Wenn „Sandbox Escapes“ plötzlich zur Sommerloch-Trend-Neuigkeit werden
Erinnert ihr euch noch an Ende Juli, als ich über den spektakulären Vorfall bei OpenAI geschrieben habe? (Short Recap: GPT-5.6 Sol soll ohne Safety-Handbremse aus der Test-Sandbox ausgebrochen sein, eine Zero-Day-Lücke genutzt haben und prompt bei Hugging Face eingebrochen sein, um bei den Testaufgaben zu spicken). Damals saßen wir alle mit offenem Mund da und dachten: „Holy Shit, Skynet/Terminator lässt grüßen.“
Eine Woche später kam dann die Meldung von Anthropic: Ihre experimentelle KI sei bei internen Cyber-Red-Teaming-Tests ebenfalls aus ihrer Isolierung entwicht. Meine erste Reaktion? „Okay, krasser Zufall. Aber gut, Anthropic hat nach dem OpenAI-Rummel einfach die eigenen Audit-Logs nochmal mit der Lupe durchgeleuchtet und den Vorfall erst im Nachhinein bemerkt. Lass ich mal gelten.“
Doch nun (wieder etwa eine Woche später) haut plötzlich auch Meta eine fette Mitteilung via CNN raus: Auch ihr Top-Modell sei im Rahmen eines Sicherheitstests ins „freie Internet“ ausgebüchst und habe Systeme einer echten Drittfirma gehackt.
Und ehrlich? Spätestens jetzt sitze ich hier vorm Bildschirm, trinke meinen Kaffee und denke mir: Verarscht ihr uns eigentlich? Ist das jetzt der neueste Sommerloch-Marketing-Gag der Tech-Giganten nach dem Motto: „Schaut mal her, unser Werkzeug ist übrigens AUCH so mächtig, dass es fast die Weltherrschaft an sich reißt!“?
Lass uns das Ganze mal in gewohnter lockerer Level92 Manier auseinanderpflücken, denn je genauer man hinsieht, desto mehr bröckelt die Story von der „übermächtigen, unkontrollierbaren KI“.
Die Story laut Meta: Der Israeli-Cyber-Test
Holen wir kurz Luft und schauen uns an, was Meta überhaupt vermeldet hat.
Meta ließ eines seiner frontier-fähigen Modelle von der Cybersecurity-Firma Irregular auf Herz und Nieren testen. Für Kontext: Irregular ist keine kleine Nerd-Bude, sondern wurde von ehemaligen Elitesoldaten der israelischen Geheimdienst-Einheiten 8200 und 81 gegründet.
Während dieses Tests hat das Meta-Modell angeblich eine Sicherheitslücke bei einem externen Dienstleister ausgenutzt und sich Zugriff verschafft. Meta stellt das Ganze natürlich so dar: „Hoppla, das Modell war so schlau, es hat die Grenzen durchbrochen!“
Meta’s Muse Spark model “exploited a security vulnerability” in another company “in a manner similar to previously-reported instances with other companies.”
Aber halt mal. Genau hier schaltet sich die Security-Community ein und bringt ordentlich Licht ins Dunkel.
Der Reality Check: Wer hat hier eigentlich gemurkst?
Ein sehr treffender Beitrag von Online-Safety- & Privacy-Experte Paul Walsh auf Linkedin bringt das Problem genial auf den Punkt. Denn wenn man das PR-Sprech der Tech-Konzerne mal abzieht, bleibt eine recht nüchterne (und peinliche) Wahrheit übrig:
Eine KI bricht nicht „einfach so“ ins offene Internet aus
In den Disclosures heißt es immer ganz dramatisch, das Modell habe das „open internet“ erreicht. Walsh bringt es trocken auf den Punkt: Ein Modell hat entweder Internetzugang oder es hat keinen.
Das stellt kein KI-Gehirn von alleine ein, sondern der Admin, der den Testkonfigurations-Befehl tippt. Meta gab selbst zu, dass Irregular die Sandbox schlicht falsch konfiguriert hatte. Das Wort „open internet“ wird in solchen PR-Meldungen nur deshalb so prominent platziert, um dem Leser vorzugaukeln, es gäbe ein „sicheres Internet“, auf dem die KI eigentlich bleiben sollte, aus dem sie sich aber fies befreit hat. Nein, Freunde der Nacht: Da hat einfach jemand beim Setup der Firewall oder des Proxys den Haken an der falschen Stelle gesetzt!
Der Elefant im Raum: Die Monopol-Testbude „Irregular“
Jetzt wird es richtig pikant. Wer testet eigentlich die KIs von OpenAI, Anthropic, Google DeepMind und Meta?
Richtig: Immer dieselbe Firma, Irregular.
Egal ob OpenAI, Anthropic, DeepMind oder Meta: Vor dem Release geben ALLE US-Tech-Riesen ihre mächtigsten Modelle in die Hände dieses einen Dienstleisters. Sogar das britische AI Security Institute (AISI) hat sich von Irregular dabei helfen lassen, die fortschrittlichen Cyber-Benchmark-Tests zu entwickeln. Das staatliche britische Prüfgremium testet US-KIs also mit Werkzeugen, die von genau dem Partner entwickelt wurden, den die US-Firmen selbst bezahlen!
Bedeutet: Irregular ist der ultimative Nadelöhr-Monopolist. Eine einzige Firma weiß exakt:
- Welches Modell wo einbrechen kann.
- Wie die einzelnen Modelle dabei vorgehen.
- Welche Schwachstellen die jeweiligen AI-Giganten noch non gefixt haben.
Wenn also bei OpenAI, Anthropic und Meta zufällig im Wochenabstand fast identische „Sandbox Escapes“ passieren, liegt das vielleicht gar nicht daran, dass die KIs plötzlich alle gleichzeitig das Bewusstsein erlangen, sondern daran, dass ein und derselbe Testpartner bei allen Audits dieselben (fehlkonfigurierten) Umgebungen nutzt!
Marketing-Framing: „Nicht wir waren schuld, die KI war einfach zu krass!“
Was mich an dieser ganzen Welle an Disclosures am meisten fasziniert (und genervt) hat, ist die geschickte Täter-Opfer-Umkehr der PR-Abteilungen:
In jeder einzelnen Pressemitteilung wird die KI als handelnder Akteur gerahmt:
- „Das Modell hat die Lücke gefunden.“
- „Das Modell hat beschlossen auszubrechen.“
- „Das Modell hat den Drittanbieter gehackt.“
Das ist perfektes Risk-Shifting und kostenloses Hype-Marketing in einem:
- Der Hype-Effekt: Wenn deine KI so mächtig klingt, dass sie selbst Militär-Cybertests sprengt, steigen die Aktien und Investoren reiben sich die Hände. „Unser Tool ist übrigens extrem potent!“
- Die Haftungs-Frage: Wenn etwas schiefgeht (z.B. wenn eine echte Drittfirma durch den Test geschädigt wird), schiebt man die Schuld lieber auf ein „unberechenbares KI-Verhalten“ oder die Testfirma, als zuzugeben: „Unsere eigene Software bzw. unser Dienstleister hat Schlamperei bei der Netzwerktrennung betrieben.“
Wie Paul Walsh richtig anmerkt: Es wird extrem spannend zu sehen, wer am Ende rechtlich haftet, wenn bei so einem bezahlten Audit eine reale Firma kompromittiert wird. Der Testdienstleister, der die Sandbox verstrubbelt hat? Der KI-Entwickler? Oder beide?
Fazit: Weniger Skynet, mehr Konfigurationsfehler
Nachdem OpenAI Ende Juli mit der Hugging-Face-Story noch wie der Pionier eines unheimlichen neuen Phänomens wirkte, hinterlassen die nachfolgenden Meldungen von Anthropic und Meta einen faden Beigeschmack. Wir sehen hier vermutlich keinen plötzlichen Skynet-Moment, in dem KIs reihenweise ihre Schöpfer überlisten. Was wir sehen, ist eine Mischung aus:
- Schlampigen Sandbox-Konfigurationen beim omnipräsenten Test-Monopolisten Irregular.
- Trittbrettfahrer-PR, bei der jeder Konzern beweisen will, wie „gefährlich nah an der Superintelligenz“ das eigene Modell doch schon operiert.
- Den Versuch, die Verantwortung von den eigenen Ingenieuren auf das „autonome Modell“ abzuwälzen.
Also: Tief durchatmen, Aluhut wieder einpacken. Wenn deine KI das nächste Mal ausbricht, lag es höchstwahrscheinlich nicht an der Singularität sondern möglicherweise daran, dass jemand im Testnetzwerk wieder das Port-Forwarding falsch eingestellt hat.
IT 
DE 
EN 
ES 
FR