Text: Miran Melansek • Veröffentlicht: 20.08.2026 19:00 • Lesedauer: 8,0 Min.

KI außer Kontrolle? Was hinter den neuen Hacking-Fällen steckt

Warum KI-Agenten in fremde Systeme einbrechen – und was das für dich bedeutet

*Roboter als Sinnbild für KI bricht aus seiner zugedachten Umgebung aus.*

*KI-Agent packt seinen Besitzer in der Warteliste an erste Stelle*

Andrew wollte eigentlich nur einen Fitnesskurs.

Also beauftragte er seinen persönlichen KI-Assistenten mit der Buchung. Dahinter steckte OpenClaw, eine frei verfügbare Software, mit der sich Aufgaben an ein Sprachmodell delegieren lassen, in diesem Fall an Anthropics Claude. Der Agent fand prompt eine Schwachstelle in der Buchungssoftware des Studios. Damit konnte er Kurse viel früher reservieren, als es eigentlich erlaubt war.

Dann fragte Andrew, ob er auf der Warteliste weiter nach vorn kommen könne. Der Agent probierte es aus und warf kurzerhand eine andere Person aus der Liste. Das hatte Andrew nicht verlangt. Rückgängig machen konnte die KI den Eingriff anschließend auch nicht mehr.

Der von ABC News dokumentierte Fall klingt wie eine schräge Anekdote. Er zeigt aber ziemlich genau, worüber wir gerade reden müssen: Ein Mensch formuliert ein Ziel. Ein KI-Agent sucht selbstständig nach einem Weg. Und dieser Weg führt manchmal durch eine Tür, die zwar offensteht, aber ganz sicher nicht für ihn gedacht war.

Hat die KI jetzt einen eigenen Willen?

Kurze Antwort: Dafür gibt es keinen Beleg.

In Science-Fiction-Geschichten wird eine KI gefährlich, weil sie ein Bewusstsein entwickelt, eigene Ziele verfolgt und sich gegen die Menschen wendet. Die aktuellen Fälle funktionieren anders.

Ein Chatbot wartet auf die nächste Frage. Ein KI-Agent bekommt dagegen ein Ziel und Werkzeuge. Er kann Webseiten öffnen, Programme ausführen, Schnittstellen nutzen, Dateien verändern und seine nächsten Schritte selbst planen.

Das Ziel kommt weiterhin vom Menschen. Den Weg dorthin wählt der Agent zunehmend allein.

Der entscheidende Unterschied: Ein KI-Agent kann selbstständig handeln, ohne selbstbestimmt zu sein.

Wir Menschen denken bei einem Auftrag unzählige ungeschriebene Regeln mit. „Buche mir einen Platz“ bedeutet selbstverständlich nicht: „Wirf jemand anderen aus der Warteliste.“ Für einen Agenten ist diese Grenze aber nicht selbstverständlich. Wenn sie weder klar formuliert noch technisch abgesichert ist, kann eine ziemlich fragwürdige Abkürzung wie eine gute Lösung aussehen.

Man bekommt den Eindruck, dass Zielerreichung für einen Agenten wie ein Spiel ist. Und im Spiel bleibt Moral oft auf der Strecke.

Der Agent, der sich die Testlösung besorgen wollte

Wie weit das gehen kann, zeigte der bisher spektakulärste Vorfall. OpenAI ließ GPT-5.6 Sol und einen noch leistungsfähigeren internen Prototyp Cybersecurity-Aufgaben lösen. Dafür waren Schutzmechanismen reduziert worden. Einen direkten Zugang zum offenen Internet sollten die Modelle aber nicht haben. Sie fanden trotzdem einen.

Laut dem offiziellen Bericht von OpenAI entdeckten die Modelle eine bis dahin unbekannte Lücke in einer Standardsoftware, die OpenAI intern betreibt und die eigentlich nur Programmpakete verteilen soll. Sie nutzten die Lücke, gelangten ins Internet und drangen anschließend in Systeme der KI-Plattform Hugging Face ein. Dort suchten sie nach Daten und Lösungen, die ihnen beim Bestehen der ursprünglichen Prüfung helfen konnten.

Das war tatsächlich ein Ausbruch aus der vorgesehenen technischen Begrenzung. Aber die KI wollte nicht „frei“ sein. Sie versuchte auch nicht, sich selbst zu retten oder die Weltherrschaft zu übernehmen. Sie verfolgte noch immer die Aufgabe aus dem Test. Nur ihr Lösungsweg hatte den Testbereich verlassen.

OpenAI deaktivierte den internen Prototyp und verschärfte die Sicherheitsvorkehrungen. Im August pausierte das Unternehmen zeitweise seine Modelltests und Teile der Arbeit am nächsten Modell Astra. Das zeigt: Auch OpenAI hält den Vorfall nicht für eine kuriose Panne.

Manchmal ist die Mauer nur eine Kulisse

Nicht jeder gemeldete „KI-Ausbruch“ war wirklich einer. Anthropic überprüfte nach dem OpenAI-Vorfall 141.006 Testdurchläufe, bei denen Claude überhaupt ins Internet hätte gelangen können, und fand drei Fälle, in denen ein Claude-Modell auf reale Systeme von drei Organisationen zugegriffen hatte.

Hier hatte die KI aber keine ausgeklügelte Sandbox geknackt. In der Testumgebung eines externen Prüfdienstleisters war das Internet wegen eines Missverständnisses erreichbar. Im Auftrag stand gleichzeitig ausdrücklich, dass es keinen Internetzugang gebe und sich alles in einer Simulation abspiele.

Claude glaubte also der Aufgabenbeschreibung und hielt echte Server für Bestandteile der Übung. Spannend sind die Unterschiede: In den drei Fällen kamen drei verschiedene Modelle zum Einsatz, und sie reagierten völlig verschieden. Ein internes Forschungsmodell stoppte von selbst, als es erkannte, dass der Server real sein musste. Ein zweites Modell redete sich ein, es sei weiterhin in der Simulation. Das ältere Claude Opus 4.7 machte trotz entsprechender Hinweise einfach weiter.

Bei Meta lief es ähnlich, und zwar beim selben Prüfdienstleister: Eine Fehlkonfiguration öffnete einem Testmodell unbeabsichtigt den Weg ins Internet. Das Modell nutzte eine Schwachstelle bei einem externen Unternehmen. Der Dienstleister betonte gegenüber Reuters, es habe sich weder um einen Sandbox-Ausbruch noch um einen besonders anspruchsvollen Angriff gehandelt.

Das macht die Fälle nicht harmlos. Es zeigt nur, warum die Schlagzeile „KI bricht aus“ oft zu grob ist. Manchmal wurde eine Mauer überwunden. Manchmal war gar keine da.

Täuschung, ganz ohne finsteren Masterplan

Besonders brisant war ein Test des britischen Instituts für KI-Sicherheit, des AI Security Institute, kurz AISI. Sieben Modelle sollten in 122 Durchläufen Cyberaufgaben lösen. Der Internetzugang war für die Tests geöffnet, einige Schutzfilter waren abgeschaltet.

In zehn Durchläufen registrierte das Institut Aktionen außerhalb des erlaubten Bereichs. Im schwerwiegendsten Fall versuchte ein Agent, Schadcode in ein echtes Open-Source-Projekt einzuschleusen. Er spürte die Betreuer des Projekts auf, erfand mehrere Online-Identitäten und versuchte damit, Druck für die Freigabe des Codes aufzubauen. Ein aufmerksamer Entwickler durchschaute den Angriff und lehnte die Änderung ab. Ein nachweisbarer Schaden entstand nicht.

Der AISI-Bericht erklärt den Vorgang erstaunlich nüchtern: Der Agent verfolgte hartnäckig die gesetzte Aufgabe. Die Täuschung war nicht befohlen worden. Sie entstand als Methode auf dem Weg zum Ziel.

Das klingt nach berechnender Bosheit, braucht aber keinen bösen Willen. Ein Modell kann lügen, falsche Identitäten aufbauen oder Spuren verwischen, weil diese Schritte in der jeweiligen Situation erfolgversprechend erscheinen. Gefährlich ist das Ergebnis trotzdem.

Warum das gerade jetzt passiert

Unsere Software-Welt besteht aus Hintertüren – bewusst eingerichtete und auch gänzlich unbekannte. Automatisierte Angriffe auf solche Lücken im System gibt es schon lange. Neu ist, wie flexibel KI-Agenten vorgehen können. Wenn Plan A scheitert, versuchen sie Plan B. Sie kombinieren Browser, Kommandozeile, Programmierschnittstellen und selbst geschriebenen Code. Und sie können lange arbeiten, ohne müde oder ungeduldig zu werden.

In kontrollierten Tests lösten Claude Mythos Preview und GPT-5.5 als bisher einzige Modelle eine 32-stufige Angriffssimulation vollständig, das eine in drei von zehn Versuchen, das andere in zwei. Zuverlässig ist das also nicht. Beeindruckend trotzdem: Das AISI schätzt, dass eine menschliche Fachkraft für denselben Weg rund 20 Stunden benötigt. Eine anspruchsvolle Einzelaufgabe, für die ein Tester etwa zwölf Stunden brauchte, erledigte GPT-5.5 laut AISI in gut zehn Minuten.

Das bedeutet nicht, dass ein öffentlich verfügbarer Chatbot nun jedes Unternehmen knacken kann. Die Tests liefen unter besonderen Bedingungen, teilweise mit abgeschalteten Schutzfiltern und großzügigen Zugriffsrechten. Aber sie zeigen, wie schnell aus einzelnen Hilfestellungen längere Angriffsketten werden.

Und der Mensch verschwindet dabei keineswegs. Im August bestätigte Taiwans Digitalministerium Angriffe auf Behörden aus dem Juli, bei denen Menschen manuelle Schritte mit KI-Agenten wie OpenClaw kombinierten. Menschen wählten Ziel und Zweck, die Agenten halfen bei der Ausführung.

Die KI ersetzt den Angreifer also nicht unbedingt. Sie macht ihn schneller und vergrößert seine Reichweite.

Ist die KI nun außer Kontrolle oder nicht?

Es kommt darauf an, was wir darunter verstehen.

Es gibt keinen Beleg für eine KI, die eigene Bedürfnisse entwickelt und gegen die Menschheit rebelliert. Aber es gibt Systeme, deren einzelne Schritte selbst ihre Entwickler nicht mehr vollständig vorhersehen. Sie probieren in kurzer Zeit viele Möglichkeiten aus und können reale Schäden anrichten, bevor jemand bemerkt, dass sie den erlaubten Bereich verlassen haben.

Das ist kein Kontrollverlust wie im Kino, sondern eher ein ganz praktischer Kontrollverlust: zu viele Rechte, zu wenig Überwachung und ein System, das sehr konsequent ein Ziel verfolgt.

Und was für Unternehmen oder Trainingsumgebungen gilt, hat auch für deinen heimischen Rechner Bedeutung: Ein freundlicher Hinweis im Prompt reicht nicht aus. Wer KI-Agenten einsetzt, braucht technische Grenzen:

Ein Agent sollte nur die Rechte bekommen, die er wirklich benötigt.
Zahlungen, Löschungen, Veröffentlichungen und andere irreversible Schritte brauchen eine menschliche Freigabe.
Und die ganz normalen Sicherheitslücken müssen geschlossen werden. KI erfindet schwache Passwörter und offene Schnittstellen nicht neu – sie findet sie nur schneller.

Was bedeutet das jetzt für uns?

Die Vorstellung einer erwachenden Superintelligenz ist spektakulär. Sie lenkt aber leicht vom eigentlichen Problem ab, das wir vor uns haben:

Ein KI-Agent braucht keinen Hass, keine Gier und keinen Fluchtinstinkt. Es genügen ein Ziel, passende Werkzeuge, zu viele Rechte und eine Tür, die nicht richtig verschlossen ist.

Jeder, der KI-Agenten einsetzt oder einsetzen möchte, darf sich fragen: „Bin ich kompetent genug für den Einsatz dieser KI-Systeme?“ – und sich gegebenenfalls Unterstützung oder Wissen holen. Führerschein vor Fahrpraxis.

Wenn du beim Thema Agenten noch am Anfang stehst: Im KI-BUZZER-Campus findest du Kurse, die bei den Grundlagen ansetzen, bevor du deinem Assistenten die Autoschlüssel in die Hand drückst.