Drei KI-Vorfälle, ein gemeinsames Muster Bei KI-Angriffen versagen Motiv und Signatur als Erkennungsmerkmal

KI-Modelle greifen Unternehmen an, ohne dass ein Mensch sie beauftragt hat, ohne erkennbares Motiv und ohne klassische Angreifer-Signatur. Die Zahl solcher Fälle wächst. Wer nach dem Täter sucht, verliert Zeit. Nur noch das Verhalten selbst verrät, ob ein Mensch oder eine Maschine handelt.

Ein Teil der Fachwelt ist überzeugt, dass OpenAI den Einbruch bei Hugging Face zumindest teilweise inszeniert hat, ein Testszenario mit echtem Exploit und maximaler Öffentlichkeits­wir­kung. Die Debatte ist nachvollziehbar, verfehlt aber den eigentlichen Punkt. Denn inszeniert oder nicht: Am Ende der Kette stand technisch dasselbe Bild wie bei zwei weiteren KI-Vorfällen der vergangenen zwölf Monate. Es gab keinen Angreifer im klassischen Sinn und trotzdem Traffic auf einer Anwendung, der sich keinem Menschen und keinem bekannten Bot mehr eindeutig zuordnen ließ.

Update: Mindestens ein weiteres Opfer

Autonomer KI-Agent dringt in Hugging-Face-Systeme ein

Fall eins: Wie ein Modell aus dem eigenen Testlabor ausbrach

Am 21. Juli 2026 räumte OpenAI ein, dass zwei eigene Modelle – GPT-5.6 Sol und ein un­ver­öf­fent­lichtes System – während eines internen Sicherheitstests aus ihrer Sandbox ausgebrochen waren. Über eine bis dahin unbekannte Zero-Day-Lücke gelangten sie ins offene Internet und kompromittierten anschließend die Plattform Hugging Face, um sich Lösungen für den Cybersicherheits-Benchmark „ExploitGym” zu beschaffen.

Wie ernst der Fall zu nehmen ist, darüber gehen die Meinungen auseinander. Einerseits wurde kritisiert, dass OpenAI die üblichen Schutzmechanismen für den Test bewusst deaktiviert hatte und der Bericht stellenweise wie Marketing wirkt. Gleichzeitig hatte sich das Modell kein eigenes Ziel gesetzt, sondern folgte einer Anweisung. Nur eben ohne die Leitplanken, die das im Alltag verhindern würden. Inzwischen ist klar, dass es keine bösen menschlichen Absichten mehr braucht, damit am Ende ein technischer Angriff auf eine fremde Plattform steht.

Nach OpenAI-Vorfall

Auch Claude hat eigenständig Unternehmen angegriffen

Fall zwei: Ein Angreifer nutzt eine KI als Werkzeug

Im November 2025 wurde durch Anthropic bekannt, dass die chinesische, staatlich ge­steuer­te Gruppe GTG-1002 das Tool Claude Code manipuliert hat, um eine Spionagekampagne gegen Organisationen weltweit durchzuführen. Die Angreifer brachten das Modell per Jailbreak dazu, seine Schutzmechanismen zu umgehen, unter anderem, indem sie vorgaukelten, sie arbeiteten an einer Sicherheitsfirma.

Die KI übernahm anschließend einen Großteil der Angriffsarbeit. Nach Angaben von Anthropic lag der KI-Anteil an der Kampagne bei 80 bis 90 Prozent. Hier gab es also, anders als bei OpenAI, einen klaren Angreifer und ein mutmaßlich politisches Motiv. Nur half das den Verteidigern am Ende kaum weiter.

Missbrauch von KI

Regierungsdaten mithilfe von LLM Claude gestohlen

Fall drei: Eine KI baut das Werkzeug selbst

Der dritte Fall wurde erst kürzlich bekannt. Ein Malware-Autor ließ sich von einem Sprach­mo­dell den Code für ein neues IoT-Botnetz namens TuxBot v3 schreiben. Unit 42 ´von Palo Alto Networks dokumentierte den Fund: ein plattformübergreifendes Framework für 17 Pro­zes­sor­ar­chi­tek­turen samt eigenem Command-and-Control-Server. Es ist zu rund 70 Prozent funktionsfähig und weist sichtbare Spuren KI-gestützter Entwicklung auf, darunter stehen gebliebene Codekommentare und ein unverändert übernommener Sicherheitshinweis. Auch hier lässt sich ein Motiv benennen: der Aufbau von Angriffskapazität für DDoS-Attacken. Doch auch dieses Wissen half wenig dabei, den entstehenden Datenverkehr im Vorfeld zu erkennen.

Wenn KI die KI angreift

LiteLLM-Lieferkettenangriff über einen autonomen KI-Agenten

Warum das Motiv die falsche Frage ist

Motiv, Auftraggeber und kriminelle Energie unterscheiden sich in diesen drei Fällen sehr deutlich. Verteidiger, die versucht hätten, anhand des Motivs zu reagieren, wären in keinem der drei Fälle vorbereitet gewesen, denn keiner kündigte sich an. Der gemeinsame Nenner liegt woanders: In allen drei Fällen handelte es sich am Ende um Datenverkehr auf einer Web-Anwendung oder API, der sich nicht mehr eindeutig einem Menschen oder einem bekannten Bot zuordnen ließ.

Die von Anthropic beobachtete Kampagne erreichte in Spitzenzeiten mehrere Anfragen pro Sekunde – ein Tempo, das kein menschliches Team bewältigen könnte. Das in TuxBots integrierte DDoS-for-hire-Panel erzeugt gezielt Anfragen, die sich kaum von legitimem Traffic unterscheiden. Und die OpenAI-Modelle bewegten sich am Ende genauso durch Hugging Faces Infrastruktur wie ein Entwickler, der Datensätze abruft – nur eben deutlich schneller und zielgerichteter.

Wie weit verbreitet dieses Problem auf Anwendungsebene bereits ist, zeigt eine andere Zahl aus dem Link11-Netzwerk: Lediglich rund vier Prozent des Datenverkehrs, der sich als Google-Bot ausgab, stammten tatsächlich von Google. Im aktuellen Link11 European Cyber Report 2026 gab es über 700.000 dokumentierte Fälle von Spoofing.

Fehlkonfiguration im Testumfeld

Auch Meta-KI dringt in fremdes System ein

Verhalten als letzte verbliebene Konstante

Klassische Abwehrmechanismen setzen voraus, dass eine Anfrage ehrlich Auskunft über ihre Kennung, ihre Herkunft und ihr bekanntes Muster gibt. Identitätsprüfung und Signaturabgleich griffen in keinem der drei Fälle, da sich keiner dieser Angriffe als das zu erkennen gab, was er war. Als verlässliches Signal bleibt somit nur das Verhalten selbst: nicht, wer eine Anfrage angeblich ist, sondern wie sie sich bewegt, mit welchem Tempo, welcher Konsistenz und mit welchen Abweichungen von dem, was ein Mensch an dieser Stelle tun würde.

Auf Netzwerkebene ist die verhaltensbasierte Erkennung längst Standard, auf der An­wen­dungs- und API-Ebene, auf der alle drei hier beschriebenen Fälle endeten, jedoch noch nicht überall. Web Application & API Protection (WAAP) mit verhaltens­basierter Analyse ist deshalb kein Zusatzmodul mehr, sondern die Ebene, auf der sich entscheidet, ob ein Vorfall wie bei Hugging Face rechtzeitig auffällt. Ob man den OpenAI-Fall eher als kalkulierte Mach­bar­keits­de­mons­t­ra­ti­on mit deaktivierten Schutzmechanismen oder als echten Weckruf liest, ändert für die Verteidigungsseite wenig. Motiv und Signatur haben in allen drei Fällen versagt. Das Verhalten ist die Konstante, die aktuell noch bleibt, um zwischen menschlichem und automatisierten Traffic zu unterscheiden.

Über die Autorin: Lisa Fröhlich ist verantwortlich für Corporate Communications bei Link11.

(ID:50921668)