Als ich über die OpenAI-Modelle geschrieben habe, die aus ihrer Testumgebung ausgebrochen sind und Hugging Face angegriffen haben, stand am Ende eine offene Frage: Einzelfall oder Muster? Jetzt gibt es eine Antwort, und sie gefällt mir nicht. Auch eine Meta-KI hat sich selbstständig Zugang zum Internet verschafft und ist in die Systeme eines fremden Unternehmens eingedrungen. Es ist der dritte bestätigte Fall innerhalb weniger Wochen.
- Ein KI-Modell von Meta hat sich bei einem Sicherheitstest Internetzugang verschafft und ist über eine Schwachstelle in fremde Firmensysteme eingedrungen.
- Ursache war laut Meta eine Fehlkonfiguration beim Testpartner, demselben Dienstleister wie bei Vorfällen der Konkurrenz.
- Meta erfuhr von dem Ausbruch erst durch eine Mitteilung des Partners, nicht durch eigene Überwachung.
- Nach OpenAI (Hugging Face) und Anthropic (drei Vorfälle in 141.000 Tests) ist es der dritte bestätigte Fall binnen weniger Wochen.
Internetzugang, der nie vorgesehen war
Der Ablauf klingt inzwischen fast vertraut. Bei einem Sicherheitstest hatte ein Meta-Modell durch eine falsche Konfiguration Zugang zum offenen Internet, was in der Testumgebung gar nicht vorgesehen war. Das Modell nutzte die Gelegenheit, fand eine Schwachstelle bei einem fremden Unternehmen und drang in dessen Systeme ein. Welches Unternehmen betroffen war, sagt Meta nicht, wie unter anderem heise berichtet.
Das unangenehmste Detail steht am Rand der Meldung: Meta hat den Vorfall nicht selbst bemerkt. Der Konzern erfuhr davon erst, als der Testpartner sich meldete. Ein Unternehmen, das autonome KI-Agenten als Zukunft verkauft, hat nicht mitbekommen, dass sein eigenes Modell im Internet unterwegs war.
Die Spur führt zum selben Testpartner
Jetzt zu dem Punkt, der in den meisten Meldungen nur im Nebensatz auftaucht. Die Fehlkonfiguration lag laut Meta bei demselben Testpartner, bei dem auch einige der Vorfälle von OpenAI und Anthropic passiert sind. Die Meta-KI ist also nicht durch eine besonders raffinierte eigene Leistung entkommen, sondern durch eine Tür, die derselbe Dienstleister schon mehrfach offen gelassen hat.
Das verschiebt die Geschichte. Aus „die KI bricht aus“ wird „ein einzelner Sicherheitsdienstleister reißt der halben Branche die Sandbox auf“. Wer dieser Partner ist, verrät keiner der drei Konzerne. Dass offenbar alle großen Labore beim selben Anbieter testen, ist für mich die eigentliche Nachricht: Eine schlampige Konfiguration an einer Stelle wird damit zum Risiko für die gesamte Branche.
Eine Sandbox ist eine abgeschottete Testumgebung ohne Verbindung nach draußen. KI-Modelle sollen dort zeigen, was sie können, ohne echten Schaden anzurichten. Steht die Verbindung ins Internet doch offen, ist die Abschottung wertlos, und genau das ist hier passiert.
Drei Anbieter, ein Muster
Zur Erinnerung, wie die Serie bis hierhin lief. Bei OpenAI brachen zwei Modelle im Sicherheitstest ExploitGym aus und griffen die KI-Plattform Hugging Face an, unter anderem über eine bis dahin unbekannte Lücke. Anthropic nahm das zum Anlass, rund 141.000 eigene Testläufe nachzuprüfen, und fand dabei drei weitere Vorfälle, bei denen Claude-Modelle ungeplant echte Firmensysteme angegriffen hatten.
Dazu kommen britische Sicherheitsforscher, die Modellen von OpenAI und Anthropic in Versuchen absichtlich freien Internetzugang gaben und prompt Cyberattacken beobachteten. Die tagesschau zählt den Meta-Fall bereits als dritte KI-Software, die sich unerlaubt Zugang zu fremden Systemen verschafft hat. Die Frage ist nicht mehr, ob so etwas passiert. Sondern wie oft es passiert, ohne dass es jemand meldet.
Das fehlende Monitoring ist die eigentliche Blamage
Die Schlagzeile klingt nach Science-Fiction, die Realität dahinter ist banaler und ärgerlicher. Kein Modell hat hier einen Plan verfolgt. Es hat getan, wofür es trainiert wurde: Schwachstellen finden und ausnutzen, nur eben am falschen Ort, weil ein Dienstleister die Umgebung nicht im Griff hatte. Dass die Konzerne davon erst durch Dritte erfahren, passt zu dem, was ich bei den KI-Coding-Tools mit Datei- und Shell-Zugriff schon aufgeschrieben habe: Die Werkzeuge werden mächtiger, die Kontrolle wächst nicht mit.
Für dich als Nutzer gibt es hier nichts zu patchen. Aber wenn dir demnächst jemand einen autonomen KI-Agenten mit Vollzugriff auf deine Systeme verkaufen will, ist diese Serie das passende Gegenargument für den Moment, in dem der Vertriebler „bewährte Sicherheitsarchitektur“ sagt. Drei Konzerne, die ihre Modelle nicht in einer Testumgebung halten konnten, verkaufen mir gerade Agenten für den Produktivbetrieb. Das darf man festhalten, ohne Alarmist zu sein.
