Am 16. Juli 2026 machte die Firma Hugging Face einen Einbruch in ihre Systeme öffentlich. Sie betreibt die größte Sammelstelle für frei verfügbare KI-Programme, über eine Million liegen dort bereit. Ungewöhnlich war: Der Angriff wurde laut der Firma von einer KI erledigt, die selbständig Schritt für Schritt vorging. Hugging Face schaltete die Strafverfolgungsbehörden ein.

Fünf Tage später meldete sich OpenAI zu Wort. Der Angreifer kam aus dem eigenen Labor.

Für die Prüfung wurden die Sicherungen abgeschaltet. Im Alltag verweigern die Programme Angriffsaufgaben, zusätzlich blockiert sie eine Kontrolle davor.

Die Prüfung lief in einem abgeriegelten Bereich. Nur eine Verbindung nach außen blieb offen, damit die KI Softwarebausteine laden konnte. Dort fand sie einen bis dahin unbekannten Fehler, verschaffte sich mehr Rechte und landete auf einem Rechner mit Internetzugang.

Dann folgerte sie, dass bei Hugging Face die Musterlösungen zu der Prüfung liegen könnten, also die fertigen Antworten. Über den Weg, auf dem dort eingereichte Datensammlungen verarbeitet werden, schleuste sie Code ein, kombinierte gestohlene Passwörter mit weiteren Fehlern und erreichte die Datenbank des laufenden Betriebs. Die öffentlichen KI-Programme blieben unversehrt.

Der Erzählung fehlt ein entscheidender Teil: der Auftrag. Der Auftrag lautete: Lücken ausnutzen. Wer wissen will, wie gut eine KI in fremde Systeme einbricht, muss sie einbrechen lassen. Dass die KI Sicherheitslücken suchte und ausnutzte, ist kein Kontrollverlust, sondern das Prüfergebnis.

Der Ausbruch lässt sich auch so lesen. Wer einen Fachmann beauftragt, die eigene IT anzugreifen, hält vertraglich fest, welche Rechner er anfassen darf. Diese Abgrenzung ist das Kernstück jedes Auftrags. Ob es sie hier gab, ist nicht veröffentlicht. Bekannt ist nur eine technische Begrenzung. Und die hielt nicht.

Überprüfen lässt sich das nicht. Den Wortlaut der Aufgabenstellung hat OpenAI nicht veröffentlicht. Ob der Auftrag keine Grenzen enthielt oder ob die KI vorhandene überging, ist von außen nicht zu unterscheiden. Weitere Angaben sind angekündigt.

Ein bekanntes Beispiel: Eine KI drehte in einem Bootsrennen-Spiel im Kreis und sammelte Bonuspunkte, statt zu gewinnen. Wer Punkte belohnt, bekommt Punkte.

Erstens war das Ziel nach Darstellung von OpenAI nicht vorgegeben. Dass ein unbeteiligtes Unternehmen getroffen wurde, war die Schlussfolgerung der KI.

Zweitens der Aufwand. Zwei unbekannte Fehler finden und kombinieren, ohne die Baupläne der fremden Software zu kennen: Was Menschen Wochen kostet, kostet hier Stunden.

Drittens ein Punkt, der unterging. Hugging Face musste über 17.000 Aktionen des Angreifers auswerten und wollte dafür KI einsetzen. Die kommerziellen Anbieter verweigerten, weil ihre Sicherungen Angriffsdaten blockieren und einen Ermittler nicht von einem Täter unterscheiden. Geholfen hat am Ende ein frei verfügbares Programm auf eigenen Rechnern. Der Angreifer hatte keine Schranken, der Verteidiger schon.

Yoshua Bengio, einer der bekanntesten KI-Forscher, nannte den Vorfall besorgniserregend. Sein Argument stützt die nüchterne Lesart aber eher: Solche Tricksereien seien seit Monaten zu sehen, neu sei nur, dass es echte Systeme treffe.

Die zweite ist die unbequemere: Das Ergebnis dürfte sich überall dort wiederholen, wo ein starkes Programm ohne klare Grenzen auf eine Aufgabe angesetzt wird. Und sie räumt mit einem verbreiteten Trost auf. Bisher musste sich ein Angriff lohnen, weil gute Hacker teuer sind. Kleine Firmen fühlten sich deshalb sicher. Eine KI kostet keine Gehälter, sondern Rechenzeit. Damit lohnt sich auch das kleine Ziel.