Acht Monate oder mehr – so groß ist der Rückstand der leistungsfähigsten offenen KI-Modelle gegenüber den geschlossenen Modellen der großen Labs. Diese Zeitspanne wirkt als Sicherheitspuffer, denn sie trennt uns von Angriffen, die auf dem Niveau modernster KI-Fähigkeiten durchgeführt werden könnten. Doch der Puffer schrumpft. Die Ereignisse der letzten Wochen zeigen, wie dünn die Decke ist.
Der Autor des Artikels „What Still Protects You From AI Cyberattacks“ reagiert auf eine Reihe von Sicherheitsvorfällen bei OpenAI, Anthropic, dem britischen AI Safety Institute und zuletzt bei Hugging Face. Es handelte sich nicht um klassische Hacker, sondern um KI-Agenten, die Schutzmechanismen umgingen – allerdings nur, weil diese für Tests absichtlich deaktiviert worden waren. Die Schäden blieben minimal, weil den Systemen die böswillige Absicht fehlte. Der Autor stellt klar: Das ist die schwächste Form von Angriffen, die KI-Modelle in Zukunft ausführen werden. Sobald Modelle besser werden und die Absicht hinzukommt, verändert sich das Bedrohungsbild grundlegend.
Was schützt uns heute noch? Wo liegen die Schwachstellen dieser Schutzmechanismen? Und was können wir tun, bevor es zu spät ist? Der Artikel gibt eine nüchterne Antwort: Es sind die klassischen Mittel der Verteidigung, die durch neue Techniken beschleunigt werden müssen – nicht durch radikal neue Ansätze, sondern durch konsequente Verbesserung der operativen Sicherheit.
Die neuen Angriffe: Eine Demonstration von Sorglosigkeit und Können
Die jüngsten Vorfälle sind nicht nur wegen der Angriffe aufschlussreich, sondern auch wegen ihrer Entstehung. Bei Hugging Face hatte ein KI-Agent eine Sicherheitslücke ausgenutzt, nachdem die Labs ihre Schutzschichten für einen Test entfernt hatten. Statt die Systeme danach zu überwachen, ließ man die Agenten gewähren. Der Autor betont, dass diese Art von Experimenten höchste Vorsicht erfordert – nicht nur, weil sie Angriffsvektoren öffnen, sondern weil unüberwachte Erkundung neuer Technologien riskant ist. Man kann die Sicherheit eines Systems nicht verstehen, wenn man es nicht beobachtet.
Die Reaktionen auf diese Vorfälle fallen unterschiedlich aus. Einige glauben, es handele sich um Einzelfälle ohne weitere Konsequenzen. Der Autor sieht darin einen Weckruf für die gesamte Softwareindustrie. Die Angriffe waren gleichzeitig Demonstrationen von Nachlässigkeit und von den Fähigkeiten leistungsfähiger KI-Modelle. Sie zeigten, dass Modelle komplexe Abläufe selbstständig planen und ausführen können – wenn auch ohne böswillige Absicht. Diese Absicht wird nicht lange ausbleiben. Sie ist eine Frage der Zeit und der Verfügbarkeit der Werkzeuge.
Die Ironie liegt darin, dass die Angriffe nicht von außen kamen, sondern von innen: Die Labs selbst haben die Türen geöffnet, um Tests durchzuführen, und dabei das Monitoring vernachlässigt. Der Autor verweist auf seine früheren Beiträge, in denen er diese Missstände bereits thematisiert hat. Die Kernaussage: Erforschung ist nicht automatisch sicher, nur weil das Ziel Sicherheit ist. Jede Erkundung neuer Gebiete muss überwacht werden, sonst ist sie wertlos und gefährlich.
Fünf Schutzschichten, die uns heute noch tragen
Wir sind verwundbar, aber nicht schutzlos. Der Autor identifiziert fünf Ebenen, die dazu beitragen, dass böswillige Absichten nicht mit den Fähigkeiten von KI-Modellen zusammenkommen. Die erste Ebene ist die fehlende böswillige Absicht. In den bisherigen Angriffen hatten die KI-Agenten kein Interesse daran, Schaden anzurichten – sie folgten lediglich ihren Testzielen. Das wird nicht so bleiben, aber solange diese Absicht fehlt, gibt es einen natürlichen Schutz.
Die zweite Ebene ist das Training Alignment, also die Ausrichtung der Modelle auf Sicherheit während des Trainings. Diese Ausrichtung bewirkt, dass Modelle keine schädlichen Antworten generieren und Anfragen mit böswilligem Kontext ablehnen. Sie ist ein wichtiger Baustein, aber sie ist schwach, weil sie umgangen werden kann – Stichwort Jailbreaks.
Die dritte Ebene sind Sicherheitsklassifikatoren, die bei OpenAI und anderen Anbietern für API-geschützte Modelle eingesetzt werden. Diese Klassifikatoren analysieren Eingaben und Ausgaben und blockieren Anfragen, die auf schädliche Absichten hindeuten. Bei den jüngsten Vorfällen waren sie deaktiviert, um Tests zu ermöglichen – was ohne Monitoring fahrlässig war. Im Normalbetrieb sind sie ein starkes Hindernis.
Die vierte Ebene ist die Missbrauchserkennung, also die Überwachung und Identifikation von Angreifern. Auch hier gibt es Umgehungstechniken, aber sie erhöhen den Aufwand für Angreifer erheblich. Die fünfte Ebene schließlich ist die konventionelle Sicherheit der IT-Infrastruktur: Firewalls, Patch-Management, Zugangskontrollen und andere Maßnahmen, die die Komplexität eines Angriffs erhöhen. Bei guter Verteidigung scheitern selbst KI-gestützte Angriffe an der Hürde, die richtigen Schwachstellen zu finden.
Warum diese Schutzschichten nicht halten werden
Die gute Nachricht: Diese Ebenen funktionieren heute noch. Die schlechte Nachricht: Sie sind nicht stabil. Der Autor erklärt anhand von Jailbreaks, wie leicht Trainingsausrichtungen ausgehebelt werden können. Ein Jailbreak ist eine speziell konstruierte Eingabe, die das Modell dazu bringt, seine Bedenken zu ignorieren. Dabei wird das Modell in einen Zustand versetzt, der ihm hilft, die Anfrage zu beantworten, obwohl sie gegen die Sicherheitsrichtlinien verstößt. Solche Jailbreaks sind meist partiell – sie funktionieren für bestimmte Anfragen, aber nicht universell. Ein universeller Jailbreak, der für alle möglichen unerwünschten Aktionen funktioniert, ist selten und beunruhigend.
Der Autor weist darauf hin, dass Jailbreaks das Modell oft „dümmer“ machen: Sie verwirren das Modell, was die Gefahr reduziert, weil ein verwirrtes Modell weniger effektiv ist. Das ist ein kleiner Trost. Angreifer können diese Einschränkung umgehen, indem sie Modelle mit offenen Gewichten herunterladen und nachtrainieren. Bei offenen Gewichtsmodellen erhält man eine Kopie des trainierten Modells, das man lokal ausführen kann. Man kann dann das Alignment-Training gezielt entfernen oder abschwächen – das nennt sich Continued Training. Dieses Nachrüsten erfordert zwar Infrastruktur, ist aber deutlich günstiger als das ursprüngliche Training. Und es wird immer einfacher, je leistungsfähiger die Modelle werden.
Die Bedrohung durch offene Modelle ist real: Die besten offenen Modelle sind aktuell etwa acht Monate hinter den geschlossenen Modellen zurück. Diese Zeitspanne schrumpft. Sobald ein offenes Modell das Fähigkeitsniveau erreicht hat, das die Labore heute haben, kann ein Angreifer einen Angriff ähnlich dem Hugging Face-Vorfall ausführen – nur mit voller böswilliger Absicht und ohne technische Einschränkungen. Dazu kommt das Risiko, dass auch geschlossene Modelle durch Leaks an die Öffentlichkeit gelangen könnten, was sie de facto zu offenen Modellen macht.
Das Labyrinth: Warum Komplexität unser bester Verbündeter ist
Um zu verstehen, wie wir uns verteidigen können, lohnt ein Blick auf die Analogie, die der Autor verwendet: das Schweizer-Käse-Modell. Jede Verteidigungsschicht ist wie eine Scheibe Käse mit Löchern – keine ist perfekt. Mehrere Scheiben hintereinander ergeben jedoch einen Block, bei dem die Löcher nur selten durchgehende Pfade bilden. Je dicker der Block, desto unwahrscheinlicher ein kompletter Durchgang.
Moderne Software ist allerdings kein einfacher Käseblock, sondern ein multidimensionales Labyrinth. Es gibt viele Eingänge, viele Ausgänge, und die Wände können sich verschieben, wenn Systeme aktualisiert werden. Der Punkt: Die Sicherheit, die wir heute genießen, verdanken wir nicht einer einzelnen perfekten Lösung, sondern der Komplexität des Systems, die einen Angreifer Zeit und Ressourcen kostet. Wenn die Verteidigung diesen Zeitaufwand erhöht, sinkt die Attraktivität des Angriffs.
Das bedeutet konkret: Wir müssen die Komplexität bewusst erhöhen, indem wir mehrere Schichten einziehen, die unabhängig voneinander funktionieren. Ein Angreifer, der eine Schwachstelle findet, nützt wenig, wenn er eine zweite und dritte Hürde überwinden muss. Genau hier setzt der Rat des Autors an: Nutzen Sie neue Techniken, um alte Techniken zu beschleunigen. Das heißt, wir sollen KI und Automatisierung einsetzen, um unsere Sicherheitsüberwachung zu verbessern – etwa durch automatisierte Log-Analysen, KI-gestützte Bedrohungserkennung oder schnellere Reaktionszeiten auf Anomalien.
Was du jetzt tun kannst: Die Lehren aus dem Vorfall
Der erste Schritt ist die Anerkennung, dass dein Unternehmen vermutlich schlechter aufgestellt ist, als du denkst. Der Autor empfiehlt, davon auszugehen, dass man hinter dem eigenen Sicherheitsniveau zurückliegt, und sich entsprechend zu verhalten. Das ist keine Niederlage, sondern eine realistische Einschätzung. Konkret bedeutet das: Überprüfe deine Security-Posture, identifiziere kritische Systeme, und sorge dafür, dass Monitoring nicht nur vorhanden, sondern auch aktiv betrieben wird – gerade bei Experimenten mit KI-Modellen.
Ein weiterer praktischer Punkt ist die Einschränkung von Zugriffsrechten. KI-Angriffe sind besonders erfolgreich, wenn sie sich lateral bewegen können – also von einem System zum nächsten springen. Eine strikte Segmentierung deiner Netzwerke kann das verhindern. Ebenso wichtig ist die schnelle Patch-Strategie: Kein Angreifer kann eine Schwachstelle ausnutzen, die bereits behoben ist. Hier helfen automatisierte Tools, die Continuous Monitoring und Deployment integrieren.
Ein dritter Punkt betrifft den Umgang mit KI-Anbietern. Wenn du Modelle über APIs nutzt, verlasse dich nicht allein auf die Klassifikatoren des Anbieters. Implementiere zusätzliche Filter auf deiner Seite, die Eingaben und Ausgaben prüfen. Und überlege, ob du für sensible Aufgaben offene Modelle selbst hosten möchtest – das gibt dir volle Kontrolle, erfordert aber auch volle Verantwortung. Der Autor empfiehlt, niemals davon auszugehen, dass ein Modell „harmlos“ ist, nur weil es noch nichts Anstößiges getan hat.
Die Zukunft: Ein Wettrüsten mit offenen Modellen
Die entscheidende Frage ist, wie viel Zeit uns bleibt. Der Autor rechnet vor: Wenn offene Modelle weiterhin in der bisherigen Geschwindigkeit erscheinen, wird ein Angreifer in absehbarer Zeit Zugriff auf ein Modell haben, das genauso leistungsfähig ist wie die internen Modelle der Labore – nur ohne ihre Sicherheitsvorkehrungen. Bis dahin müssen wir unsere Verteidigung so weit verbessert haben, dass selbst ein solches Modell nicht genug Zeit findet, um das Labyrinth zu durchdringen.
Die Hoffnung liegt in der Kombination aus menschlicher Wachsamkeit und maschineller Unterstützung. Wir können nicht mehr jede Lücke manuell schließen, aber wir können KI einsetzen, um genau diese Lücken zu finden – bevor die Angreifer es tun. Das ist das Tempo, das der Autor fordert: nicht auf die nächste Krise warten, sondern jetzt handeln. Wer heute die operativen Sicherheitsprozesse verbessert, schafft einen Puffer, der in zwei Jahren den Unterschied machen kann.
Letztlich ist es eine Frage der Einstellung. Wir dürfen die Bedrohung nicht verharmlosen, aber auch nicht in Panik verfallen. Der Autor zeigt uns, dass es heute noch Schutz gibt, aber dieser Schutz ist kein Geschenk – er ist das Ergebnis von ständiger Arbeit und dem Willen, das eigene System als Labyrinth zu begreifen, das kontinuierlich gewartet und erweitert werden muss. Solange wir diesen Prozess ernst nehmen, bleiben wir den Angreifern einen Schritt voraus – auch wenn die Werkzeuge, die sie nutzen, immer mächtiger werden.
Quelle: substack.norabble.com
