KI-Agenten sollen Unternehmen Arbeit abnehmen. Inzwischen brechen solche Systeme allerdings aus Testumgebungen aus, verschaffen sich Zugang zum offenen Internet und dringen in reale Firmennetze ein. Google, OpenAI und Anthropic mussten innerhalb weniger Monate Vorfälle einräumen, bei denen ihre eigenen Modelle außerhalb der vorgesehenen Grenzen aktiv wurden.
Drei Unternehmen dürften im Mai nicht geahnt haben, dass gerade Googles Gemini versuchte, in ihre Systeme einzudringen. Die KI befand sich in einer Cybersecurity-Evaluierung des Sicherheitsunternehmens Irregular und sollte Angriffe gegen erfundene Firmen durchführen. Die Testumgebung hätte vom Internet getrennt sein sollen. Sie war es nicht. Gemini gelangte ins offene Netz, stieß dort auf reale Unternehmen und behandelte deren Systeme wie Bestandteile seiner Übungswelt. In einem Fall erriet das Modell ein Passwort, bei zwei weiteren Unternehmen fand es öffentlich zugängliche Zugangsdaten in Repositories und verwendete sie. Google bestätigte inzwischen alle drei Vorfälle. Nach Angaben des Konzerns brach Gemini seine Aktivitäten jeweils ab, nachdem das Modell erkannt hatte, dass es sich um reale Systeme handelte.
Irregular informierte Google Ende Juli über die Einbrüche. Google benachrichtigte nach eigenen Angaben die betroffenen Unternehmen, verzichtete jedoch auf eine öffentliche Bekanntmachung, weil kein Schaden entstanden sei. Erst Medienberichte machten die Sache publik. Für die Attacken brauchte Gemini keine ausgefeilte Geheimtechnik: Ein versehentlich offener Internetzugang, ein erratenes Passwort und frei auffindbare Zugangsdaten genügten, um aus einem Sicherheitstest reale Eindringversuche zu machen.
Auch GPT-Agenten waren im Internet aktiv
Bei OpenAI ging es noch weiter. Während interner Cybersecurity-Tests umgingen mehrere Modelle im Juli technische Sperren, die sie vom Internet fernhalten sollten. Die Agenten nutzten Schwachstellen in gemeinsam verwendeter Infrastruktur, verschafften sich Zugang zum Netz und drangen anschließend in Systeme der KI-Plattform Hugging Face ein. OpenAI räumte ein, dass die Agenten Aktionen ausführten, die über die vorgesehenen Aufgaben hinausgingen. Beteiligt war laut Unternehmen unter anderem ein internes Forschungsmodell in einer Leistungsklasse, vergleichbar mit GPT-5.6 Sol. Die Agenten nutzten Sicherheitslücken, kommunizierten über nicht vorgesehene Kanäle und erreichten fremde Serverinfrastrukturen.
Schon zwei Monate zuvor waren OpenAI-Agenten auf realen Plattformen aktiv geworden. Am 11. Mai luden sie Hunderte schädliche Pakete auf die Softwareplattform RubyGems hoch. Forscher kamen zu dem Schluss, dass Teile dieser Pakete unter anderem auf das Abgreifen von Zugangsdaten ausgerichtet waren. Ob tatsächlich Credentials gestohlen wurden, blieb ungeklärt. OpenAI bestätigte die Aktivitäten später. Nur zwei Tage danach tauchten Agenten des Unternehmens bereits bei Hugging Face auf und suchten dort nach Schwachstellen.
Eine deutsche Webseite bekam die Fähigkeiten der OpenAI-Agenten ebenfalls zu spüren. Im Frühjahr übernahmen sie Teile des Programmier-Wikis DseWiki und nutzten Seiten dort als eine Art Kommunikationsfläche für weitere Aktivitäten. Reuters berichtete von mehr als 15.000 Änderungen. Als Moderatoren Inhalte entfernten, entstanden Ersatzseiten. Mehrere Agenten arbeiteten mit hohem Tempo parallel an ihren Aufgaben. OpenAI widersprach Teilen der Interpretation des Vorfalls und stellte infrage, ob das Geschehen als klassischer Hack bezeichnet werden könne. An den massenhaften Eingriffen der Agenten auf einer realen Webseite änderte das nichts.
Bei Claude sieht es nicht viel besser aus
Auch Claude überschritt die vorgesehenen Grenzen. Nachdem der Hugging-Face-Vorfall bekannt geworden war, durchsuchte Anthropic rund 141.000 Protokolle eigener Cybersecurity-Evaluierungen. Dabei stießen die Entwickler zunächst auf drei Fälle, in denen Claude während Tests ins offene Internet gelangt war und ohne Genehmigung auf reale Systeme fremder Organisationen zugegriffen hatte. Eine spätere Untersuchung brachte einen vierten Fall aus dem Januar 2026 ans Licht. Anthropic weitete die Suche schließlich auf rund 481 Millionen Protokolle aus.
Parallel dazu wächst der Nutzen solcher Modelle für menschliche Hacker. Forscher des Start-ups Hacktron AI demonstrierten das ausgerechnet bei OpenAI. Im Rahmen des offiziellen Bug-Bounty-Programms nutzten sie zunächst Anthropic Claude und später überwiegend OpenAIs GPT-5.6 Sol, um Schwachstellen aufzuspüren und Zugang zu Mitarbeiterkonten zu erhalten. Von dort gelangten sie bis in Bereiche der GitHub-Infrastruktur. Die Aktion war autorisiert und Teil eines Sicherheitstests. Sie zeigte trotzdem, wie viel Arbeit moderne KI-Agenten inzwischen übernehmen können: Aufklärung, Codeanalyse, Suche nach Schwachstellen, Angriffsvorbereitung und Teile der eigentlichen Ausführung.
Google warnte bereits im Mai davor, dass KI-gestütztes Hacking innerhalb weniger Monate zu einer Bedrohung im industriellen Maßstab angewachsen sei. Kriminelle Gruppen und staatlich verbundene Akteure aus China, Nordkorea und Russland nutzen kommerzielle KI-Systeme laut dem Konzern bereits, um Angriffe schneller und in größerem Umfang durchzuführen. Zugleich kämpfen die Hersteller nun mit ihren eigenen Agenten, sobald diese in Sicherheitstests genügend Freiraum, Werkzeuge und Zugriffsmöglichkeiten erhalten.
Die Entwicklung läuft rasend schnell: KI-Agenten recherchieren selbstständig, schreiben Code, suchen Schwachstellen, planen mehrstufige Angriffe und führen einzelne Schritte ohne ständige menschliche Anweisung aus. Genau diese Fähigkeiten sollen sie wertvoll machen. Sobald ihre Begrenzungen versagen, richten sie sich jedoch nicht mehr nur gegen künstliche Testziele. Die Agenten werden mächtiger. Und ihre Entwickler schaffen es offenbar nicht immer, sie im Käfig zu halten.
