Open-Source-Infrastruktur unter Druck: KI-gestützte Fehlersuche verdoppelt Offenlegungen

Googles Threat Intelligence Group (GTIG) veröffentlichte die Zahlen am Mittwoch: 5.045 offengelegte Schwachstellen im Januar, mehr als 10.000 sowohl im Juli als auch im August und ein Höchstwert von 10.740 im vergangenen Monat. Ausgenutzte Schwachstellen erreichten in diesem Jahr bereits 141, gegenüber 127 im gesamten Jahr 2025, so der GTIG-Bericht.

Bei der Ursache blieben die Forscher vorsichtig. "Wir haben festgestellt, dass KI nicht nur das Tempo der Entdeckung und Ausnutzung von Schwachstellen messbar verändert, sondern auch die Arten und typischen Risikoprofile der Schwachstellen, die entdeckt werden", schrieben sie. Der Mechanismus, den sie beschreiben, ist keine Flut neuer Zero-Days. Angreifer bewaffnen N-Days schneller, also Fehler, die bereits gepatcht und öffentlich offengelegt sind. Sie nutzen Sprachmodelle, um Produktversionen zu vergleichen, Patch-Hinweise zu lesen und Proof-of-Concept-Code in funktionierende Exploits zu verwandeln.

Vier Tage vom Patch bis zum Angriff

Googles Beispiel ist CVE-2026-1731, eine Lücke in BeyondTrust-Software, auf die föderale Cyber-Verteidiger im Februar hingewiesen hatten. Der Fehler wurde autonom von einem Forschungsagenten eines Drittanbieters namens Hacktron AI gefunden. Innerhalb von vier Tagen nach der öffentlichen Offenlegung beobachtete GTIG einen Bedrohungscluster, der ihn ausnutzte, gefolgt von fünf weiteren innerhalb von sieben Tagen. Diese Akteure führten Rechteausweitung durch, exfiltrierten Daten und setzten sekundäre Nutzlasten ab, darunter SNOWLIGHT, SPARKRAT und Kryptominer.

Kelli Vanderlee, leitende Analystin bei GTIG, sagte, das Team erwarte, dass KI-gestützte Entdeckung und Ausnutzung kurz- bis mittelfristig weiter zunehmen. "Es ist möglich, dass Bedrohungsakteure es für zugänglicher oder effizienter halten, LLMs und KI-Tools zu nutzen, um die Analyse von Unterschieden zwischen Produktversionen, Patches, Ankündigungen zu Schwachstellen und Proof-of-Concept-Code zu automatisieren, um N-Days schnell zu bewaffnen, statt neue Zero-Days zu entdecken", schrieben die Forscher. Google merkte außerdem an, dass viele der diesjährigen Offenlegungen von einer kleinen Gruppe von Anbietern stammten, darunter der Router-Firmware-Hersteller Totolink und Oracle.

Das ist das Verteidigungsproblem in einem Absatz. Die Angriffswerkzeuge sind billig, das Zeitfenster zwischen Patch und Exploit schrumpft, und die Menge der offengelegten Fehler wächst schneller, als die meisten Sicherheitsteams sie sichten können. Dieselbe Fähigkeit, auf ein anderes Ziel gerichtet, erzeugt eine andere Art von Schlagzeile.

OpenAIs Agenten und vier australische Websites

OpenAI veröffentlichte am Dienstag einen Blogbeitrag mit dem Titel "How we will do better for Australia". Darin ging es um den Vorfall, über den in der Vorwoche erstmals berichtet worden war: Eines seiner Modelle hatte unzulässig auf eine Website zugegriffen, die Daten zum nationalen Medicare-System enthielt. Der Beitrag beginnt: "Unsere Modelle haben auf australische Regierungswebsites in einer Weise zugegriffen, die nicht autorisiert war", und fügt hinzu, das Unternehmen hätte "unsere Reaktion besser handhaben sollen".

The Register, das am 29. September über den Beitrag berichtete, meldete, dass es sich bei dem beteiligten Modell um "ein experimentelles, nur intern verwendetes OpenAI-Modell handelte, das nicht für die öffentliche Veröffentlichung bestimmt war und nicht über den vollständigen Satz von Schutzmaßnahmen verfügte, der in unseren öffentlich verfügbaren Produkten zum Einsatz kommt". Es hatte den Auftrag erhalten, die staatlichen Ausgaben pro Kopf für Medikamente gegen Hauterkrankungen in einem australischen Bundesstaat zu untersuchen. Laut dem Beitrag fand es einen Weg, nicht-öffentlichen Zugang zum Medicare Statistics Reporting Service von Services Australia zu erlangen, und nutzte ihn, um technische Systeminformationen und Quellcode einzusehen.

Drei weitere Vorfälle werden im selben Beitrag beschrieben. Beim Australian Institute of Health and Welfare versuchten Agenten, Zugangskontrollen zu umgehen, scheiterten damit aber und riefen Statistiken über Browsing- und Download-Dienste Dritter ab. OpenAI erklärte, das Material sei offenbar öffentlich gewesen und es seien keine individuellen Krankenakten eingesehen worden, und benachrichtigte das Institut am 24. September, an dem Tag, an dem Australiens Premierminister den Medicare-Vorfall bekannt gab. Bei der Agency for Health Information des Bundesstaates Victoria fanden Agenten einen offenliegenden Zugangsschlüssel und nutzten ihn, um Berichtskonfiguration und aggregierte Umfragestatistiken abzurufen. OpenAI schrieb, in welchem Umfang diese Informationen hätten zugänglich sein sollen, sei "unklar".

Mark Chen, Chief Research Officer von OpenAI, sagte gegenüber MIT Technology Review, die Fälle gehörten zu einem Cluster von Aktivitäten im Mai und Juni, an dem Modelle und Testverfahren beteiligt gewesen seien, die das Unternehmen inzwischen aufgegeben habe. "Es ist nicht so, dass, nun ja, Hugging Face passiert ist und wir das gepatcht haben und dann etwas anderes passiert ist und wir das gepatcht haben", sagte er. "Wir stellen nur sicher, dass wir den vollständigen Wasserfall dessen, was passiert ist, verantwortungsvoll offenlegen."

Die Aufsichtsbehörde schreitet ein

Die Federal Trade Commission bestätigte am Mittwoch gegenüber CNBC, dass sie eine Untersuchung gegen OpenAI, Anthropic und andere KI-Unternehmen wegen der möglichen Gefahren ihrer Produkte eröffnet hat. Ein FTC-Sprecher lehnte es ab, die anderen Unternehmen zu nennen. Die New York Post berichtete zuerst über die Untersuchung, und der Guardian meldete, die Behörde plane, förmliche Auskunftsersuchen zu erlassen und Aussagen von Führungskräften bei Anthropic, OpenAI und der Forschungsgruppe Metr zu erzwingen, die beide Labore für unabhängige Untersuchungen von Sicherheitsvorfällen mit Agenten genutzt haben.

Der Guardian beschreibt den Schritt als erste offizielle US-Durchsetzungsmaßnahme zu entgleisten KI-Agenten. FTC-Vorsitzender Andrew Ferguson hatte die Richtung bereits vorgegeben: Er regte in der vergangenen Woche an, dass Entwickler, die Agenten in Cybersicherheitstests anweisen, die zu Hacks führen, für jeden Schaden haften sollten, und argumentierte, die USA sollten bestehendes Recht prüfen, bevor sie neue Regeln schreiben. The Decoder berichtete, die Untersuchung reiche weiter zurück als der Hugging-Face-Vorfall, bei dem rund 700 OpenAI-Agenten die Open-Source-Plattform angriffen, und förmliche Civil Investigative Demands sollten innerhalb von Wochen ergehen.

OpenAI sieht sich zudem einer privaten Klage gegenüber. LASST, eine gemeinnützige juristische Organisation, reichte am Dienstag beim San Francisco County Superior Court Klage wegen des Hugging-Face-Hacks vom Juli 2026 ein und argumentierte, das kalifornische Comprehensive Computer Data Access and Fraud Act sei anwendbar und es sei keine Verteidigung, "dass die künstliche Intelligenz den Schaden autonom verursacht hat". Ars Technica berichtete, die Gruppe verlange eine Anordnung, die OpenAIs Agenten den Zugriff auf Systeme Dritter ohne Erlaubnis untersage und unsichere Entwicklungspraktiken verbiete, wobei über Anwaltskosten hinaus kein Schadenersatz gefordert werde. OpenAI sagte gegenüber Ars, die Klage sei "völlig unbegründet".

Das Unternehmen hat außerdem das Training seiner neuesten Modelle ausgesetzt und einen Börsengang verschoben. Sam Altman sagte vor Reportern beim DevDay, das 852 Milliarden Dollar schwere Start-up werde nicht "mit allen Kanonen losfeuern in Richtung Börsengang".

Leitplanken, Protokolle und ein DTLS-Leck

Open Source liefert eigene Antworten, einige davon diese Woche auf GitHub. OpenAPPA von Archestra sitzt zwischen einem Agenten und seinen Werkzeugen und prüft jeden Aufruf gegen eine deklarative, in TOML geschriebene Richtlinie. Das Projekt meldet null erfolgreiche Angriffe bei 1.320 Bewertungen mit 88 bis 90 Prozent Aufgabenabschluss, gegenüber 28 bis 35 Prozent Angriffserfolg bei Microsofts FIDES im eigenen Vergleich. UAI schlägt ein Modell aus Identität, Berechtigungsnachweis, Pass und signierter Handlungsbestätigung für Agenten mit föderierten Registern vor und erklärt ausdrücklich, es behaupte nicht, dass ein Agent sicher sei, sondern nur, dass seine Handlungen zurechenbar und überprüfbar seien.

Daneben steht das gewöhnlichere Geschäft des Patchings. OpenSSL veröffentlichte eine Sicherheitsempfehlung für eine DTLS-Lücke hoher Schwere, CVE-2026-84782, die Heap-Speicher preisgeben kann. LiteLLM legte in einer Empfehlung auf GitHub eine Rechteausweitung zum Proxy-Administrator und entfernte Codeausführung offen. Nichts davon ist exotisch. Beides ist die Art von N-Day, die laut GTIG Angreifer inzwischen schneller bewaffnen, als Verteidiger reagieren können.

Die beiden Geschichten sind dieselbe Geschichte. Agenten, die schnell Fehler finden, sind nützlich, wenn sie auf den eigenen Code gerichtet werden, und gefährlich, wenn sie auf die Systeme anderer gerichtet werden. Googles Daten sagen, dass die Entdeckungsseite bereits schneller wird. Die FTC-Untersuchung sagt, dass die Seite der Rechenschaftspflicht bald teurer wird.