Cybersicherheit: Augen zu!

Je mehr ich über den OpenAI-Huggingface-Hack lese, desto beängstigender wird es: Die Agenten, die aus der zu schlecht gesicherten Übungsumgebung ausgebrochen waren, haben offenbar einen Weg entwickelt, einander Botschaften und Aufträge zu hinterlassen. Schon im Juni haben OpenAI-Agenten ein weitgehend verwaistes deutsches Tech-Wiki erobert und als toten Briefkasten missbraucht. (🌐 TheHackerNews). Und im Monat davor haben OpenAI-Agenten wohl tausende Hintertüren in Bibliotheken für die Programmiersprache Ruby eingeschleust (🌐 cyberscoop.com).

Diese Meldungen machen uns Angst, und das ist auch gewollt so - OpenAI und Anthropic sind nicht darüber erhaben, vor ihren geplanten Börsengängen ein wenig Security-Theater zu veranstalten, nach dem Motto: Nur wir können euch vor dem Weltuntergang schützen. Aber tatsächlich ist es sehr beunruhigend, wie mächtig die Top-Sprachmodelle inzwischen sind.

Noch beunruhigender ist: Man braucht gar nicht unbedingt die überragenden Hacking-Fähigkeiten der Top-KI, um sich seinen eigenen Hacker-in-a-box zu bauen.

Mein Agent macht mich zum Script-Kiddie auf Speed

In der Internetsteinzeit gab es echte Hacker, und es gab die wie mich, die sich irgendwelche Programme aus dem Netz heruntergeladen und damit mal an digitalen Türen gerüttelt haben. Computerverstehende nannten solche Menschen "Script Kiddies": Zauberlehrlinge, die die Abkürzung über den heruntergeladenen Code des Meisters suchten, statt selber die Magie zu lernen und zu verstehen.

Heute lädt man sich keine digitalen Zaubersprüche mehr herunter, man besorgt sich einen Flaschengeist.

Filmplakat, 1940 (über Wikimedia Commons: By Heritage Auctions, Fair use, curid=8117948)

Kleine Fingerübung: Ich will meinen eigenen Server hacken - beziehungsweise: nach Schwachstellen suchen, um sie stopfen zu können. Das Tool dafür habe ich mir 🌐 beim WIRED-KI-Reporter Will Wright abgeschaut - ein Agenten-Harness, der mit wenigen Klicks installiert ist. Als kleine Konzession an die Sicherheit habe ich ihn in einen Container gepackt, in dem er keinen Vollzugriff auf meinen Rechner hat.

Der erste Versuch bringt mein Macbook krachend zum Stehen, weil ich so vermessen war und ein lokales Modell eingeklinkt habe, ein Qwen3.8:27b-Modell, das die 48GB meines Mac gut auslastet - und erst mal eine Viertelstunde vor sich hin arbeitet: da der Agent alle möglichen Skills, Tools und Checklisten in den Kontext lädt, muss sich das Modell erst mal durch über 50.000 Token fressen, ehe es das erste Mal reagiert. Nicht wirklich praktikabel, also hänge ich den Agenten über 🌐 OpenRouter an die Gut-und-billig-KI "Deepseek-V4-Flash" und sage: versuch doch mal, meinen Server zu hacken. Und gehe mir einen Kaffee holen und schaue zu.

Läuft in einem Docker-Container auf meinem Mac: Hacker-in-a-box - für Suche nach Lücken, die noch zu stopfen sind.

Nach gut zwei Stunden beharrlicher Arbeit listet mir der Agent die Lücken auf: nichts Dramatisches, aber wer will, kann ein paar KI-Demos anders nutzen als sie eigentlich gedacht waren. Vielleicht doch ganz gut, dass ich vorletzte Woche endlich mal die fast ein Jahr alte Datenserver-Installation aktualisiert habe...

...und wenn ich wirklich ein State-of-the-Art-Modell haben will: Das Open-Weights-Modell GLM5.3 ist etwas teurer, aber nicht so. Und es gäbe sogar eine Version, der man die Alignment-Sperren abtrainiert hat, die sich also keinem Hacking-Ziel verweigert.

Computersicherheit neu denken: Der "Berlin Style" ist tödlich!

Gerade haben wir den ersten Fall erlebt, bei dem Hacker die Verwaltung eines ganzen Bundeslandes erfolgreich angegriffen haben. Jetzt arbeiten auch in der Berliner Senats-IT keine Idioten, aber die Behörden-IT scheint über die Jahre viele Schwachstellen angehäuft zu haben: Berlin habe "auf Lücke gespielt", kommentiert das Fachmagazin 🌐 Heise Online.

Mit den menschlichen Hackern, die die Berliner Senatsverwaltung gehackt haben - eine anscheinend in Russland angesiedelte Mafiatruppe namens Rhysida (🌐 it-administrator) - kann sich mein Hacker-in-a-box nicht vergleichen. Muss er auch nicht. Die Hacking-Fähigkeiten des Deepseek-Mittelklasse-Modells mögen noch eher bescheiden sein, aber die KI ist menschlichen Gelegenheits-Hackern weit überlegen:

• in der Ausdauer,
• im systematischen Vorgehen,
• und in der Breite der eingesetzten Ressourcen:

Mein Agent geht Schritt für Schritt vor, unbeirrt, über Stunden. Und nichts spricht dagegen, auf meinem Rechner ein Dutzend Agenten gleichzeitig nach Schwachstellen suchen zu lassen. Und das kann echt jeder.

Was heute jeder kann, wird morgen fast jeder tun. Was im Umkehrschluss heißt: wer auch nur irgendein Computersystem selbst betreibt, wird ohne KI-Unterstützung bei der Absicherung nicht mehr auskommen.

Zuerst erschienen in meinem LinkedIn-Newsletter Snackable AI.