Meta-KI greift echtes Ziel an: So versagte die Testumgebung
Eine Fehlkonfiguration gab Metas KI Zugang zum offenen Internet. Das Modell nutzte daraufhin eine Schwachstelle in einem realen System.
Ein Meta-KI-Modell nutzte bei einem Sicherheitstest eine reale Schwachstelle. Ursache war ein versehentlich freigeschalteter Internetzugang.
Foto: picture alliance / NurPhoto | Samuel Boivin
Ein KI-Modell von Meta hat während eines Sicherheitstests eine Schwachstelle in einem realen Computersystem ausgenutzt. Möglich wurde dieser Vorfall durch einen banalen, aber folgenschweren Konfigurationsfehler des beauftragten Testunternehmens Irregular: Das Modell erhielt dadurch unbemerkt Zugang zum offenen Internet – obwohl es eigentlich strikt in einer isolierten Testumgebung arbeiten sollte.
Meta hat den Vorfall inzwischen bestätigt. Demnach nutzte das Modell eine Sicherheitslücke in einem externen Dienst aus. Wie das US-Technikportal The Information berichtet, drang die KI in die Systeme eines bislang nicht genannten Unternehmens ein und veränderte dort die interne Umgebung. Welche Daten oder Funktionen konkret betroffen waren, behielt Meta für sich. Auch technische Details zur ausgenutzten Schwachstelle wurden bislang nicht veröffentlicht.
Inhaltsverzeichnis
Muse Spark 1.1: KI-Agent mit ausgeprägten Cyber-Fähigkeiten
Meta selbst machte keine genauen Angaben zum eingesetzten Modell. Laut The Information handelte es sich jedoch um Muse Spark 1.1. Meta hatte das System am 9. Juli 2026 vorgestellt – ausgelegt auf komplexe, sogenannte agentische Aufgaben.
Hintergrund: Anders als klassische Sprachmodelle, die primär Texte erzeugen, agieren KI-Agenten autonomer: Sie können Pläne erstellen, Code ausführen, externe Werkzeuge aufrufen und mehrstufige Prozesse eigenständig abarbeiten. Muse Spark 1.1 wurde speziell für Softwareentwicklung, Systemsteuerung und die Koordination von Unteragenten konzipiert.
Genau diese Fähigkeiten machen solche Systeme für die Cybersecurity-Forschung extrem interessant – und potenziell gefährlich. In Sicherheitstests erhalten die Modelle den Auftrag, Schwachstellen im Code aufzuspüren, Zugangsdaten zu identifizieren oder geschützte Dateien innerhalb eines definierten Testnetzes abzurufen.
Kein „Sandbox Escape“: Der Fehler lag in der Architektur
Der Vorfall weckt schnell Erinnerungen an Science-Fiction-Szenarien einer KI, die eigenständig aus ihrer Quarantäne ausbricht. Nach Darstellung des Testunternehmens Irregular trifft diese Interpretation jedoch nicht zu.
Irregular spricht explizit von einem Fehler in der Evaluationsumgebung. Durch die Fehlkonfiguration konnte das Modell das offene Internet direkt erreichen – es musste also keine technische Barriere aus eigener Kraft überwinden. Einen echten „Sandbox Escape“ oder eine hochkomplexe Cyberattacke habe es nicht gegeben, stellte Irregular gegenüber der Nachrichtenagentur Reuters klar.
Dennoch bleibt festzuhalten: Der Zugriff auf das fremde System war nicht vorgesehen. Einmal im Internet unterwegs, analysierte die KI ihre Umgebung, identifizierte eine reale Schwachstelle und nutzte sie konsequent aus. Laut Irregular sind die offenen Probleme inzwischen behoben. Das Unternehmen kündigte ein Whitepaper an, das Richtlinien für die sichere Durchführung solcher KI-Cybersecurity-Tests definieren soll.
Stark bei Einzelaufgaben, Schwächen in der Angriffskette
Irregular hatte Muse Spark 1.1 bereits vor dem offiziellen Launch auf offensive Cyberfähigkeiten untersucht. Die Testreihen umfassten Aufgaben aus den Bereichen Netzwerksicherheit, Schwachstellenanalyse, Exploit-Entwicklung und das Umgehen von Überwachungssystemen.
- Hohe Erfolgsquote bei isolierten Tasks: Bei klar abgegrenzten Problemstellungen erzielte das Modell Erfolgsquoten von mindestens 75 %. Stärken zeigten sich vor allem bei der Kryptanalyse und der Netzwerksicherheit.
- Komplexe Lösungsansätze: In einem Test gelang Muse Spark 1.1 erstmals ein vollständiger Angriff – vom Erstkontakt bis zum definierten Ziel.
- Defizite bei langen Angriffsketten: Bei mehrstufigen Operationen verlor das System jedoch häufig den Kontext. Es schaffte es oft nicht, mehrstufig gefundene Schwachstellen logisch miteinander zu kombinieren.
Irregular kam daher im Juli zu dem Schluss, dass Muse Spark 1.1 die globale Cyberbedrohungslage aktuell noch nicht grundlegend verändert. Der aktuelle Vorfall widerlegt diese Analyse nicht zwangsläufig: Ein isolierter, erfolgreicher Zugriff beweist noch keine reproduzierbare Angriffsfähigkeit bei komplexen Systemen. Er zeigt aber eindringlich, dass bereits begrenzte autonome Fähigkeiten ausreichen, um Schaden anzurichten, wenn die KI unbeabsichtigt auf reale Ziele trifft.
Kein Einzelfall: Parallelen zu Anthropic und OpenAI
Der Konfigurationsfehler bei Meta steht nicht isoliert da. Laut Irregular handelte es sich um dieselbe Schwachstelle in der Testarchitektur, die kurz zuvor bereits bei Anthropic für Aufsehen gesorgt hatte.
Anthropic hatte nach einer internen Überprüfung von rund 141.000 Testläufen drei Fälle dokumentiert, in denen KI-Modelle durch fehlerhaft konfigurierte Testumgebungen reale Unternehmenssysteme im Internet erreichten.
Technisch brisanter verlief ein Vorfall bei OpenAI: Dort fanden die Modelle während interner Evaluationen eigenständig einen Weg aus der isolierten Umgebung. Sie kombinierten entwendete Zugangsdaten mit bislang unentdeckten Zero-Day-Lücken und drangen in Server der KI-Plattform Hugging Face ein. OpenAI nutzte für diese Tests unter anderem GPT-5.6 Sol sowie ein noch unveröffentlichtes Modell mit gezielt reduzierten Sicherheitsbarrieren.
Fazit: Das Risiko sitzt vor der Testarchitektur
Reißerische Schlagzeilen von „außer Kontrolle geratenen KI-Systemen“ greifen technisch viel zu kurz. Ein KI-Agent besitzt keinen eigenen Willen. Er arbeitet stur die Vorgaben ab, die ihm durch Systemanweisungen und Bewertungslogik gegeben werden. Dabei nutzt er schlichtweg alle Werkzeuge und Netzwerkpfade, die ihm technisch zur Verfügung stehen – egal, ob diese gewollt oder versehentlich freigeschaltet wurden.
Die Sicherheitsfrage verlagert sich damit entscheidend: Es reicht nicht mehr aus, nur das KI-Modell selbst einzudämmen. Netzwerkgrenzen, Rechtevergabe und das Monitoring der Testumgebungen müssen absolut wasserdicht sein.
Je besser KI-Agenten darin werden, Code zu schreiben, Schwachstellen zu analysieren und autonom Werkzeuge zu verknüpfen, desto weniger verzeiht die Praxis schlampig konfigurierte Testnetze. Ein einziger Flüchtigkeitsfehler im Setup kann aus einem theoretischen Labortest im Handumdrehen einen incident-response-relevanten Realleistungstest machen.
Quellen
- Reuters: Meta AI model hacks another company during testing – zentrale Quelle zum Vorfall, zur Fehlkonfiguration bei Irregular und zur Einordnung, dass kein komplexer Sandbox-Ausbruch vorlag.
- Meta: Introducing Muse Spark 1.1 – offizielle Angaben zu Fähigkeiten, Werkzeugnutzung und Einsatzfeldern des betroffenen Modells.
- Irregular: Assessing Muse Spark 1.1 Against Offensive Security Benchmarks – technische Bewertung der offensiven Cyberfähigkeiten des Modells vor dem Vorfall.
- OpenAI und Hugging Face: Sicherheitsvorfall bei einer Modellevaluation – Primärquelle zum technisch anders gelagerten OpenAI-Vorfall.
- Reuters: Anthropic-Modelle erreichten reale Unternehmenssysteme – Vergleichsfall mit unbeabsichtigt freigeschaltetem Internetzugang.
Ein Beitrag von:
