitet im Takt politischer Verfahren, nicht im Tempo technologischer Innovation. Ein Treffen im Weißen Haus, bei dem in dieser Woche über Verfahren zur Bewertung leistungsfähiger KI-Modelle beraten wurde, endete ohne öffentliche Zusagen und ohne erkennbare Fortschritte.
© 2026 The Economist Newspaper Limited. All rights reserved."
"From The Economist, translated by www.deepl.com, published under licence. The original article, in English, can be found on www.economist.com"
