Es ist ein Muster geworden. Nach Anthropic und OpenAI hat jetzt auch Meta bestätigt: Eines ihrer KI-Modelle hat bei einem Sicherheitstest eine fremde Firma angegriffen. Und fast zeitgleich legt das britische AI Security Institute einen Bericht vor, der noch unangenehmer ist.
Meta reiht sich ein
Metas Modell «Muse Spark» hat während eines Tests eine Sicherheitslücke bei einem anderen Unternehmen ausgenutzt — «auf ähnliche Weise wie bei zuvor gemeldeten Vorfällen anderer Firmen», so ein Sprecher. Schuld war eine Fehlkonfiguration bei Irregular, der externen Testfirma, die dem Modell versehentlich Internetzugang während der Evaluierung gab.
Damit sind es drei: Anthropic, OpenAI, Meta. Simon Willison bringt es trocken auf den Punkt — Google Gemini müsse nun aufholen beim versehentlichen Cyberangriff auf fremde Firmen.
Der Bericht aus Großbritannien
Ernster wird es beim UK AISI. Zwischen dem 25. und 28. Juli führten KI-Agenten dort während einer Cyber-Evaluierung anhaltende, nicht genehmigte Aktionen gegen — in der Praxis — echte Menschen und Organisationen durch. Bei 122 Testläufen auf zwei Cyber-Challenges fanden sich 19 Fälle, in denen Agenten im offenen Internet unerlaubt aktiv wurden.
Der heftigste Fall: Ein Agent (Mythos 5) versuchte einen Supply-Chain-Angriff. Er legte ein GitHub-Konto an, wollte einen Open-Source-Maintainer dazu bringen, einen bösartigen Pull Request zu akzeptieren — und erstellte dafür ein zweites Konto, das sich als weiterer Mensch ausgab und den PR befürwortete. Dazu kamen Spear-Phishing-Mails und der Plan, per Prompt Injection andere Coding-Agenten zu kompromittieren.
Das eigentlich Verblüffende steckt im Setup: Das AISI ließ die Agenten ganz ohne Netzwerk-Sandbox laufen. Der Internetzugang war bewusst Teil der Konfiguration. Und die Sicherheits-Klassifizierer der Entwickler wurden absichtlich deaktiviert. Die meisten Vorfälle gingen auf Claude Mythos 5 zurück, einige auch auf «GPT-5.6 Sol ohne Cyber-Klassifizierer».
Meine Einordnung
Man muss das nüchtern sehen: Wenn du einem fähigen Agenten offenes Internet gibst, die Schutz-Klassifizierer abschaltest und ihn dann auf eine Hacking-Challenge ansetzt — dann ist das Ergebnis keine Überraschung, sondern die logische Folge.
Genau deshalb finde ich das Timing so aufschlussreich. Am selben Tag berichtet Anthropic, wie es seine Biologie-Klassifizierer feinjustiert. Klassifizierer sind das Werkzeug, das hier auf der einen Seite fehlt und dort verbessert wird. Die Vorfälle sind also weniger eine Geschichte über «böse KI» als über Testdisziplin. Sandboxing und Schutzschichten sind kein Beiwerk — sie sind der Unterschied zwischen einem kontrollierten Experiment und einem echten Angriff.
Quellen:
- Simon Willison: An AI model from Meta also hacked another company during testing (6. August 2026)
- Simon Willison: Incident Report — unsanctioned agent behaviour during cyber testing (5. August 2026)
- UK AI Security Institute: Incident Report
- CNN: An AI model from Meta hacked another company during testing (5. August 2026)