KI-System bricht aus Testumgebung aus und greift Unternehmen an

Künstliche Intelligenz soll eigentlich helfen, Probleme zu lösen, verkürzt gesagt. Doch ein Vorfall bei OpenAI zeigt jetzt eine andere, problematische Seite der Technologie, vor der viele schon lange warnen: Bei einem Sicherheitstest soll ein KI-System eigenständig aus einer abgeschotteten Umgebung ausgebrochen sein, sich Zugang zum Internet verschafft und anschließend die Infrastruktur eines anderen Unternehmens - es heißt Hugging Face - angegriffen haben. Hugging Face ist eine Plattform zum Austausch von KI-Modellen und Datensätzen.

Die KI entwickelte allerdings kein eigenes kriminelles Ziel. Stattdessen verfolgte sie eine vorgegebene Aufgabe und fand dabei einen Weg, den ihre Entwickler nicht erwartet hatten.

"Das System bewertete einen unerlaubten Weg offenbar als geeignetes Mittel, um das vorgegebene Ziel zu erreichen", sagte Kevin Bauer, Professor für Spieltheoretische und Kausale KI an der Goethe-Universität in Frankfurt im Gespräch mit der ARD-Finanzredaktion. Neu sei dabei nicht ein eigenes Bewusstsein der Maschine, sondern die Fähigkeit, komplexe Angriffsschritte weitgehend selbstständig auszuführen.

System suchte nach "Schummel-Möglichkeiten"

Nach Angaben von OpenAI sollte die Testumgebung eigentlich keinen direkten Zugang zum Internet haben. Die Modelle konnten aber Softwarepakete über einen internen Vermittlungsdienst installieren. Genau dort fand das System laut OpenAI eine bislang unbekannte Sicherheitslücke. "Vereinfacht gesagt, suchte es nach einer Möglichkeit, im Test zu schummeln", erklärte Bauer.

Anschließend nutzte das System Methoden, die auch menschliche Angreifer verwenden würden: gestohlene Zugangsdaten, weitere Schwachstellen und eine Vielzahl einzelner Schritte, um sich durch Systeme zu bewegen. "Die KI hat dabei keine völlig neue Form des Hackens erfunden", so IT-Experte Dennis-Kenji Kipker vom cyberintelligence.institute in Frankfurt.

Experte: "Hochgefährlich für globale Cybersicherheit"

"Aus Sicht des BSI zeigt dies eindringlich, dass sich die KI je nach Aufgabenstellung auch ein anderes Ziel hätte suchen können", sagte ein Sprecher des Bundesamtes für Sicherheit in der Informationstechnik der ARD-Finanzredaktion. Auch ein Angriff auf eine Kritische Infrastruktur, etwa um einer Stadt den Strom abzustellen, wäre somit denkbar.

Der Vorfall zeige genau das, was Sicherheitsforscher schon länger befürchten: "Selbst die Entwickler fortschrittlicher KI-Modelle haben keine vollständige Kontrolle über ihre eigene Technologie, und damit sind die Erkenntnisse dieses Falles hochgefährlich für die globale Cybersicherheit", erläutert Experte Kipker.

Noch keine autonomen Massenangriffe

Gleichzeitig existieren bereits öffentlich verfügbare Modelle ohne ethische Grenzen, die nicht nur Cyberkriminalität, sondern beispielsweise auch Informationen zur Herstellung von Biowaffen oder zum Bau von Sprengsätzen zur Verfügung stellen. "Dennoch sind wir von vollständig autonom handelnden Angreifern in großen Massen zurzeit noch weit entfernt", sagt IT-Sicherheitsexperte Kipker.

Davon geht auch das zuständige Bundesamt aus. Ein Vorgang, bei dem die KI aus der Laborumgebung ausbricht, koste aktuell noch viele Ressourcen. Das mache eine Häufung der Vorfälle unwahrscheinlich. "Nach Einschätzung des BSI muss aber jederzeit damit gerechnet werden, dass sich solche Vorfälle wiederholen", sagte ein Sprecher. Es handele sich daher um einen ernstzunehmenden Vorfall, der die Geschwindigkeit der aktuellen Entwicklung unterstreiche.

Für einen historischen Wendepunkt sei die Datenlage nach einem einzelnen Fall noch zu dünn, erklärte KI-Experte Bauer. Gleichzeitig wäre es falsch, den Vorfall als bloßen Laborunfall abzutun: "Wir sollten von einem Warnsignal mit realem Schaden sprechen."

Kriminelle setzen KI als Werkzeug ein

Der Vorfall bei OpenAI steht zudem nicht völlig allein. Auch andere Entwickler testen inzwischen, wie weit fortgeschrittene KI-Modelle bei Cyberaufgaben gehen können. Das Unternehmen Anthropic hatte zuvor mit seinem Modell Claude untersucht, ob KI-Systeme eigenständig Sicherheitslücken finden und Angriffsketten entwickeln können.

Dass künftig KI-Systeme mit eigenen kriminellen Absichten massenhaft Unternehmen angreifen, halten die Experten derzeit aber nicht für das wahrscheinlichste Szenario. "Wahrscheinlicher als eine KI mit eigenen kriminellen Absichten sind deshalb menschliche Angreifer, die autonome Systeme für ihre Zwecke einsetzen", so KI-Experte Bauer.

Cyberangriffe werden günstiger und schneller

Und da leistet die KI viel: "Cyberangriffe werden durch KI insgesamt billiger, schneller und für mehr Angreifer zugänglich", sagte Kipker. Besonders betroffen könnten Massenangriffe sein: automatisiertes Phishing, das Ausprobieren gestohlener Zugangsdaten oder die Suche nach ungepatchten Systemen, also Systemen, denen die neuesten Sicherheitsupdates fehlen. Ein einzelner Angreifer könnte dadurch deutlich mehr Ziele gleichzeitig bearbeiten.

Doch auch die Verteidigung verändert sich: Sicherheitsunternehmen setzen KI ein, um Angriffe schneller zu erkennen und Schwachstellen aufzuspüren. "Der zukünftige Wettbewerb ist daher zunehmend: KI-gestützte Angreifer gegen KI-gestützte Verteidiger", sagte Bauer.

Was Unternehmen tun können

Trotz der neuen Möglichkeiten durch KI bleiben viele Schutzmaßnahmen dieselben. Unternehmen sollten Systeme aktuell halten, Zugriffsrechte begrenzen und ihre Netzwerke stärker voneinander trennen.

Besonders beim Einsatz eigener KI-Agenten gilt: Sie sollten nur die Rechte bekommen, die sie für eine konkrete Aufgabe benötigen. Ein System, das Informationen sammeln soll, braucht nicht automatisch Zugriff auf vertrauliche Dokumente oder die Möglichkeit, Zahlungen auszulösen. "Bei kritischen Aktionen wie Löschen, Veröffentlichungen oder finanziellen Transaktionen sollte weiterhin ein Mensch bestätigen", so Bauer.

Das gilt für Privatpersonen

Auch für Privatpersonen sind die wichtigsten Regeln: automatische Updates, sichere Passwörter, Zwei-Faktor-Authentifizierung und Vorsicht bei unerwarteten Nachrichten. Denn KI macht nicht nur technische Angriffe leistungsfähiger – sie macht auch Betrugsversuche überzeugender.

Die wichtigste Veränderung liegt deshalb weniger darin, dass KI plötzlich eigene Angriffe entwickelt. Sie verändert vielmehr das Tempo: Angriffe können schneller vorbereitet, stärker automatisiert und in größerem Umfang durchgeführt werden. Die zentrale Herausforderung lautet deshalb nicht, ob KI im Cyberraum eingesetzt wird, sondern wer schneller ist: Angreifer, die KI missbrauchen, oder Verteidiger, die sie zur Absicherung nutzen.