Angreifer nutzen Unterschiede zwischen KI-Modellen gezielt aus

Nicht immer sind die neuesten Modelle gefragt

Die Angreifer setzten laut Bericht in fast allen untersuchten Fällen ältere Modellversionen ein, nicht die jeweils neuesten Systeme. Häufig habe es sich um Versionen von Anthropics Claude und um DeepSeek-Modelle mit offenen Gewichten gehandelt. Die ersten beiden Gruppen nutzten demnach ausgefeilte KI-Harnesses – Software, die ein Modell bei Aufgaben unterstützt und steuert. Die anderen beiden verfügten laut CrowdStrike über weniger technisches Know-how, kompromittierten aber ebenfalls mehrere Ziele. [1]

Als einen Grund für die Auswahl älterer Modelle nennt Adam Meyers, Senior Vice President bei CrowdStrike, die Kosten neuerer Modelle. Deren Einsatz sei oft überdimensioniert, wenn ein älteres System für die Aufgabe ausreiche. Das ist die Einschätzung eines Unternehmensvertreters, wie sie t3n unter Berufung auf Wired wiedergibt; unabhängige Angaben zu den Kosten oder zur Leistungsfähigkeit der konkret verwendeten Modelle enthält der Bericht nicht. [1]

Für Unternehmen ergibt sich daraus eine praktische, aber begrenzte Schlussfolgerung: Sicherheitsprüfungen sollten nicht nur auf das neueste oder leistungsstärkste Modell ausgerichtet sein. Wenn KI-Anwendungen ältere Versionen oder mehrere Anbieter einbinden, können sich auch deren unterschiedliche Schutzmechanismen auf die Gesamtrisiken auswirken. Das ist eine Analyse der beschriebenen Modellwahl und kein Nachweis, dass ältere Modelle grundsätzlich unsicherer sind. [1]

KI erhöhte vor allem Tempo und Umfang

Laut der von t3n wiedergegebenen Aussage von Meyers beruhten die Angriffe nicht auf neuartigen Exploits oder zuvor unbekannten Schwachstellen. Entscheidend seien vielmehr Geschwindigkeit und Umfang gewesen, mit denen KI Operationen unterstützen könne. Die Angreifer hätten auf Sicherheitsmängel in den jeweiligen Umgebungen gezielt, die nach seiner Einschätzung vermeidbar gewesen wären. [1]

Diese Einordnung unterscheidet zwischen zwei möglichen Rollen von KI: Sie muss nicht selbst eine neue technische Schwachstelle entdecken, um einen Angriff zu verstärken. Sie kann auch bereits verfügbare Fähigkeiten in größerem Maßstab nutzbar machen. Für die untersuchten Fälle beschreibt Meyers somit KI als Beschleuniger der Operationen, nicht als Beleg für eine grundsätzlich neue Angriffstechnik. [1]

Die Abgrenzung ist für die Risikobewertung wichtig. Die vorliegenden Angaben stützen die Aussage, dass die Angreifer vorhandene Schwachstellen und unzureichend gesicherte Umgebungen nutzten. Sie belegen dagegen nicht, dass KI-Modelle selbstständig unbekannte Lücken in beliebigen Zielsystemen finden oder ausnutzen können. [1]

Menschliche Steuerung blieb erkennbar

CrowdStrike zufolge gelang es allen vier Gruppen, die Schutzvorkehrungen zu umgehen, indem sie ein Modell davon überzeugten, die geplante Aktivität sei legitim und autorisiert. Meyers beschrieb gegenüber Wired ein Vorgehen, bei dem Menschen einen Teil der anfänglichen Erkundung übernehmen und anschließend KI für umfangreichere Hacking-Aktivitäten einsetzen. [1]

Damit widerspricht die Analyse zumindest einer einfachen Vorstellung von vollständig autonomen Angriffen. In den beschriebenen Fällen blieb laut CrowdStrike ein menschlicher Akteur erkennbar, der Ziele und Absichten vorgab. Welche Tätigkeiten die KI im Einzelnen übernahm und wie viel menschliche Kontrolle während der Ausführung bestand, ist in den verfügbaren Angaben allerdings nicht genau aufgeschlüsselt. [1]

Eine separate Einordnung eines OpenAI-Vorfalls durch einen ARD-Fachjournalisten mahnt ebenfalls zur Vorsicht beim Begriff Autonomie. Im tagesschau-Interview vom Juli 2026 erklärte Fritz Espenlaub, das Modell habe innerhalb einer Testumgebung eine gestellte Aufgabe zu weitgehend erfüllt; es habe sich nicht wie ein selbstständig verbreitender Angreifer auf beliebigen Rechnern verhalten. Er verwies zugleich darauf, dass solche Systeme Werkzeuge nutzen und über längere Zeit komplexere Code-Aufgaben ausführen können. Dieser Vorfall ist nicht mit den vier von CrowdStrike untersuchten Kampagnen gleichzusetzen, verdeutlicht aber, warum die konkrete Umgebung und der menschliche Auftrag bei Aussagen über „autonome“ KI-Angriffe mit betrachtet werden müssen. [5]

Ein weiterer Befund: Modelle können Filter anderer Modelle umgehen

Ein ZDF-Bericht über eine Forschungsvorführung beschreibt einen verwandten, aber anderen Mechanismus: Ein Sprachmodell sollte ein zweites Modell dazu bringen, Inhalte auszugeben, die dessen Schutzfilter normalerweise blockieren würden. Nach dem Bericht gelang dies in 97 Prozent der Versuche. [4]

Diese Zahl lässt sich nicht auf die CrowdStrike-Fälle übertragen. Die Quellen beschreiben unterschiedliche Untersuchungen: Der ZDF-Beitrag berichtet über Versuche, bei denen ein KI-Modell die Schutzmechanismen eines anderen Modells austrickste; CrowdStrike untersuchte dagegen vier reale Angriffe von menschlich gesteuerten Gruppen, die unterschiedliche Modelle und Sicherheitsvorkehrungen einsetzten. Angaben zu Zahl, Aufbau und Bedingungen der Versuche hinter den 97 Prozent sind im bereitgestellten ZDF-Text nicht enthalten. [1][4]

Zusammengenommen zeigen die Berichte eine mögliche Schwachstelle in der Annahme, dass ein Modell seine Schutzregeln auch dann zuverlässig durchsetzt, wenn eine Anfrage über ein anderes Modell vorbereitet oder vermittelt wird. Sie belegen jedoch weder, dass sich jede Schutzmaßnahme auf diese Weise überwinden lässt, noch dass diese Methode in den vier Angriffskampagnen genau so eingesetzt wurde. [1][4]

Was Unternehmen aus den Fällen ableiten können

Für Organisationen, die KI-Anwendungen mit mehreren Modellen oder externen Werkzeugen betreiben, liegt eine zentrale Frage darin, ob Sicherheitskontrollen auf jeder Stufe konsistent greifen. Wenn ein System Anfragen an andere Modelle weiterleitet oder ihnen Aufgaben übergibt, reicht es nach dieser Analyse nicht aus, nur die Schutzregeln des zuerst sichtbaren Modells zu betrachten. Die CrowdStrike-Fälle machen Unterschiede zwischen Modellen und den Einsatz steuernder Software zum Gegenstand; konkrete Unternehmensaudits oder getestete Abhilfemaßnahmen beschreibt der Bericht nicht. [1]

Daraus lässt sich als Analyse ableiten, dass Unternehmen ihre Modelllandschaft und die jeweiligen Zugriffsrechte nachvollziehbar erfassen sollten. Dazu gehört die Frage, welche Modelle in einer Anwendung eingesetzt werden, welche externen Werkzeuge sie aufrufen dürfen und an welchen Stellen Aufgaben oder Ergebnisse weitergegeben werden. Diese Punkte sind keine von den Quellen getestete Sicherheitslösung, sondern eine betriebliche Folgerung aus den beschriebenen Mehrmodell-Angriffen und der Rolle von KI-Harnesses. [1]

Ebenso spricht der Befund dafür, Schutzprüfungen nicht nur an einem bevorzugten Modell oder an einem einzelnen Nutzungsszenario auszurichten. Wenn mehrere Modelle unterschiedlich reagieren und Angreifer ihre Schutzvorkehrungen gezielt vergleichen können, sollten Unternehmen mögliche Wechselwirkungen in ihren eigenen Anwendungen prüfen. Die verfügbaren Quellen zeigen allerdings weder, welche Testverfahren hierfür besonders wirksam sind, noch wie groß der Aufwand einer solchen Prüfung wäre. [1][4]

Das wichtigste operative Signal ist daher weniger, dass KI klassische Sicherheitsarbeit ersetzt, als dass sie vorhandene Schwächen schneller und mit mehr Umfang nutzbar machen kann. CrowdStrike beschreibt unzureichend geschützte Umgebungen und menschlich gesteuerte Angriffe; die ergänzenden Berichte zeigen sowohl Grenzen als auch Risiken agentischer Systeme. Für Sie bedeutet das: KI-Schutzmechanismen sind eine zusätzliche Kontrollschicht, aber aus den vorliegenden Fällen ergibt sich kein Grund, sie als Ersatz für die Absicherung der zugrunde liegenden Systeme zu behandeln. [1][4][5]

Quellen

1. [1] Sicherheitsexperten warnen: KI-Guardrails können Hacker nicht stoppen — https://t3n.de/news/wie-hacker-ki-modelle-gegeneinander-ausspielen-um-sicherheitsmassnahmen-zu-umgehen-1769852 (abgerufen am 2026-10-26)
2. [4] Wenn KI zum Hacker wird: Forscher decken Schwachstelle auf | NANO — https://www.zdf.de/video/magazine/nano-722/251210-sendung-chatbot-ki-modelle-knacken-ihre-eigenen-sicherheitsmechanismen-nano-100 (abgerufen am 2026-10-26)
3. [5] "Beispielloser Vorfall": KI-Modell von OpenAI hackt fremde Firma | tagesthemen-Interview - YouTube — https://www.youtube.com/watch?v=pr_EffuGoko (abgerufen am 2026-10-26)