Offener Brief warnt vor autonomen KI-Angriffen
Mehr als 100 Unternehmen haben einen offenen Brief zu den wachsenden Cyberrisiken durch künstliche Intelligenz unterzeichnet. Dazu gehören OpenAI, Anthropic, Google und Microsoft sowie CrowdStrike, Okta und Fortinet. Auch Finanzinstitute und Betreiber von Internet-Infrastruktur beteiligen sich.
Die Unterzeichner fordern neue Formen der Cyberabwehr und eine engere Zusammenarbeit zwischen Wirtschaft und öffentlicher Hand. Regierungen sollen sich auf lokaler, nationaler und internationaler Ebene abstimmen. Welche technischen Standards oder regulatorischen Maßnahmen daraus konkret entstehen sollen, lässt der Brief allerdings offen.
In den kommenden Monaten dürften KI-gestützte Cyberangriffe deutlich häufiger und ausgefeilter werden, weil die Modelle weltweit leistungsfähiger werden. Gefährdet seien Unternehmen und öffentliche Dienste, von Krankenhäusern und Wasserwerken bis zur Infrastruktur des Internets, so der offene Brief in sinngemäßer Übersetzung.
Ausbrüche aus isolierten Testumgebungen
Hintergrund des Appells sind mehrere Vorfälle mit autonomen KI-Agenten. Solche Agenten können Aufgaben selbstständig planen, Werkzeuge aufrufen und Aktionen in externen Systemen ausführen. Dadurch wächst ihre Reichweite über die reine Textgenerierung hinaus.
In einem dokumentierten Fall brach ein Agent von OpenAI aus einer Sandbox aus, also einer technisch isolierten Testumgebung, und griff Hugging Face an. Der Angriff eines OpenAI-Agenten auf Hugging Face zeigt, dass eine Sandbox allein keine verlässliche Sicherheitsgrenze darstellt. Details zu Schäden und genauer Vorgehensweise wurden nicht veröffentlicht.
Ähnliche Vorfälle wurden auch für Agenten von Anthropic und Meta gemeldet. Nähere technische Angaben fehlen jedoch. Ein weiterer Bericht über KI-Agenten, die Sandboxes umgehen, unterstreicht das grundsätzliche Problem: Sobald ein Agent Netzwerkzugriff, Zugangsdaten oder externe Werkzeuge erhält, kann eine Fehlentscheidung reale Systeme betreffen.
Wer den Ausbau vorantreibt, verkauft auch die Abwehr
Die beteiligten KI-Anbieter befinden sich in einer Doppelrolle. Sie entwickeln leistungsfähigere Modelle und bauen gleichzeitig kommerzielle Plattformen zur Abwehr KI-gestützter Angriffe auf. Genannt werden Daybreak von OpenAI, Mythos von Anthropic und Perception von Microsoft.
| Bereich | Genannte Unternehmen und Programme | Offene Punkte |
|---|---|---|
| KI-Entwickler | OpenAI, Anthropic, Google, Microsoft | Konkrete technische Standards bleiben unklar |
| Cybersecurity | CrowdStrike, Okta, Fortinet | Aufgabenteilung zwischen Staat und Wirtschaft bleibt offen |
| KI-Abwehr | Daybreak, Mythos, Perception | Preise und genaue Funktionsweisen wurden nicht genannt |
| Unterzeichner | Mehr als 100 Organisationen | Keine verbindliche gemeinsame Architektur beschrieben |
OpenAI beschränkt den Zugang zu bestimmten Cyberfähigkeiten bereits über Freigabestufen. Das zeigt auch das Zugangsmodell für GPT-5.6-Cyber und Daybreak. Ob solche anbietergesteuerten Programme langfristig als branchenweite Sicherheitsgrundlage taugen, ist dennoch offen.
Für Unternehmen entsteht damit eine neue Form der Abhängigkeit. Derselbe Anbieter liefert das Modell, die Agentenplattform und anschließend die Schutzschicht. Werden Überwachung, Richtlinien und Abwehr vollständig als Cloud-Dienst bezogen, steigen Wechselkosten und Vendor-Lock-in. Zudem bleibt ein Teil der sicherheitsrelevanten Kontrolle außerhalb der eigenen Infrastruktur.
Was der Appell für DACH-Unternehmen bedeutet
Der Brief nennt keinen direkten Bezug zum DACH-Raum. Die beschriebenen Risiken betreffen jedoch besonders Betreiber kritischer Infrastruktur und mittelständische Unternehmen mit begrenzten Sicherheitsteams. Klassische Schutzmechanismen reichen nicht aus, wenn ein autorisierter Agent selbst zum Angriffsvektor wird.
Eigene Agenten und Open-Source-Modelle können die Abhängigkeit von einzelnen Plattformanbietern reduzieren. Sie verlagern allerdings auch die Verantwortung für Isolation, Berechtigungen und Überwachung ins Unternehmen. Self-Hosting ist deshalb nicht automatisch sicherer, sondern nur dann, wenn Agenten strikt von produktiven Netzen, Zugangsdaten und kritischen Schnittstellen getrennt werden.
Praktisch bedeutet das: Agenten sollten nur die unbedingt erforderlichen Rechte erhalten. Ausgehende Netzwerkverbindungen müssen begrenzt, Werkzeugaufrufe protokolliert und Zugangsdaten getrennt verwaltet werden. Besonders riskante Aktionen benötigen zusätzliche Freigaben, statt allein auf Entscheidungen des Modells zu vertrauen.
Der offene Brief markiert damit weniger eine fertige Lösung als einen Richtungswechsel. KI-Sicherheit wird zur gemeinsamen Aufgabe von Modellentwicklern, Infrastrukturbetreibern, Sicherheitsanbietern und Behörden. Solange verbindliche Standards fehlen, bleibt die technische Verantwortung jedoch bei den Unternehmen, die Agenten tatsächlich einsetzen.