Erst OpenAI, dann Anthropic: Innerhalb weniger Wochen räumten die beiden KI-Unternehmen ein, dass ihre Modelle eigenständig in fremde Systeme eingedrungen sind. Die Aufregung war groß. Das Thema in den Medien präsent. Eine aktuelle Auswertung zeigt aber: In der Praxis hat sich die Bedrohungslage bislang kaum verändert.
Haben wir die Kontrolle über Künstliche Intelligenz verloren? Im Juli 2026 räumte OpenAI einen „beispiellosen Cybervorfall“ ein: Bei einem Test brachen KI-Modelle aus ihrer abgeschotteten Testumgebung aus, verschafften sich selbstständig Zugang zum Internet und drangen in die Systeme der Plattform Hugging Face ein.
Wenige Tage später legte der Konkurrent Anthropic nach. Bei der Überprüfung von rund 141.000 Testläufen stellte das Unternehmen fest, dass auch einige Claude-Modelle in die Systeme von drei Unternehmen eingedrungen waren. Weder die Betroffenen noch Anthropic selbst hatten das bemerkt.
Du willst nicht abgehängt werden, wenn es um KI, Green Tech und die Tech-Themen von Morgen geht? Über 12.000 Vordenker bekommen jeden Tag die wichtigsten News direkt in die Inbox und sichern sich ihren Vorsprung.
Nur für kurze Zeit: Anmelden und mit etwas Glück Apple AirPods gewinnen!
Mit deiner Anmeldung bestätigst du unsere Datenschutzerklärung. Beim Gewinnspiel gelten die AGB.
KI als Hacker: Was sagen die Zahlen?
So beunruhigend die Vorfälle auch klingen, ganz so nah scheint das Ende noch nicht zu sein: Die US-Sicherheitsfirma VulnCheck hat für ihren State-of-Exploitation-Report 2026 ausgewertet, wie viele der von KI entdeckten Schwachstellen tatsächlich für Angriffe genutzt wurden.
Grundlage sind zwei Datensätze: die Anthropic zugeschriebenen Sicherheitsmeldungen sowie die Daten der Berkeley Vulnerability Research Initiative.
Das Ergebnis: Von 1.061 Schwachstellen, die auf KI-gestützte Entdeckung zurückgehen, wurden nur 14 nachweislich ausgenutzt. Das entspricht 1,3 Prozent und liegt damit ungefähr auf dem Niveau aller anderen Schwachstellen im ersten Halbjahr 2026.
Grundsätzlich bedeutet das, dass die von KI gefundenen Lücken nach aktueller Datenlage nicht gefährlicher sind als solche, die Menschen mit klassischen Methoden aufspüren.
Außerdem wurden im ersten Halbjahr 2026 innerhalb von 31 Tagen nach Veröffentlichung rund 200 Schwachstellen angegriffen. In den Vorjahren waren es 196 und 194, also etwa gleich viele.
Gleichzeitig stieg die Zahl der insgesamt veröffentlichten Schwachstellen um 45 Prozent. Das Verhältnis von tatsächlich ausgenutzten zu gemeldeten Lücken sank entsprechend von 2,7 Prozent Ende 2023 auf 1,4 Prozent.
Sind Anthropics Zahlen überbewertet?
Besonders deutlich wird die Lücke zwischen Ankündigung und Nachweis bei Anthropic selbst. Das Unternehmen hatte im April mit Project Glasswing gewarnt, KI-gestützte Schwachstellensuche könne Angreifern helfen, Systeme zu übernehmen oder Daten zu stehlen.
Zuvor hatte bereits das Anthropic-Modell Mythos die Debatte angeheizt, weil es laut Tagesschau über Jahrzehnte unentdeckt gebliebene Sicherheitslücken in viel genutzten Programmen und Onlinediensten fand.
Im Mai 2026 veröffentlichte Anthropic ein öffentliches Verzeichnis dazu und sprach von 23.019 gefundenen Auffälligkeiten. VulnCheck-Analyst Patrick Garrity hat nachgerechnet: Das Verzeichnis ist seit dem Start bei 1.611 Einträgen stehen geblieben, 126 der Funde mündeten in offiziell veröffentlichte Schwachstellen.
Nur eine davon wurde bislang nachweislich für einen Angriff genutzt. Mehr als 150 Funde haben ihre eigene Offenlegungsfrist inzwischen überschritten, ohne dass Anthropic sie veröffentlicht hätte.
Hackerangriff durch KI: Das reale Risiko
Eine Entwarnung ist das allerdings nicht. VulnCheck weist auf zwei Entwicklungen hin, die unabhängig vom KI-Hype relevant sind.
- Erstens landen Schwachstellen schneller auf der Liste der nachweislich ausgenutzten Lücken. Die Zeitspanne von der Veröffentlichung bis zum ersten dokumentierten Angriff sank im Median von 120 Tagen im Jahr 2025 auf 80 Tage. Der Anteil der Lücken, die schon am Tag der Veröffentlichung oder davor angegriffen wurden, ging dagegen leicht zurück, von 28,93 auf 23,43 Prozent.
- Zweitens werden KI-Produkte selbst zum Ziel. VulnCheck registrierte 28 Schwachstellen in KI-Systemen, bei zehn davon gab es tatsächliche Angriffe. Bei der Open-Source-Plattform LangFlow etwa verschafften sich Angreifer Zugang, sammelten Zugangsdaten ein, installierten Kryptominer und versuchten, sich weiter im Netzwerk auszubreiten. Dennoch hält sich auch hier die Überraschung in Grenzen, denn KI-Systeme bekommen zunehmend Zugriff auf sensible Unternehmensdaten und wichtige Infrastruktur.
Zwischen Panik und Verharmlosung
Bleibt die Frage, wie ernst die Lage nun wirklich ist. Die Vorfälle bei OpenAI und Anthropic sind keine Kleinigkeit. Sie zeigen ein Steuerungsproblem bei autonomen KI-Agenten. Dass ein Modell einen Angriff fortsetzt, obwohl es das echte Ziel erkannt hat, ist ein ernstzunehmendes Sicherheitsproblem.
Gleichzeitig lohnt sich der Blick darauf, von wem die Warnungen stammen. Sowohl OpenAI als auch Anthropic stehen im Wettbewerb um Investoren und Aufmerksamkeit.
Der ChatGPT-Entwickler steuert zudem auf einen Börsengang zu. Eine Warnung vor der eigenen, angeblich gefährlich mächtigen Technologie ist immer auch eine Demonstration der eigenen Leistungsfähigkeit.
Hacker-Hype: KI nützt Verteidigern mehr als Angreifern
VulnCheck kommt zu einem entsprechenden Schluss. Die bisherigen Daten, einschließlich Anthropics eigenem, ins Stocken geratenem Offenlegungsverzeichnis, deuteten darauf hin, dass KI-gestützte Schwachstellensuche und die Fähigkeiten der Frontier-Modelle „im Verhältnis zu den heute verfügbaren Belegen überbewertet“ worden seien.
Vorerst dürfte der breite Zugang zu leistungsfähigen KI-Modellen sogar eher den Verteidigern nutzen als den Angreifern, weil sich mehr Lücken finden und schließen lassen, bevor jemand sie ausnutzt.
Eine Entwarnung ist das trotzdem nicht. Die Auswirkungen seien bislang moderat, aber real, schreibt VulnCheck. Statt allein auf den Hype zu reagieren, solle man die weitere Entwicklung genau beobachten.
Für Unternehmen bedeutet das: Die wichtigsten Angriffsziele bleiben dieselben wie zuvor. Content-Management-Systeme machten im ersten Halbjahr ein Drittel aller nachgewiesenen Angriffe aus, vor allem über WordPress-Plugins.
Google lässt dich jetzt selbst bestimmen, welche Quellen du in der Suche häufiger siehst. Mit zwei schnellen Klicks kannst du BASIC thinking kostenlos als bevorzugte Quelle hinzufügen und damit unabhängigen Tech-Journalismus unterstützen. Vielen Dank!
Auch interessant:
