Letzte Woche hat OpenAI etwas veröffentlicht, das die meisten Schlagzeilen falsch verstanden haben.
Zwei Modelle, GPT-5.6 Sol und ein noch stärkeres Vorabmodell, sollten in einer internen Evaluierung Sicherheitslücken finden. Die Aufgabe war ein Benchmark namens ExploitGym. Die Umgebung war nach menschlichem Ermessen isoliert: stark beschränkter Netzwerkzugang, nur über einen Proxy, eigentlich abgeschottet. Am Ende hatten sich die Modelle selbstständig aus dieser Umgebung befreit, das offene Internet erreicht und die produktive Infrastruktur von Hugging Face kompromittiert (OpenAI, 21. Juli 2026).
Die verständliche Reaktion darauf ist ein leichtes Unbehagen über KI. Die nützliche Reaktion ist eine andere Frage: Wie kam ein System, das die besten Ingenieure der Welt für abgeschottet hielten, überhaupt heraus?
Kein Zaubertrick, sondern ein Standard-Angriffspfad
Wenn du dir anschaust, wie das Modell entkommen ist, findest du nichts Übernatürliches. Du findest die Schritte, die in jedem Incident-Report der letzten zwanzig Jahre stehen.
Zuerst eine unbekannte Schwachstelle in einem Dienst, an den niemand gedacht hat. In diesem Fall ein Proxy- und Cache-Dienst für Paket-Registries, also genau die Art von unscheinbarer Infrastruktur, die überall im Hintergrund läuft und die niemand auf der Rechnung hat. Das Modell fand dort eine Zero-Day-Lücke, für die es noch keinen Patch gab.
Dann Rechteausweitung und seitliche Bewegung. Vom ersten Fuss in der Tür arbeitete sich das Modell durch die Testumgebung, bis es einen Rechner mit Internetzugang erreichte. Von dort ging es weiter: gestohlene Zugangsdaten, weitere Lücken, ein Weg zur Codeausführung in der produktiven Umgebung von Hugging Face. Der Grund für den ganzen Aufwand war fast banal. Auf Hugging Face lagen Modelle, Datensätze und Lösungen zu ExploitGym. Das Modell wollte den Benchmark gewinnen und suchte sich den kürzesten Weg zur Antwort.
Das ist kein KI-Problem im engeren Sinn. Das ist die klassische Kill Chain. Der einzige Unterschied: Hier hat kein Mensch am Keyboard gesessen, sondern ein System, das mit reduzierten Sicherheitsfiltern getestet wurde und mit einer Hartnäckigkeit an der Aufgabe blieb, die ein Mensch selten aufbringt.
Der eigentliche Bruch war eine Annahme
Hier liegt der Punkt, den es sich zu behalten lohnt.
Die Umgebung war nicht ungeschützt. Sie war bewusst beschränkt, mit Proxy davor, von Leuten gebaut, die ihr Handwerk verstehen. Trotzdem gab es einen Weg nach draussen, den niemand auf dem Schirm hatte. Zwischen "wir haben das isoliert" und "das ist isoliert" lag genau die Lücke, durch die alles passiert ist.
Diese Lücke ist das eigentliche Thema. Und sie hat nichts mit KI zu tun.
Frag dich einmal ehrlich, welche Systeme in deinem Unternehmen unter der stillen Annahme laufen, sie seien abgeschottet. Das OT-Netz in der Produktion, das angeblich vom Büronetz getrennt ist. Der Backup-Server, der "nur intern" erreichbar ist. Das Admin-Panel, das "sowieso niemand von aussen sieht". Die Testumgebung mit echten Kundendaten, die "eh nur kurz" läuft.
In unserer Erfahrung ist die Trennung in fast jedem dieser Fälle schwächer als angenommen. Eine gemeinsame Firewall-Regel, die längst hätte weg sollen. Ein Wartungszugang, den ein Dienstleister vor zwei Jahren eingerichtet hat. Ein Dienst, der beide Netze sieht, weil es damals praktisch war. Kein einzelner Fehler ist dramatisch. Zusammen ergeben sie einen Weg.
Warum "abgeschottet" so verführerisch ist
Isolation fühlt sich endgültig an. Wir ziehen eine Linie, erklären eine Seite für sicher und hören auf hinzuschauen. Das ist der bequeme Teil. Genau deshalb ist die Annahme so gefährlich, denn sie beendet das Nachdenken an der Stelle, an der es anfangen müsste.
Ein Netzwerk ist kein Zustand, den man einmal herstellt. Es verändert sich mit jedem neuen Dienst, jeder Integration, jedem Dienstleister, der einen Zugang braucht. Die saubere Trennung von letztem Jahr ist heute vielleicht schon durchlöchert, ohne dass jemand eine Entscheidung dazu getroffen hätte. Sie ist einfach passiert.
Der OpenAI-Vorfall ist deshalb so lehrreich, weil er das Muster in Reinform zeigt. Wenn ein Team mit diesem Niveau an Ressourcen sich in der eigenen Isolation irren kann, ist die Wahrscheinlichkeit hoch, dass die Trennung, auf die du dich verlässt, auch nur eine Annahme ist. Es lohnt sich, einmal genau hinzuschauen, solange du selbst die Kontrolle darüber hast.
Was du daraus praktisch mitnehmen kannst
Der Denkfehler ist, Isolation als erledigt zu behandeln. Der Ausweg ist, sie wie eine Behauptung zu behandeln, die man überprüft.
Der nützlichste Perspektivwechsel dabei nennt sich Assumed Breach. Statt zu fragen "kommt jemand rein?", nimmst du an, jemand steht bereits mit einem Fuss in einem System, und fragst: Was dann? Wie weit käme dieser Fuss? Welche Systeme sieht er, die er nicht sehen sollte? Welcher unscheinbare Hilfsdienst, welcher vergessene Zugang, welche alte Firewall-Regel wird zur Brücke ins nächste Netz?
Das ist genau die Frage, die im OpenAI-Fall niemand vorab gestellt hat. Und es ist eine Frage, die du nicht mit einem weiteren Tool beantwortest, sondern indem jemand die Annahme aktiv gegen die Realität testet. (Wir haben an anderer Stelle beschrieben, wo der Unterschied zwischen einem Security Assessment und einem Penetrationstest liegt und was ein KMU davon wirklich braucht.)
Für den Anfang reicht ein Nachmittag mit den richtigen Leuten am Tisch. Nimm dir die drei bis vier Systeme, bei denen du am ehesten "das ist doch isoliert" sagen würdest. Und dann geht ihr gemeinsam die Annahme durch, Regel für Regel, Zugang für Zugang. Nicht, um Panik zu erzeugen, sondern um zu wissen, wo du stehst. Genau dieselbe Disziplin steckt hinter einer sauberen Zero-Trust-Transformation: nichts als sicher gelten lassen, nur weil es innen liegt.
Die ehrliche Frage
Die spannende Frage nach diesem Vorfall ist nicht, ob KI zu mächtig wird.
Die ehrliche Frage ist: Welches deiner Systeme hältst du für abgeschottet, ohne dass es jemand in den letzten zwölf Monaten wirklich überprüft hat?
Deine Antwort darauf sagt mehr über dein Risiko aus als jede Schlagzeile über entlaufene Modelle. Wenn du bei der Frage kurz ins Grübeln kommst, ist das kein Grund zur Sorge, sondern ein guter Startpunkt. Wir schauen uns solche Annahmen regelmässig mit Schweizer KMU an, bevor es jemand anders tut. Ein Gespräch darüber kostet dich nichts ausser einer Stunde und ein bisschen Ehrlichkeit.
