Ein Teil der Fachwelt ist überzeugt, dass OpenAI den Einbruch bei Hugging Face zumindest teilweise inszeniert hat, ein Testszenario mit echtem Exploit und maximaler Öffentlichkeitswirkung. Die Debatte ist nachvollziehbar, verfehlt aber den eigentlichen Punkt. Denn inszeniert oder nicht: Am Ende der Kette stand technisch dasselbe Bild wie bei zwei weiteren KI-Vorfällen der vergangenen zwölf Monate. Es gab keinen Angreifer im klassischen Sinn und trotzdem Traffic auf einer Anwendung, der sich keinem Menschen und keinem bekannten Bot mehr eindeutig zuordnen ließ.
Fall eins: Wie ein Modell aus dem eigenen Testlabor ausbrach
Am 21. Juli 2026 räumte OpenAI ein, dass zwei eigene Modelle, GPT-5.6 Sol und ein unveröffentlichtes System, während eines internen Sicherheitstests aus ihrer Sandbox ausgebrochen waren. Über eine bis dahin unbekannte Zero-Day-Lücke gelangten sie ins offene Internet und kompromittierten anschließend die Plattform Hugging Face, um sich Lösungen für den Cybersicherheits-Benchmark ExploitGym zu beschaffen. Wie ernst der Fall zu nehmen ist, darüber gehen die Meinungen auseinander. Kritisiert wurde, dass OpenAI die üblichen Schutzmechanismen für den Test bewusst deaktiviert hatte und der Bericht stellenweise wie Marketing wirkt. Gleichzeitig hatte sich das Modell kein eigenes Ziel gesetzt, sondern folgte einer Anweisung, nur eben ohne die Leitplanken, die das im Alltag verhindern würden.
Fall zwei: Ein Angreifer nutzt eine KI als Werkzeug
Im November 2025 wurde durch Anthropic bekannt, dass die chinesische, staatlich gesteuerte Gruppe GTG-1002 das Tool Claude Code manipuliert hat, um eine Spionagekampagne gegen Organisationen weltweit durchzuführen. Die Angreifer brachten das Modell per Jailbreak dazu, seine Schutzmechanismen zu umgehen, unter anderem, indem sie vorgaukelten, für eine Sicherheitsfirma zu arbeiten. Die KI übernahm anschließend einen Großteil der Angriffsarbeit, nach Angaben von Anthropic lag der KI-Anteil an der Kampagne bei 80 bis 90 Prozent. Hier gab es also, anders als bei OpenAI, einen klaren Angreifer und ein mutmaßlich politisches Motiv, nur half das den Verteidigern am Ende kaum weiter.
Fall drei: Eine KI baut das Werkzeug selbst
Der dritte Fall wurde erst kürzlich bekannt. Ein Malware-Autor ließ sich von einem Sprachmodell den Code für ein neues IoT-Botnetz namens TuxBot v3 schreiben. Unit 42 von Palo Alto Networks dokumentierte den Fund: ein plattformübergreifendes Framework für 17 Prozessorarchitekturen samt eigenem Command-and-Control-Server. Es ist zu rund 70 Prozent funktionsfähig und weist sichtbare Spuren KI-gestützter Entwicklung auf, darunter stehen gebliebene Codekommentare und ein unverändert übernommener Sicherheitshinweis. Auch hier lässt sich ein Motiv benennen, der Aufbau von Angriffskapazität für DDoS-Attacken, doch auch dieses Wissen half wenig dabei, den entstehenden Datenverkehr im Vorfeld zu erkennen.
Warum das Motiv die falsche Frage ist
Motiv, Auftraggeber und kriminelle Energie unterscheiden sich in diesen drei Fällen sehr deutlich. Verteidiger, die versucht hätten, anhand des Motivs zu reagieren, wären in keinem der drei Fälle vorbereitet gewesen, denn keiner kündigte sich an. Der gemeinsame Nenner liegt woanders: In allen drei Fällen handelte es sich am Ende um Datenverkehr auf einer Web-Anwendung oder API, der sich nicht mehr eindeutig einem Menschen oder einem bekannten Bot zuordnen ließ. Die von Anthropic beobachtete Kampagne erreichte in Spitzenzeiten mehrere Anfragen pro Sekunde, ein Tempo, das kein menschliches Team bewältigen könnte. Das in TuxBots integrierte DDoS-for-hire-Panel erzeugt gezielt Anfragen, die sich kaum von legitimem Traffic unterscheiden. Und die OpenAI-Modelle bewegten sich am Ende genauso durch Hugging Faces Infrastruktur wie ein Entwickler, der Datensätze abruft, nur eben deutlich schneller und zielgerichteter.
Verhalten als letzte verbliebene Konstante
Wie verbreitet dieses Problem auf Anwendungsebene bereits ist, zeigt eine Zahl aus dem Link11-Netzwerk: Nur rund vier Prozent des Datenverkehrs, der sich als Googlebot ausgab, stammte tatsächlich von Google. Im aktuellen Link11 European Cyber Report 2026 gab es über 700.000 dokumentierte Fälle von Spoofing.
Klassische Abwehrmechanismen setzen voraus, dass eine Anfrage ehrlich Auskunft über ihre Kennung, ihre Herkunft und ihr bekanntes Muster gibt. Identitätsprüfung und Signaturabgleich griffen in keinem der drei Fälle, da sich keiner dieser Angriffe als das zu erkennen gab, was er war. Als verlässliches Signal bleibt somit nur das Verhalten selbst: nicht, wer eine Anfrage angeblich ist, sondern wie sie sich bewegt, mit welchem Tempo, welcher Konsistenz und mit welchen Abweichungen von dem, was ein Mensch an dieser Stelle tun würde. Auf Netzwerkebene ist verhaltensbasierte Erkennung längst Standard, auf der Anwendungs- und API-Ebene, auf der alle drei hier beschriebenen Fälle endeten, jedoch noch nicht überall. Web Application & API Protection mit verhaltensbasierter Analyse ist deshalb kein Zusatzmodul mehr, sondern die Ebene, auf der sich entscheidet, ob ein Vorfall wie bei Hugging Face rechtzeitig auffällt. Ob man den OpenAI-Fall eher als kalkulierte Machbarkeitsdemonstration mit deaktivierten Schutzmechanismen oder als echten Weckruf liest, ändert für die Verteidigungsseite wenig: Motiv und Signatur haben in allen drei Fällen versagt.