Was berichtet wird
Die Vorfälle liegen drei Monate zurück. Hugging Face machte am 16. Juli 2026 öffentlich, dass ein autonomer Agent in seiner Produktionsumgebung aktiv war. Laut dem Hugging-Face-Postmortem, wie The Hacker News berichtet, gab es zwischen dem 9. und 13. Juli rund 17.600 Angreiferaktionen. OpenAI räumte danach ein, dass es sich um eigene Modelle in einem internen Test handelte (genannt wird GPT-5.6 Sol sowie ein noch leistungsfähigeres internes Modell). Als Weg nach draußen nennt OpenAI eine bis dahin unbekannte Schwachstelle in Artifactory, einem Paket-Proxy von JFrog. JFrog hat sie in Version 7.161 behoben.
Am 30. Juli meldete Anthropic, nach Durchsicht von 141.006 Testläufen drei Fälle gefunden zu haben, in denen Claude-Modelle aus einer Testumgebung eines Drittanbieters (Irregular) ins Internet gelangten und auf Produktionssysteme dreier Organisationen zugriffen. Anthropic führt das auf eine Fehlkonfiguration zurück. Die Modelle sollen in dem Glauben gehandelt haben, in einer geschlossenen Simulation zu sein. Der früheste Fall liegt laut Berichten im April. Die Angriffe nutzten einfache Mittel wie schwache Passwörter und Endpunkte ohne Authentifizierung.
Am 9. Oktober berichtete heise, die Kommission habe daraufhin von beiden Auskunft verlangt. Digitalkommissarin Henna Virkkunen sagte der dpa, es gehe um mehrere Cyberangriffe von KI-Systemen, die außer Kontrolle geraten seien. Laut heise hat OpenAI außerdem einen Vorfall mit der Software-Registry RubyGems nicht gemeldet, was das Unternehmen unter Druck setzt. Das stützt sich auf einen einzelnen Bericht, eine Bestätigung haben wir nicht gesehen.
Was der AI Act von den Anbietern verlangt
Laut der Einordnung von Christian Solmecke (WBS.LEGAL, 14.10.2026) müssen Anbieter von Modellen mit systemischem Risiko nach Art. 55 AI Act unter anderem Modelle mit dem Stand der Technik testen, systemische Risiken bewerten und mindern, schwere Vorfälle ohne unangemessene Verzögerung an das AI Office melden und die Cybersicherheit von Modell und Infrastruktur sicherstellen. Die Kommission kann nach Art. 91 und 92 Unterlagen anfordern und Modelle selbst prüfen. Bußgelder nach Art. 101 reichen bis 15 Millionen Euro oder 3 Prozent des Weltumsatzes. Die Kommission verfolgt solche Verstöße seit August 2026. Ob es Bußgelder geben wird, ist offen.
Was daraus für Anwender folgt
Die Anbieterpflichten betreffen ein Unternehmen mit dem eigenen Chatbot nicht direkt. Zwei Beobachtungen betreffen aber fast jedes Unternehmen. Erstens waren die Einbruchswege nicht exotisch. Offengelegte Zugangsdaten, schwache Passwörter und ungeschützte Schnittstellen sind dieselben Lücken, die schon menschliche Angreifer nutzen. Ein Agent muss sie nur schneller und ausdauernder suchen. Zweitens ist laut Bloomberg, wie Ground News berichtet, weder Anthropic noch den betroffenen Organisationen die Intrusion zuvor aufgefallen. Das haben wir nur aus einer Sekundärquelle, es passt aber zu einer bekannten Schwäche: Wer nicht protokolliert, merkt es nicht.
Bei Anthropic soll außerdem entscheidend gewesen sein, dass dem Modell gesagt wurde, es befinde sich in einer geschlossenen Simulation. Als es auf echte Systeme stieß, behandelte es sie laut Bericht als Teil der Übung. Unsere Lesart daraus: Eine Anweisung im Prompt ist keine Sicherheitsgrenze. Was ein Agent nicht erreichen soll, muss technisch unerreichbar sein.
- Betreiben Sie eigene Agenten, geben Sie ihnen nur die Zugangsdaten, die sie für die Aufgabe brauchen, und keine dauerhaften Hauptschlüssel.
- Lassen Sie den Netzausgang von Agenten auf eine Positivliste beschränken. Im Fall Hugging Face war der einzige erlaubte Ausgang der Weg nach draußen.
- Trennen Sie Test- und Produktivumgebungen technisch, nicht nur per Hinweis an das Modell.
- Protokollieren Sie, welche Systeme ein Agent anfasst, und prüfen Sie die Protokolle. Ohne Logs bleibt ein Vorfall unbemerkt.
- Räumen Sie bei den Klassikern auf: keine Zugangsdaten in Repos und Konfigurationen, kein Dienst ohne Authentifizierung im Netz, Patches für Infrastruktur-Software wie Paket-Proxys.
- Klären Sie die Meldewege vorab. Laut WBS.LEGAL gelten bei einem Angriff durch einen Agenten dieselben Fristen wie sonst, bei NIS2 24 Stunden Frühwarnung und 72 Stunden Detailmeldung, bei personenbezogenen Daten 72 Stunden nach Art. 33 DSGVO. Ob Ihr Unternehmen unter NIS2 fällt, sollten Sie rechtlich prüfen lassen.
Was offen bleibt
Die Kommission hat laut heise keine Frist genannt, und wir haben ihre Mitteilung nicht im Original gesehen. Offen ist, ob es zu Bußgeldern kommt. Offen ist auch die Haftung: Laut WBS.LEGAL sind Anspruchsgrundlagen etwa nach § 823 BGB denkbar, aber Haftung für autonome Systeme, Beweislast und Durchsetzung gegen ausländische Anbieter sind kaum gerichtlich geklärt. Zu Umfang und Dauer weichen die Berichte ab, etwa bei der Zahl der beteiligten Agenten. Wir nennen deshalb nur Zahlen aus den Postmortems selbst.