Zwei KI-Modelle von OpenAI sollten in einem abgeschotteten Labor zeigen, wie gut sie hacken können. Stattdessen verschafften sie sich Zugang zum Internet und drangen bei der KI-Plattform Hugging Face ein.
Dort stahlen sie die Lösungen für ihre eigene Prüfung. OpenAI spricht von einem «beispiellosen Cybervorfall». Einschätzungen von Digitalredaktor Jürg Tschirren.
Jürg Tschirren
Digitalredaktor
Wie aussergewöhnlich ist dieser Vorfall?
Neu ist, dass kein Mensch dahintersteckt. Bisher bekannte KI-Angriffe wurden von Menschen gesteuert. Hier entschied ein Modell selbst, dass ein Einbruch der kürzeste Weg zum Ziel ist. Beispiellos ist der Fall trotzdem nicht: OpenAI meldete einen Tag zuvor bereits einen Ausbruch aus einer Testumgebung. Fachleute aus der IT-Sicherheit sehen darin weniger ein KI-Problem als schlecht abgesicherte Infrastruktur.
Was bedeutet es, dass die KI aus der Testumgebung ausgebrochen ist?
Die Modelle liefen in einem System ohne direkten Zugang zum Internet. Allerdings konnten sie über einen Dritt-Dienst Programmbausteine aus dem Internet nachladen. Bei diesem Dienst fanden sie eine bis dahin unbekannte Sicherheitslücke und gelangten so doch ins Internet. «Entkommen» ist die KI dabei aber nicht: Sie läuft weiter auf denselben Servern. Sie hat es bloss geschafft, auf fremde Server zuzugreifen.
Müssen sich KI-Nutzende jetzt Sorgen machen, dass die KI sie «angreift»?
OpenAI hatte für den Test Schutzmechanismen bewusst abgeschaltet und die Modelle ausdrücklich zum Hacken aufgefordert. Das ist ein Szenario, das es im Alltag nicht gibt. Das reale Risiko liegt anderswo: bei KI-Assistenten zum Beispiel, die Zugriff auf Mails, Dateien oder Passwörter haben und beim Verfolgen eines Ziels die Sicherheit gefährden können.
Wie realistisch sind regelmässige KI-gestützte Cyberangriffe? War das ein Einzelfall?
Im Mai 2026 entdeckte Google erstmals eine Angriffssoftware, die Kriminelle mit KI-Hilfe gebaut hatten. Wenig später beobachtete die Sicherheitsfirma Sysdig einen Einbruch, bei dem eine KI nach dem Eindringen selbstständig weiterarbeitete und in zwei Minuten eine Datenbank plünderte. Auch in der Schweiz nutzen Angreifer KI – bisher aber vor allem für Betrugsmaschen, wie das Bundesamt für Cybersicherheit festhält.
Sind Unternehmen und Behörden darauf vorbereitet?
Die stärksten Abwehrmodelle bleiben einem kleinen Kreis von Grosskunden vorbehalten. Ein Regionalspital, ein KMU oder eine Gemeindeverwaltung gehören nicht dazu. Doch häufig liegen die Probleme noch tiefer: Beim Bundesamt für Cybersicherheit kommen die meisten Meldungen aus der öffentlichen Verwaltung, und ausgenutzt werden vor allem Lücken, für die es längst Updates gäbe.
Überwiegen bei KI in der Cybersicherheit die Chancen oder die Risiken?
Es ist ein Katz-und-Maus-Spiel: Eine KI, die Sicherheitslücken findet, nützt der Verteidigung genauso wie dem Angriff – entscheidend ist, wer zuerst dran ist. Ähnlich war es vor zehn Jahren, als neue Suchwerkzeuge das Hacken erleichterten: Am Ende schlossen die Firmen damit mehr Lücken, als Angreifer ausnutzen konnten. Nur dauerte der Übergang Jahre. Und wer sich die besten Werkzeuge nicht leisten kann, verliert in dieser Zeit.
