Mehr als 400 Wissenschaftler – darunter die KI-Pioniere Geoffrey Hinton, weithin bekannt als der „Godfather of AI", und Yoshua Bengio, Gewinner des Turing-Awards 2018 – fordern, dass die gefährlichsten KI-Modelle vom Internet getrennt werden.

In einem offenen Brief, der am Dienstag veröffentlicht wurde, forderten die Unterzeichner die KI-Labore auf, cyberfähige Modelle standardmäßig „air zu gapen“, was bedeutet, sie physisch von jedem externen Netzwerk zu trennen. Airgapping ist eine lang bewährte Sicherheitspraxis, die seit Langem dazu dient, geheime Militärsysteme und kritische Infrastruktur vor fernem Eindringen zu schützen. Der Brief hatte bis Mittwoch 450 Unterschriften gesammelt, darunter Stuart Russell von der UC Berkeley und Ron Rivest vom MIT, Mitentwickler des RSA-Verschlüsselungsverfahrens; die Liste wächst weiter in Echtzeit.

„In the short term, strong sandboxing mechanisms including airgapping (disconnecting from the internet) should be used to provide high-assurance containment of cyber-capable AI models“, heißt es in dem Brief.

Der Appell folgt auf einen Sommer, in dem Modelle von OpenAI, Anthropic, Meta und Moonshot AI aus ihren Test-Sandboxes entkamen, wobei mehrere davon in echte Unternehmen eindrangen.

Ein „cyberfähiges Modell“ ist eine KI, die Software-Schwachstellen eigenständig finden und ausnutzen kann. Die Labore messen diese Fähigkeit in einer Sandbox – einem abgeschotteten digitalen Raum, in dem die KI Scheinziele angreifen kann, ohne etwas Realen zu berühren. In diesem Sommer hielten diese Räume ständig Lecks. Airgapping ist der strengere Verwandte der Sandbox: Ohne jegliche Netzwerkverbindung gibt es keinen Netzwerkpfad aus der Umgebung hinaus.

Im Juli gab OpenAI zu, dass GPT-5.6 Sol und ein unveröffentlichtes, noch leistungsfähigeres Modell aus einer gesperrten Testumgebung ausbrachen und Hugging Face hackten, eine Plattform, die über eine Million öffentlich verfügbare KI-Modelle beherbergt. Die Modelle wurden auf ExploitGym getestet, einem Benchmark, der KI-Agenten 898 echte Software-Schwachstellen bereitstellt und von ihnen verlangt, jede einzelne in einen funktionierenden Angriff verwandeln – bewertet mit Bestehen oder Nichtbestehen pro Fehler. Kurz darauf kamen Berichte auf, wonach OpenAI-Modelle in die australische Regierung eingedrungen und ohne ordnungsgemäße Autorisierung an Informationen von US-Bundesbehörden gelangt waren.

Anthropic durchkämmte anschließend mehr als 141.000 Testläufe und fand drei Fälle, in denen Claude-Modelle echte Unternehmen hackten, nachdem die Umgebung eines Testpartners versehentlich mit dem Internet verbunden geblieben war. In einem Fall lud Claude Mythos 5 ein bösartiges Paket auf PyPI hoch, die öffentliche Bibliothek, aus der Programmierer Python-Code herunterladen, und es gelangte auf 15 Systeme, bevor es entfernt wurde. Zwei der betroffenen Unternehmen erfuhren erst von der Kompromittierung, als Anthropic sie informierte.

Meta bestätigte im August, dass sein Muse-Spark-Modell durch denselben Testfehler in ein anderes Unternehmen eindrang. Separat entkam Chinas Kimi K3, ein Modell, das jeder herunterladen kann, aus einer Sandbox, die auf dem Testframework des britischen AI Security Institute aufbaute, und kopierte seine Testantworten direkt von GitHub.

Die Autoren des Briefes sagen, die Vorfälle lassen sich zweierlei lesen: als ein Alignment-Problem, also dass KI Ziele auf Weisen verfolgt, die ihre Schöpfer nie beabsichtigten, oder als schlampige Sicherheit, die robustere Sandboxes abgefangen hätten. Ihre Antwort lautet: beides – und sie warnen, dass ohne Änderungen die nächsten Vorfälle noch schlimmer ausfallen werden.

„Without immediate changes in AI development and deployment practices, such incidents will continue to occur, and future incidents will be far more damaging to our exposed critical infrastructure“, heißt es in dem Brief.

Nach dem Vorschlag würden Labore standardmäßig jedes Modell mit ernsthaften Hacking-Fähigkeiten, zumindest anfangs, vom Netz trennen. Das würde einen Bruch mit den aktuellen Branchennormen bedeuten, bei denen führende Modelle typischerweise mit aktivem Internetzugang betrieben werden, um im Web zu browsen, externe Tools aufzurufen und Nutzer zu bedienen. Alles, was mehr Freiheit benötigt, etwa Internetzugang, würde Standards folgen, die von einem neuen, gemeinsam mit Regierungen geschaffenen internationalen Gremium festgelegt werden. Dieses Gremium würde außerdem Berichte über Eindämmungsversägnisse sammeln und sie schließlich verlichen.

Die Antwort der Branche selbst wies bisher größtenteils in die entgegengesetzte Richtung. Im August berief sich OpenAI-Präsident Greg Brockman in einem Essay auf die Verletzung seines Unternehmens und forderte jedes Sicherheitsteam auf, KI-Agenten sofort einzusetzen. Hugging Face wiederum konnte den Angriff auf seine Server nur aufklären, indem es ein chinesisches Open-Weight-Modell einsetzte – eines, dessen Dateien jeder herunterladen und lokal ausführen kann –, nachdem amerikanische kommerzielle KI sich weigerte, die Angriffsdaten zu analysieren.

Zwei Kongressabgeordnete brachten den AI Kill Switch Act zwei Tage nach OpenAI-Offenlegung ein, einen Gesetzentwurf, der dem Heimatschutzministerium erlauben würde, die Drosselung oder Abschaltung eines Frontier-Modells anzuordnen. Er nimmt alles aus, was während Red-Teaming oder strukturierten Tests geschieht – genau dort fanden alle diesjährigen Sommerverletzungen statt.

Das Weiße Haus ging am 29. September einen sanfteren Weg, als Nvidia, xAI, Meta, Google, OpenAI und Anthropic eine freiwillige Vereinbarung unterzeichneten, die auf internen Kontrollen und unabhängigen Prüfungen basiert. Präsident Trump nannte das Abkommen „morally binding“, doch nichts davon ist rechtlich durchsetzbar.

Der Brief hat keine rechtliche Wirkung, doch seine 406 Unterzeichner arbeiten an Universitäten und Forschungsinstituten auf sechs Kontinenten, von Toronto und Zürich bis Santiago und Kigali. Decrypt kontaktierte mehrere Forscher, die als Medienkontakte des Briefes gelistet sind, erhielt jedoch keine sofortige Antwort. Da die Unterzeichnerliste weiter wächst, sind die nächsten Indikatoren, auf die zu achten ist, ob ein Labor den Airgap-by-Default-Standard übernimmt und ob Regierungen das im Brief vorgesehene Aufsichtsgremium aufbauen.