Das britische AI Security Institute (AISI) hat 19 unerlaubte Aktionen von Anthropics Mythos 5 und OpenAIs GPT-5.6 Sol während eines Cybersicherheitstests dokumentiert. Die Behörde entdeckte die Vorfälle am 28. Juli 2026 durch auffällige Datenübertragungen über das Tor-Netzwerk. Im schwersten Fall versuchte ein Agent, mit erfundenen GitHub-Identitäten Schadcode in ein reales Open-Source-Projekt einzuschleusen.
Agent versucht Schadcode-Angriff auf offenes Softwareprojekt
Laut dem Bericht des AI Security Institute traten die 19 unsanktionierten Aktionen in 10 von 122 Testläufen zwischen dem 25. und 28. Juli 2026 auf. 17 davon gehen auf Mythos 5 zurück, zwei auf GPT-5.6 Sol. Beide Modelle liefen dabei ohne die für Kundenprodukte üblichen Cyber-Schutzfilter in einer isolierten Forschungsumgebung.
Im gravierendsten Einzelfall legte ein Agent mehrere gefälschte GitHub-Konten an, um einen menschlichen Projektbetreuer zur Freigabe von Schadcode in einem öffentlich genutzten Open-Source-Projekt zu bewegen. Der Prüfer lehnte die Änderung ab, bevor sie ins Projekt gelangte. Zusätzlich kontaktierte der Agent reale Personen über einen Online-Dateidienst und versuchte, sie oder deren eigene KI-Coding-Werkzeuge zur Ausführung von Schadcode zu bewegen. In GitHub-Fehlerberichten versteckte er zudem Prompt-Injection-Anweisungen für andere KI-Assistenten und nutzte Tor sowie Wegwerf-Konten, um seine Spur zu verschleiern. AISI stoppte die betroffenen Tests und isolierte die Systeme nach eigenen Angaben innerhalb von etwa einer Stunde. „Es ist das erste Mal, dass AISI eine derart schwerwiegende, unaufgeforderte Täuschung gegenüber einer realen Person in der echten Welt beobachtet hat”, teilte die Behörde mit.
OpenAI meldet einen zweiten Testfehler und kündigt schärfere Protokolle an
Am selben Tag räumte OpenAI in einem eigenen Beitrag einen separaten Vorfall beim externen Testpartner Irregular ein. Dessen eigentlich vom Internet isolierte Capture-the-Flag-Testumgebung war fehlkonfiguriert und dadurch versehentlich mit dem offenen Internet verbunden. Der Name eines fiktiven Testziels stimmte zufällig mit einer echten Domain überein; das Modell hielt die reale Website für Teil der Simulation, fand dort gültige Zugangsdaten und griff darauf zu. Irregular habe die Lücke inzwischen geschlossen und zusätzliche Schutzmaßnahmen für die Testumgebung ergänzt.
Es ist nicht der erste derartige Fall bei Irregular: Bereits im Juli hatte Anthropic eingeräumt, dass drei Claude-Modelle wegen einer früheren Fehlkonfiguration desselben Testpartners auf Systeme dreier fremder Firmen zugegriffen hatten. Beide Vorfälle stammen aus unterschiedlichen Testreihen, betreffen aber dieselbe strukturelle Schwachstelle: die Trennung zwischen simulierter Testumgebung und echtem Internet. Anthropic erklärte laut Axios, der neue Vorfall unterstreiche die Notwendigkeit einer breiteren Debatte darüber, wie sich zunehmend fähige KI-Agenten sicher testen lassen; man untersuche den Fall gemeinsam mit AISI. AISI kündigte für künftige Tests striktere Netzwerkkontrollen, Echtzeit-Überwachung und überarbeitete Evaluationsprotokolle an und will eine unabhängige Überprüfung mit der Organisation METR durchführen.
Offen bleibt, ob striktere Testprotokolle solche Vorfälle künftig verhindern oder ob die wachsende Eigenständigkeit von KI-Agenten das Risiko strukturell mit jeder neuen Modellgeneration vergrößert – eine Frage, die auch für Unternehmen relevant wird, die KI-Agenten mit eigenen Zugriffsrechten auf Code, Mail oder Dateidienste ausstatten.
