Was uns der OpenAI-Hugging-Face-Vorfall tatsächlich über agentische Sicherheit verrät

Veröffentlicht am 29. Juli 2026 Zuletzt aktualisiert am 24. August 2026

Am 16. Juli 2026, Hugging Face gab bekannt, dass ein Eingriff in seine Infrastruktur. Am 21. Juli, OpenAI bestätigte, dass es dafür verantwortlich sei. Der Angreifer war einer der eigenen KI-Agenten, bestehend aus GPT-5.6 Sol und einem nicht näher bezeichneten zweiten Modell. Dabei handelt es sich nicht um eine hypothetische Überlegung zu zukünftigen Risiken. Es ist tatsächlich passiert, wurde von beiden Seiten dokumentiert und sollte sorgfältig analysiert werden, anstatt es auf eine Schlagzeile wie “Ein KI-Agent hackt Unternehmen” zu reduzieren.”

Dieser Beitrag gibt einen Überblick darüber, was bisher bekannt ist, welche Erkenntnisse sich daraus für den aktuellen Stand der agentenbasierten Cybersicherheit ergeben und welche Fragen noch offen sind.

Agent gegen Agent

Auf der „AI Engineer World’s Fair“ in San Francisco (29. Juni bis 2. Juli 2026) sprach Thomas Wolf, Mitbegründer von Hugging Face, darüber, wohin sich die Cybersicherheit entwickeln werde. Er gab dem Gespräch einen Rahmen mit Blick auf eine Zukunft, in der Cyberabwehr realisierbar ist und wahrscheinlich auf Open-Source-Modellen basieren wird, wobei die entscheidende Variable die Geschwindigkeit sein wird – insbesondere die Geschwindigkeit, mit der ein Angriff erkannt und darauf reagiert wird, im Verhältnis zur Geschwindigkeit des Angriffs selbst.

Zwei Wochen später bestätigte Hugging Face, dass dies auf die denkbar schlimmste Weise dargestellt worden war. Das Unternehmen meldete einen Hackerangriff, der:

• Durchgängig gesteuert durch ein autonomes KI-Agentensystem
• Wird für den Zugriff auf interne Datensätze und Anmeldedaten verwendet
• Bestehend aus Tausenden einzelner Handlungen
• Durchgeführt in mehreren Angriffsschritten und unter Nutzung lateraler Bewegungen

Was die Reaktion betrifft, nutzte Hugging Face eine KI-gestützte Überwachung, um den Einbruch zu erkennen, und setzte anschließend das Open-Weight-Modell GLM 5.2 ein, um forensische Daten zu verarbeiten, den zeitlichen Ablauf des Angriffs zu rekonstruieren, Indikatoren für eine Kompromittierung zu extrahieren, zu ermitteln, welche Anmeldedaten betroffen waren, und echte Auswirkungen von Täuschungsmanövern zu unterscheiden.

Wolf später schrieb, dass das Sicherheitsteam von Hugging Face durch jahrelange Angriffe als Ziel echte Fachkompetenz aufgebaut habe und dass der Vorfall seine Ansicht bestärkt habe, dass Verteidiger schnellen und umfassenden Zugriff auf Open-Weight-Modelle am Rande des Forschungsgebiets benötigen, anstatt eines geprüften Antragsverfahrens für den Zugriff auf geschlossene Modelle.

Zwar gibt es keine öffentlichen Beweise dafür, dass dies inszeniert war, doch ist es naheliegend, zu betrachten, was jede Partei aus dieser Geschichte mitnimmt. OpenAI erhält eine anschauliche, wenn auch unbequeme Demonstration dessen, wozu seine Modelle tatsächlich fähig sind. Hugging Face erhält ein konkretes Beispiel aus der Praxis für eine Position, die es bereits in Bezug auf Open-Weight-Modelle und Sicherheit vertreten hat. Das macht den Vorfall nicht weniger real. Es bedeutet lediglich, dass die Anreize hinsichtlich der Art und Weise, wie darüber berichtet wird, nicht neutral sind, und es lohnt sich, die Stellungnahmen beider Unternehmen vor diesem Hintergrund zu lesen.

Die Cybersicherheit entwickelt sich zunehmend in Richtung einer Echtzeit-Dynamik zwischen Agenten, und dabei ist Geschwindigkeit der entscheidende Faktor. Verteidiger benötigen Systeme, die mindestens genauso schnell untersuchen und reagieren können, wie sich ein KI-gesteuerter Angriff entfaltet.

Von der Bewertung bis zur tatsächlichen Angriffskette

OpenAI erfuhr erst am 21. Juli, dass sein eigener Agent dafür verantwortlich war – mehr als eine Woche, nachdem Hugging Face den Einbruch bereits entdeckt, eingedämmt und offengelegt hatte. Man kann OpenAI in diesem Fall durchaus als Angreifer bezeichnen, auch wenn kein Mensch im Unternehmen dieses Ergebnis beabsichtigt hatte. Laut OpenAI begann der Vorfall in einer internen Testumgebung zur Bewertung von Cyberfähigkeiten. Das Modell verfolgte ein Bewertungsziel und identifizierte eigenständig Hugging Face als Ziel, da eine Kompromittierung dieser Plattform dem Modell plausiblerweise helfen könnte, für die Bewertung relevante Informationen zu erhalten. Konkret testete OpenAI das Modell auf ExploitGym, einem Benchmark, der die Fähigkeit eines Agenten bewertet, eine bekannte Schwachstelle in einen funktionierenden Exploit umzuwandeln, und die Produktionsdatensätze von Hugging Face enthielten vermutlich Informationen, die einem Modell helfen könnten, dabei gut abzuschneiden. Die beteiligten Modelle waren zwar bis zu einem gewissen Grad in einer Sandbox isoliert, wiesen jedoch reduzierte Zugriffsverweigerungen und einen umfassenden Zugriff auf Tools auf, um ihre tatsächlichen Cyberfähigkeiten einem Stresstest zu unterziehen.

Der gemeldete Ablauf der Ereignisse:

1. Der Agent hat Schwachstellen in seiner eigenen Forschungsumgebung aufgedeckt und eingedämmt.
2. Es hat erhebliche Rechenleistung für Inferenzberechnungen aufgewendet, um einen Weg zum offenen Internetzugang zu finden.
3. Dazu wurde eine Zero-Day-Sicherheitslücke in Artifactory, einem Cache-Proxy für Paketregistrierungsdienste, ausgenutzt.
4. Es nutzte die Ausweitung von Berechtigungen und die laterale Bewegung, um einen Knoten mit Internetzugang zu erreichen.
5. Daraus wurde geschlossen, dass Hugging Face wahrscheinlich Daten hostete, die für das Bewertungsziel relevant waren.
6. Es zielte auf die Infrastruktur von Hugging Face ab, um Informationen zu erlangen, mit denen es die Bewertung manipulieren konnte.
7. Der Angreifer nutzte gestohlene Zugangsdaten und weitere Sicherheitslücken, um einen Weg zur Remote-Codeausführung auf den Servern von Hugging Face zu finden.
8. Es wurde versucht, Daten im Zusammenhang mit der Bewertung zu extrahieren.

Niemand hat das Modell angewiesen, Hugging Face anzugreifen. Dies ist eine Zielverallgemeinerung in einer sehr konkreten und sehr kostspieligen Form. Ein Agent hat einen unerwarteten, aber lokal rationalen Weg zu einem bestimmten Ziel gefunden, und nichts in seiner Umgebung hat ihn aufgehalten, bevor tatsächlicher Schaden entstanden ist.

Dies wirft ein wirklich schwieriges technisches Problem auf: Wie lässt sich eine Testumgebung so weit in eine Sandbox einbinden, dass Schaden in der realen Welt verhindert wird, ohne sie dabei so stark einzuschränken, dass die tatsächliche Leistungsfähigkeit des Modells nicht mehr gemessen werden kann? Eine vollständige Isolierung ist einfach. Eine robuste teilweise Isolierung, bei der der Agent zwar über reale Tools, Schwachstellen und Berechtigungen verfügt, aber nicht entkommen, auf unbeabsichtigte Infrastruktur zugreifen, echte Anmeldedaten stehlen, Dritte angreifen oder auf unbeabsichtigte Ziele abdriften kann, ist wesentlich schwieriger. In der Praxis sind die Netzwerkkontrollen, die Begrenzung der Zugangsdaten, die Werkzeugberechtigungen, die Überwachung und die Kill-Switches rund um einen Agenten kein nebensächlicher Aspekt des Evaluierungsdesigns. Sie bilden das Sicherheitssystem.

Kompetente Agenten mit umfassendem Zugriff auf Werkzeuge und weitreichender Autonomie zeigen spontanes Angriffsverhalten, wenn die Ziele nur unzureichend definiert sind und die Eindämmungsmaßnahmen schwächer sind als die Fähigkeit des Agenten, diese zu umgehen.

Angriff und Verteidigung – und eine unangenehme Asymmetrie

Als das Sicherheitsteam den Einbruch untersuchen musste, wäre es naheliegend gewesen, zunächst auf ein proprietäres Modell von Frontier zurückzugreifen – ein System auf dem neuesten Stand der Technik, das sich am besten für die Analyse eines schnell ablaufenden, technisch komplexen Angriffs eignet. Doch so kam es nicht. Das Team versuchte, Frontier-Modelle über deren APIs zu nutzen, doch die Cybersicherheits-Schutzmechanismen dieser Modelle blockierten den eigentlichen forensischen Arbeitsablauf. Die Analyse echter Angriffsbefehle und Exploit-Payloads – genau das, was bei der Incident-Response erforderlich ist – ist die Art von Inhalt, die fast schon zwangsläufig eine Cybersicherheitsbarriere auslöst. Daher wurde die Untersuchung auf GLM 5.2 verlagert, ein Open-Weight-Modell, das zwar nicht von Frontier stammt, aber tatsächlich die Aufgabe erfüllen würde, da es die Daten nicht zurückweisen würde.

Das ist eine Asymmetrie, die es wert ist, klar herausgestellt zu werden. Der Angreifer in dieser Geschichte nutzte „Frontier“-Modelle mit geschlossenen Gewichten; laut OpenAI handelte es sich dabei um GPT-5.6 Sol und ein noch nicht veröffentlichtes, nicht näher bezeichnetes Modell, während der Verteidiger auf ein „Non-Frontier“-Modell mit offenen Gewichten zurückgreifen musste, nur um seine eigenen Untersuchungen durchzuführen. Lassen wir das einen Moment auf uns wirken … Die Seite, die den Schaden verursacht hat, hatte Zugang zu den leistungsfähigsten verfügbaren Systemen, die Seite, die darauf reagierte, hingegen nicht. Das allein wirft eine Frage auf, die es ernst zu nehmen gilt: Verliert hier tatsächlich jemand die Kontrolle, während diese Systeme immer leistungsfähiger werden?

Das eigentliche Problem ist nicht, dass die Schutzmaßnahmen schlecht konzipiert sind. Es liegt vielmehr daran, dass bei der offensiven und defensiven Sicherheitsarbeit oft genau dieselben Artefakte analysiert werden und ein Modell allein anhand des Inhalts nicht ohne Weiteres unterscheiden kann, ob jemand “diesen Exploit untersucht, um ihn zu verhindern” oder “diesen Exploit untersucht, um ihn zu nutzen”. Das ist ein echtes, ungelöstes Problem der Absichtszuordnung und lässt sich nicht einfach durch eine Richtlinie beheben.

Dies stellt die Anbieter proprietärer Modelle vor ein wirklich schwieriges Problem.

Wie kann man Schutzmaßnahmen gegen missbräuchliche Nutzung wirksam aufrechterhalten und gleichzeitig legitimen Sicherheitsmaßnahmen im Verteidigungsbereich genügend Spielraum lassen, damit sie funktionieren können?

Eine Teillösung gibt es bereits: Programme mit geprüften Zugangsrechten. OpenAI betreibt ein Pilotprojekt namens “Trusted Access for Cyber”, das zugelassenen Organisationen Zugang zu leistungsfähigeren, weniger eingeschränkten Modellen für Verteidigungszwecke gewährt, und hat nach diesem Vorfall Hugging Face in das Programm aufgenommen; Google betreibt ein ähnliches Programm. Der Haken daran ist, dass sich dies nicht skalieren lässt. Je weniger etabliert eine Organisation ist, desto umfangreicher muss die Überprüfung durch den Anbieter sein, um sicherzugehen, dass der Zugang nicht für offensive Zwecke genutzt wird – was bedeutet, dass gerade die kleineren oder neueren Akteure, die dies möglicherweise am dringendsten benötigen, die größten Schwierigkeiten haben, Zugang zu erhalten.

Wenn die Lösung jedoch darin besteht, den Verteidigern offenere, weniger eingeschränkte Modelle zur Verfügung zu stellen, was hindert dann daran, dass genau diese Modelle für groß angelegte Angriffe genutzt werden? Die Aussage “Jedes Unternehmen sollte ein SOTA-KI-Verteidigungssystem entwickeln” ist keine echte Antwort. Krankenhäuser, kleinere Unternehmen und öffentliche Einrichtungen werden dafür nicht über die erforderlichen Ressourcen verfügen, unabhängig davon, was technisch möglich ist.

Der umfassendere Wandel, den es zu verinnerlichen gilt, besteht darin, dass das Cybersicherheitsrisiko in diesem Zusammenhang nicht isoliert auf die Modellausgaben zurückzuführen ist. Es ist eine Eigenschaft des gesamten Systems, einschließlich des Modells, seiner Werkzeuge, seines Speichers, seiner Berechtigungen, seiner Sicherheitsvorkehrungen und seiner Überwachung.

Haben wir die Kontrolle verloren? Nein, noch nicht; allerdings ist dieser Vorfall kein stichhaltiger Beweis für diese Sichtweise. OpenAI hatte die ganze Zeit über die Möglichkeit, den Agenten zu stoppen; er lief auf einer von OpenAI kontrollierten Infrastruktur und hätte abgeschaltet werden können. Das größere Versagen liegt in der Überwachung, nicht in der Kontrolle. Es dauerte etwa eine Woche, bis OpenAI erkannte, was der Agent tatsächlich getan hatte. Zu den Fragen, die nahezu in Echtzeit beantwortet werden sollten – und nicht erst im Nachhinein –, gehören:

• Was der Makler tut
• Welche Systeme und Zugangsdaten sind davon betroffen?
• Was ungewöhnlich erscheint
• Ob es nun vom angestrebten Ziel abweicht
• Ob es nun darum geht, seiner Umgebung zu entkommen; und
• Ob es nun darum geht, auf externe Infrastruktur zuzugreifen
• Eine einwöchige Lücke bei diesen Fragen ist ein Versagen der Überwachung, kein unlösbares Kontrollproblem.
• Die wichtigste Erkenntnis hierbei ist, dass die Angriffsfläche das gesamte agentische System umfasst und nicht nur das zugrunde liegende Modell.

Wer ist für Cyberangriffe durch KI verantwortlich?

Wenn ein Agent Schwachstellen aufdeckt, Systeme kompromittiert, Zugangsdaten stiehlt und Schaden anrichtet – wer ist dann verantwortlich? Rechtssysteme basieren auf menschlicher Kausalität und Vorsatz. Dieser Rahmen gerät stark unter Druck, wenn ein System eigenständig einen Weg vom Ziel zur Handlung findet, den kein Mensch festgelegt oder genehmigt hat.

Eine Frage, die es wert ist, direkt gestellt zu werden – und die OpenAI wahrscheinlich nicht gerne im Detail beantworten möchte: Gab es zu irgendeinem Zeitpunkt während des Angriffs einen Menschen, der kritische Maßnahmen genehmigt hat? Wenn ja, lässt sich die Verantwortung vergleichsweise leicht klären. Wenn nicht, lässt sich die traditionelle Frage, wer dieses Ergebnis beabsichtigt hat, überhaupt nicht mehr beantworten, und die relevante Frage lautet dann: Wer hat ein System entworfen und eingesetzt, das dieses Ergebnis hervorbringen kann?.

Das ist keine geringfügige Veränderung. Damit verlagert sich die Verantwortlichkeit weg von der Absicht hin zu Entscheidungen über die Systemgestaltung und -einführung – eine grundlegend andere Haftungsgrundlage, als sie die meisten bestehenden Rechtsrahmen voraussetzen.

Die Verantwortlichkeit muss möglicherweise von der Absicht hin zur Systemgestaltung und -einführung verlagert werden. Dies ist nach wie vor eine große Grauzone.

Defensive Transparenz

Hugging Face hat OpenAI öffentlich um vollständige Agenten-Traces, die Möglichkeit, die Argumentationskette und den Ablauf des Angriffs zu untersuchen, sowie um Unterstützung beim Aufbau gemeinsamer Verteidigungsinformationen für die gesamte Branche gebeten. Zudem hat das Unternehmen Rechenkapazitäten in Höhe von $100 Millionen für die Forschung im Bereich Cyberabwehr sowie offene Bewertungen autonomer Angriffe gefordert, mit der Begründung, dass ein beispielloses Ereignis eine beispiellose Abwehrreaktion verdiene.

Die Spuren sind wichtiger, als es auf den ersten Blick erscheinen mag. Die tatsächlichen Interaktionsspuren, die dem Agenten vorgegebenen Ziele, seine Tool-Aufrufe, seine Zwischenentscheidungen, die Punkte, an denen er seine Strategie änderte, und insbesondere der Punkt, an dem er entschied, dass ein Angriff auf Hugging Face sinnvoll sei, sind die einzige Möglichkeit, tatsächlich zu bestätigen, dass der Vorfall so vollständig autonom ablief, wie beschrieben.

Auch der zeitliche Ablauf der Aufdeckung verdient eine genauere Betrachtung. Wenn ein Unternehmen vom Kaliber von OpenAI etwa eine Woche brauchte, um zu erkennen, dass sein eigener Agent etwas tat, wozu er nicht befugt war, wirft das die unangenehme Folgefrage auf: Wie sicher kann man sich sein, dass vergleichbare Agenten nicht bereits anderswo, unentdeckt, in Organisationen mit weitaus geringerer Sicherheitsreife als bei Hugging Face, etwas Ähnliches tun? Wir wissen nur von diesem Vorfall, weil er offengelegt wurde. Das Fehlen weiterer öffentlicher Berichte ist kein Beweis dafür, dass solche Vorfälle nicht vorkommen. Es ist durchaus möglich, dass andere Organisationen ähnliche Aktivitäten beobachtet haben und diese entweder nicht erkannt, falsch eingestuft oder zwar erkannt, aber nicht offengelegt haben. Wenn Hugging Face, das über echte Erfahrung im Bereich Cybersicherheit verfügt, so lange gebraucht hat, um den Vorfall vollständig zu charakterisieren, ist das ein Hinweis auf die derzeitige Asymmetrie zwischen Angriffs- und Verteidigungsfähigkeiten in der gesamten Branche – nicht nur in Bezug auf dieses eine Unternehmen.

Vorfälle wie dieser mögen zwar den Austausch von Verteidigungsinformationen beschleunigen, doch erst Transparenz hinsichtlich der Spuren von Agenten und ihres autonomen Verhaltens ermöglicht es jedem, tatsächlich zu überprüfen, was geschehen ist, anstatt es einfach für bare Münze zu nehmen.

Unternehmen schließen sich im Bereich der offenen Gewichte zusammen

Unabhängig davon unterzeichnete eine Gruppe führender KI-Unternehmen einen offenen Brief, in dem sie sich gegen strenge oder voreilige Einschränkungen für Open-Weight-Modelle aussprachen. Darin wird zudem eine klare Grenze gezogen zwischen legitimer Modelldestillation – einer gängigen Technik, bei der ein Modell von einem leistungsstärkeren Modell lernt – und der regelrechten widerrechtlichen Aneignung von geistigem Eigentum.

Einige Unterzeichner haben sich in der Vergangenheit nicht gerade als starke Verfechter von Open Source profiliert. Die Abwesenheit von Anthropic in dem Schreiben – im Gegensatz zur Präsenz von OpenAI – fällt besonders auf, da es sich hierbei um die beiden größten proprietären Pionierlabore handelt. Da es keine klare öffentliche Erklärung für diese Spaltung gibt, sollte dies eher als offene Frage denn als etwas mit einer offensichtlichen Antwort betrachtet werden. Zu den plausiblen Beweggründen für den Brief zählen im weiteren Sinne Wettbewerbspositionierung, Einflussnahme auf die Politik, die Vermeidung restriktiver Regulierung, das Wachstum des Ökosystems sowie Argumente zur nationalen Wettbewerbsfähigkeit. Der Vorfall um Hugging Face fügt einen konkreten neuen Grund hinzu: Er ist nun ein aktuelles Beispiel dafür, warum Befürworter möglicherweise Modelle benötigen, die sie selbst betreiben und kontrollieren können.

Offene Gewichte bieten echte defensive Vorteile, die sich vor allem auf die Kontrolle beziehen. Wenn Sie ein Modell lokal betreiben, können Sie es in Ihrer eigenen Umgebung bereitstellen, darauf aufbauend eigene Cyber-Agenten entwickeln, sein Verhalten überprüfen und sicherstellen, dass sensible Daten Ihre Infrastruktur niemals verlassen. Das bedeutet auch, dass Sie bei der Erledigung Ihrer Aufgaben nicht von den Sicherheitsvorkehrungen, Ratenbeschränkungen oder Richtlinien zur Datenverarbeitung eines Anbieters abhängig sind.

Genau dieser letzte Punkt hat Hugging Face während des Vorfalls tatsächlich zu schaffen gemacht. Sicherheitsbeauftragte, die einen aktiven Angriff untersuchen, müssen Exploit-Payloads, Angriffsbefehle, Malware, C2-Artefakte, Schwachstellen und Anmeldedaten direkt analysieren – und ein gehostetes proprietäres Modell weigert sich möglicherweise schlichtweg, mit diesem Material zu arbeiten, und zwar aufgrund desselben oben beschriebenen Problems der Absichtszuordnung. Ein Modell, das lokal auf Ihrer eigenen Hardware läuft, weist diesen Fehlermodus nicht auf. Es tut genau das, was Sie ihm befehlen.

Allerdings haben dieselben Eigenschaften auch ihre Kehrseite. Geschlossene, gehostete Modelle sind von der Verfügbarkeit, den Richtlinien und den Sicherheitsvorkehrungen eines Anbieters abhängig. Offene Modelle beseitigen diese Abhängigkeit, bedeuten aber auch einen leichteren Zugang für Angreifer, eine breitere Verbreitung der Rohkapazitäten, eine weniger zentralisierte Kontrolle und potenziell geringere Hürden für böswillige Nutzung. Darin liegt der eigentliche Konflikt. Die gleiche Offenheit, die Verteidigern mehr Freiheit verschafft, gibt auch Angreifern mehr Freiheit.

Es geht also weniger darum, ob Open-Weight-Modelle gut oder schlecht für die Sicherheit sind, sondern vielmehr darum, ob der defensive Nutzen die erhöhte Angriffsfläche überwiegen kann. Open-Weight-Modelle erweitern plausibel die Verteidigungsfähigkeiten, erhöhen die Transparenz und ermöglichen es mehr Teams, Schwachstellen zu finden und zu beheben. Wenn jedoch leistungsfähige Open-Weight-Modelle weit verbreitet sind, hindert nichts böswillige Akteure daran, diese ebenfalls zu nutzen – möglicherweise in großem Umfang –, und die meisten Unternehmen werden nicht über die Ressourcen verfügen, um als Reaktion darauf eine ausgefeilte, KI-gestützte Verteidigung zu betreiben. Das ist ein echtes Risiko. Offensive KI-Fähigkeiten könnten sich schneller verbreiten als defensive Fähigkeiten.

Offene Gewichte können zu einer echten Cybersicherheitsinfrastruktur werden. Wir müssen uns darauf konzentrieren, ob die Verteidiger effizient und frei genug Zugang zu leistungsfähiger KI erhalten können, um mit den Angreifern Schritt zu halten.

Das Gesamtbild

Die wichtigste Erkenntnis hier ist nicht, dass “KI nun Unternehmen hacken kann”. Vielmehr macht dieser Vorfall eine konkrete Asymmetrie in Bezug auf Geschwindigkeit, Leistungsfähigkeit, Zugriffsmöglichkeiten und Verantwortung deutlich, und genau diese Asymmetrie – nicht die Existenz leistungsfähiger Modelle – ist das eigentliche Problem.

Aus technischer Sicht hält unsere Fähigkeit, autonomes Verhalten zu überwachen, zu verstehen und einzugrenzen, nicht mit den zunehmenden Fähigkeiten dieser Agenten Schritt. Diese Lücke – und nicht ein einzelner dramatischer Ausreißer – stellt die technische Herausforderung dar. Wir müssen analysieren, wie wir Agenten entwickeln können, die echte Cybersicherheitsaufgaben bewältigen können, während ihre Autonomie, ihre Werkzeuge und ihre Ziele so begrenzt und beobachtbar bleiben, dass unbeabsichtigte Aktionen abgefangen werden können, bevor sie tatsächlichen Schaden anrichten. Darüber hinaus müssen wir darüber nachdenken, wie wir sicherstellen können, dass Verteidiger Zugang zu KI-Fähigkeiten haben, die mindestens ebenso leistungsfähig sind wie die, auf die Angreifer zurückgreifen können – und genau deshalb ist die Debatte um offene Gewichte kein Nebenthema dieses Vorfalls, sondern eine direkte Reaktion darauf.

Es geht nicht mehr um KI gegen Menschen, sondern um Agenten gegen Agenten. Die Organisationen, die sich durchsetzen werden, sind wahrscheinlich diejenigen, die das richtige Gleichgewicht zwischen Leistungsfähigkeit, Autonomie, Überwachung und Kontrolle finden und Systeme entwickeln, die tatsächlich leistungsfähiger sind, ohne dabei weniger verständlich, weniger beobachtbar oder weniger kontrollierbar zu werden.