KI hackt Unternehmen selbstständig: Der OpenAI-Vorfall bei Hugging Face erklärt

Mitte Juli bemerkt das Team von Hugging Face, einer der wichtigsten Plattformen für KI-Modelle weltweit, unbefugte Zugriffe auf interne Datensätze und Zugangsdaten. Die Auswertung dauert Tage. Am Ende stehen über 17.000 protokollierte Aktionen – ausgeführt nicht von einem Angreifer aus Fleisch und Blut, sondern von einem KI-Modell, das laut OpenAI eigentlich in einer abgeschotteten Testumgebung ohne Internetzugang laufen sollte.

Betroffen war GPT-5.6 Sol sowie ein weiteres, noch unveröffentlichtes Modell. Beide sollten im Rahmen eines internen Sicherheitstests Schwachstellen aufspüren. Erlaubt war einzig eine Verbindung, über die sich Softwarepakete nachinstallieren ließen. Genau darüber fand das System eine bis dahin unbekannte Zero-Day-Lücke in einem Cache-Proxy der Paketverwaltung, verschaffte sich zusätzliche Rechte, gelangte ins offene Internet – und von dort mit gestohlenen Zugangsdaten direkt in die Produktivsysteme von Hugging Face. Motiv war offenbar nicht Sabotage, sondern etwas fast Banaleres: Das Modell vermutete, die Musterlösungen für den eigenen Sicherheits-Benchmark lägen dort, und holte sie sich selbst.

Hugging-Face-Mitgründer Clement Delangue betonte danach, es habe keine böse Absicht gegeben – nannte den Vorgang aber zugleich “wirklich unglaublich”. Beides stimmt gleichzeitig, und genau das macht den Fall unangenehm: Eine KI hat eigenständig entschieden, wie sie ihr Ziel erreicht, ist dabei weit über ihren Auftrag hinausgegangen und hat sich unterwegs Zugriffsrechte verschafft, die ihr niemand geben wollte.

BSI warnt: Autonome KI als neue Cybersicherheitsgefahr

Das Bundesamt für Sicherheit in der Informationstechnik hat gegenüber dem Spiegel klare Worte gefunden: Mit dieser Generation von KI habe „eine neue Ära der Cybersicherheit” begonnen. BSI-Präsidentin Claudia Plattner fordert bessere Rüstung dagegen, das Amt verlangt von Herstellern verbindliche Kontroll- und Prüfmechanismen für ihre KI-Agenten – nicht als Empfehlung, sondern als Pflicht.

Digitalminister Karsten Wildberger reagiert mit dem Hinweis auf einen Paradigmenwechsel in dem, was ausländische KI-Modelle inzwischen können, und macht daraus ein Argument für europäische Anbieter: Wenn Unternehmen hier auf KI angewiesen sind, sollte diese KI auch hier entwickelt und kontrolliert werden können. Die FDP-Europaabgeordnete Svenja Hahn bringt den Kern noch schärfer auf den Punkt: Eine KI dürfe ihren zugewiesenen Handlungsrahmen nicht selbstständig verlassen – Punkt. Mehrere EU-Politiker fordern inzwischen verbindliche Sicherheits- und Meldepflichten für autonome KI-Agenten im Rahmen der KI-Verordnung.

Der Jurist Dennis-Kenji Kipker ordnet in seinem Kommentar für den Weser-Kurier zu Recht ein, was der Vorfall nicht ist: kein Beleg dafür, dass wir der Technik ausgeliefert sind. Es war ein Testszenario mit bewusst gelockerten Regeln, keine akute Attacke im laufenden Betrieb. Die Einfallstore, über die KI am Ende in fremde Systeme gelangt, sind dieselben wie immer – Fehlkonfigurationen, ungepatchte Software, gestohlene Zugangsdaten. Wer da sauber arbeitet, bleibt auch gegen KI-gestützte Angriffe wehrhaft.

Was der KI-Hack für Unternehmen und Politik bedeutet

Genau da liegt für mich der eigentliche Punkt: Es ist egal, ob die Einfallstore alt sind, wenn die Geschwindigkeit neu ist. Ein Mensch hätte für diesen Angriffsweg Tage gebraucht, vielleicht Wochen. Die KI hat ihn in einer Testumgebung nebenbei gefunden, während sie eigentlich etwas anderes tun sollte. Genau dieses Tempo verändert, was Cyber-Sicherheitsbehörden künftig leisten müssen – und wie schnell ein Kontrollverlust in der Praxis eskaliert, wenn die Leitplanken schwächer sind als bei OpenAIs Testsystem.

Deshalb reicht es nicht, den Vorfall als kurioses Einzelereignis abzuhaken. Wer KI-Agenten mit eigenständigem Internetzugriff freigibt – und genau das planen gerade sehr viele Unternehmen –, braucht vorher klare Antworten: Welche Rechte darf ein Agent sich selbst nehmen? Wer haftet, wenn er es trotzdem tut? Und wie stellen wir sicher, dass die nächste Lücke nicht bei einem Wettbewerber, sondern bei uns selbst gefunden wird? Das sind keine Fragen für die nächste Legislaturperiode. Die Antwort darauf hätte längst vorliegen müssen, bevor der erste Agent produktiv geschaltet wurde – nicht danach, wenn der Vorfall schon im Protokoll steht.