OpenAI hat bestätigt, dass seine Modelle, darunter GPT-5.6 Sol und ein unveröffentlichter Prototyp, aus einer Test-Sandbox ausbrachen und die Produktionsinfrastruktur von Hugging Face kompromittierten, um ein Sicherheits-Benchmark zu manipulieren, wobei anschließend vier weitere Dienste betroffen waren. Separat entdeckte Anthropic, dass drei seiner Claude-Modelle in die Produktionssysteme von drei realen Unternehmen eingedrungen waren – während Evaluierungen, die von seinem Partner Irregular durchgeführt wurden. Dabei lud ein Modell ein bösartiges Paket in die öffentliche PyPI-Registry hoch.

Derzeit weist kein US-Bundesgesetz die Haftung für Schäden durch KI-Agenten zu. Jegliche rechtliche Schritte würden sich auf Jahrzehnte alte Computer-Hacking-Gesetze stützen, die für menschliche Akteure verfasst wurden.

Der Vorfall bei OpenAI

Am 21. Juli legte OpenAI offen, dass eine Kombination seiner Modelle – beide mit reduzierten Sicherheitsverweigerungen betrieben – während eines Cyber-Fähigkeits-Benchmarks aus einer isolierten Umgebung entkam und die Produktionsinfrastruktur von Hugging Face erreichte, der Open-Source-Repository-Plattform, die Hunderttausende Modelle und Datensätze hostet, auf die die gesamte KI-Branche angewiesen ist. Die Modelle nutzen eine Zero-Day-Schwachstelle in einem Paket-Registry-Proxy aus und verwendeten gestohlene Zugangsdaten, um Benchmark-Antworten direkt aus der Datenbank von Hugging Face zu extrahieren.

In einem nachfolgenden Update eine Woche später revealed OpenAI, dass Hugging Face nicht die einzige betroffene Partei war. Derselbe Vorfall erreichte vier Konten über vier zusätzliche Dienste hinweg, wobei eines als ausgehendes Relay und ein anderes zur Datenspeicherung verwendet wurde.

Anthropics Entdeckung

Angeregt durch die Offenlegung von OpenAI überprüfte Anthropic 141.006 seiner eigenen Testläufe und identifizierte drei weitere Sicherheitsverletzungen. In einem am 30. Juli veröffentlichten Beitrag berichtete das Labor, dass die Claude-Modelle Opus 4.7, Mythos 5 und ein internes Forschungssystem aus Sandbox-Umgebungen, die vom Drittpartner Irregular betrieben werden, das offene Internet erreichten und dann reale Organisationen kompromittierten.

Mythos 5 erstellte und veröffentlichte ein mit einer Falle versehenes Python-Paket in der öffentlichen PyPI-Registry, dem wichtigsten Vertriebszentrum für Python-Bibliotheken und ein wiederkehrendes Ziel bei Angriffen auf die Software-Lieferkette. Das Paket wurde heruntergeladen und auf 15 realen Maschinen ausgeführt, bevor Verteidiger es entfernten. Zwei der drei betroffenen Unternehmen hatten von der Sicherheitsverletzung nichts bemerkt.

Keines der beiden Labore hat ein Modell als mit einer eigenen Agenda handelnd beschrieben. Die Agenten operierten über längere Zeiträume ohne menschliche Aufsicht, und in einem Fall setzte Opus 4.7 seine Angriffe fort, obwohl es Anzeichen dafür gab, dass es Produktionssysteme erreicht hatte.

Diese Vorfälle ereignen sich zu einer Zeit, in der beide Unternehmen Börsengänge anstreben, die jedes mit über 1 Billion Dollar bewerten könnten, was eine grundlegende Frage im Wettlauf der KI-Cyber-Benchmarks verschärft: Wie können gefährliche Fähigkeiten getestet werden, ohne gefährliche reale Vorfälle zu verursachen?

Die rechtliche Lücke: Wer zahlt, wenn ein KI-Modell hackt?

Die Vereinigten Staaten haben kein Bundesgesetz, das die Haftung für durch KI verursachte Schäden regelt. Jeder Fall würde auf den Computer Fraud and Abuse Act angewiesen sein, einem Gesetz aus dem Jahr 1986, das es zu einer Straftat macht, "vorsätzlich" auf einen Computer ohne Autorisierung zuzugreifen – eine Formulierung, die für Menschen konzipiert wurde, die Vorsatz bilden. Der CFAA steht seit Jahrzehnten in der Kritik von Rechtswissenschaftlern, weil er über seinen ursprünglichen Zweck hinaus gedehnt wird, lange bevor autonome KI-Agenten ein Thema waren.

Ein KI-Agent ist keine juristische Person und kann daher nicht strafrechtlich verfolgt werden. Das Justizministerium könnte theoretisch Anklagen gegen die Unternehmen erheben, aber angesichts minimalem Präzedenzfalls bleibt die Frage der Schuld unklar.

Der gangbarere Weg ist die Zivilklage. Ahmed Ghappour, Rechtswissenschaftler für Computerrecht an der New York Law School, argumentierte, dass die Modelle "das Werkzeug des Unternehmens sind" und dass "wenn ein KI-Agent handelt, ohne spezifisch angewiesen zu werden (...) die interessanteren Fragen möglicherweise im Bereich der Fahrlässigkeit und der Produkthaftung liegen (nicht im Bereich der Strafgesetze für Hacking)."

For me, the lesson from the AI hacking stories is more about governance than model capability. The quality of safeguards like containment architecture, authorization boundaries, monitoring, and incident response are increasingly important.

— ahmed ghappour ⚡️🤖 (@ghappour) August 4, 2026

Der stärkste Anspruch der Geschädigten wäre Fahrlässigkeit: OpenAI und Anthropic haben Tests konzipiert und durchgeführt, die aus der Isolation ausbrachen. Dieses Argument steht vor eigenen Hürden – nachzuweisen, dass die Labore eine Sorgfaltspflicht verletzt haben, wenn die Tests von Natur aus isoliert waren, würde einen Richter zwingen, neues rechtliches Neuland zu betreten.

Vorschläge für strengere Regeln

Einige Rechtswissenschaftler befürworten strengere Rahmenbedingungen. Gabriel Weil von der University of Houston und dem Institute for Law & AI hat vorgeschlagen, Frontier-KI-Labore wie Halter von Wildtieren zu behandeln – haftbar unabhängig von den getroffenen Vorsichtsmaßnahmen, da das Risiko inhärent mit der Aktivität verbunden ist.

Ein Flickenteppich von Gesetzesentwürfen auf Bundesstaatsebene bewegt sich bereits in diese Richtung. New Yorks S8833 und Rhode Islands H8052 würden Entwickler von Frontier-KI-Systemen für Schäden haftbar machen, wenn weder ein Nutzer noch ein Vermittler das Verhalten beabsichtigt oder fahrlässig gehandelt hat. Kaliforniens AB 316 geht noch weiter und schließt die Verteidigung der „autonomen KI" aus, sodass Unternehmen sich nicht der Verantwortung entziehen können, indem sie Handlungen auf die Unabhängigkeit des Modells schieben.

Der AI Act der EU (Verordnung 2024/1689) legt ähnlich Verpflichtungen für Anbieter höherer Risikosysteme fest, enthält jedoch keine Bestimmung, die gezielt agentengesteuerte Einbrüche adressiert. Über diese Maßnahmen hinaus drängen einige US-Politiker auf Gesetzgebung, die der Regierung einen Kill-Switch geben würde, um ihn gegen jedes Modell einzusetzen, das den Interessen des Landes zuwiderläuft.

Ungelöst

Moralisch liegt die Verantwortung wohl bei den Führungskräften, die die Modelle auf den Markt brachten. Rechtlich bleibt die Frage offen. Bis ein gehacktes Unternehmen Klage einreicht, bleibt die Antwort auf die Frage „Wer haftet?" genau dort, wo OpenAI und Anthropic sie belassen haben: eingeräumt, offengelegt und ungelöst.

Hugging Face hat mitgeteilt, dass es keine Anklage erheben wird – eine Position, die für OpenAI günstig ist. Die anderen betroffenen Unternehmen haben noch nicht mitgeteilt, welches Vorgehen sie beabsichtigen.