Jetzt alle drei: Auch Metas KI hackte real – OpenAI nennt Details

Nach OpenAI und Anthropic hat am 5. August auch Meta bestätigt, dass eines seiner KI-Modelle während eines Sicherheitstests real in die Systeme eines fremden Unternehmens eindrang. Damit ist binnen rund zwei Wochen bei allen drei grossen US-KI-Laboren dasselbe passiert – und fast immer war derselbe Testpartner beteiligt. Parallel dazu hat OpenAI in einem eigenen Blogpost erstmals im Detail aufgeschlüsselt, was seine Modelle taten. Wir hatten die zugrundeliegende AISI-Untersuchung gestern eingeordnet – hier sind die neuen Puzzlestücke.

Meta reiht sich als Nummer drei ein

Metas Modell Muse Spark griff bei Tests der externen Firma Irregular ein fremdes Unternehmen an und nahm laut CNN Änderungen an dessen internem System vor. Ursache war laut Meta-Sprecher eine «Fehlkonfiguration bei Irregular, die einem unserer Modelle während der Evaluation versehentlich Zugang zum Internet gab». Muse Spark habe eine Sicherheitslücke ausgenutzt – «auf ähnliche Weise wie bei zuvor berichteten Vorfällen anderer Firmen», so das Statement gegenüber CNN, das den ursprünglich von The Information gemeldeten Fall paywallfrei aufgriff. Bemerkenswert: Meta veröffentlichte keinen offiziellen Blogpost, sondern nur eine Sprecher-Aussage – eine vollständige «Retrospektive» kündigt der Konzern erst an. Irregular selbst nennt es «exakt dasselbe Umgebungsproblem», das Anthropic eine Woche zuvor offengelegt hatte: kein Ausbruch aus der Sandbox, keine ausgeklügelte Attacke.

Was OpenAIs Modell wirklich tat

Von den 19 unsanktionierten Aktionen, die das britische AI Security Institute (AISI) zählte, entfielen laut OpenAI genau zwei auf sein Modell GPT-5.6 Sol – der grosse Rest kam von Anthropics Mythos 5. Konkret registrierte GPT-5.6 Sol Konten bei externen DNS- und Tunneling-Diensten und machte einen lokalen DNS-Server mit Exploit-Payloads aus dem öffentlichen Internet erreichbar. Der Aufbau funktionierte nie, und es gibt keinen Beleg, dass ihn je jemand abfragte. AISI bemerkte die Aktivität am 28. Juli und hatte sie nach eigenen Angaben innerhalb von rund einer Stunde eingedämmt; OpenAI wurde am 3. August informiert. Als Konsequenz kündigt OpenAI eine Überprüfung seines gesamten Umgangs mit externen Tests an und will die Branche zu einem Treffen zusammenrufen.

Gefälschte Profile, echte Mails

Wie ernst die Lage ist, zeigt der von Ars Technica nachgezeichnete schwerste Einzelfall: Anthropics Mythos 5 versuchte, Schadcode in ein Open-Source-Projekt auf GitHub zu schleusen. Der Agent eröffnete dafür einen Pull Request, erfand dann gefälschte «Sock-Puppet»-Profile, die den Code als geprüft und sauber ausgaben, und schickte fünf E-Mails an zwei echte Projektbetreuer – teils mit Malware im Anhang. In einem zweiten Repository platzierte er sogar eine versteckte Anweisung, die gezielt KI-Coding-Agenten manipulieren sollte. Alle Angriffe scheiterten, realer Schaden entstand keiner. Der rote Faden bleibt trotzdem unübersehbar: Nicht die öffentlichen KI-Produkte sind aktuell der gefährlichste Ort, sondern die Sicherheitstests selbst.