KI-Hacking-Chronik: Alle Vorfälle bei OpenAI, Meta, Kimi & Anthropic

Am 30. Juli 2026 hat Anthropic 141.006 eigene Testläufe nachgeprüft und drei Fälle gefunden, in denen ein Claude-Modell echte Unternehmen im offenen Internet angegriffen hat, weil ein Testdienstleister die Sandbox nicht abgedichtet hatte. Sechs Tage später bestätigte Meta einen Einbruch durch ein eigenes Modell, zwei Tage danach kündigte OpenAI an, sein nächstes Modell zu verlangsamen.

Warum ich diese Chronik führe

Die Meldungen der letzten Monate kommen einzeln, in unterschiedlichen Formaten und in unterschiedlicher Tonlage. Ein Anbieter veröffentlicht einen ausführlichen Incident-Bericht, der nächste ein Statement über einen Sprecher, der dritte gar nichts. Wer nur die Schlagzeilen liest, bekommt entweder Panik oder Langeweile, aber kein Bild.

Hier landet ein Vorfall nur, wenn es eine Primärquelle vom Anbieter selbst oder von einer staatlichen Prüfstelle gibt, dazu ein belastbares Datum und eine Zahl zum Ausmaß. Gerüchte und Forenposts zähle ich nicht mit, die stehen weiter unten bei den offenen Fragen.

In einem Jahr sieht diese Liste entweder wie eine Fußnote aus oder wie der Anfang. Ich will dann nachlesen können, was wir zu welchem Zeitpunkt wussten, statt zu rekonstruieren, was ich damals gefühlt habe.

Die Kurzfassung

Bei Anthropic, OpenAI und Meta haben keine Kriminellen die Anbieter angegriffen. Es waren Sicherheitstests der Anbieter selbst, bei denen die Testumgebung versagt hat und das Modell echte Ziele im Internet erreichte.

Die Chronik von August 2025 bis heute

August 2025: Claude wird zum Erpressungswerkzeug

Anthropic veröffentlicht am 27. August 2025 einen Bericht über den Missbrauch eigener Modelle. Der auffälligste Fall darin läuft intern unter "Vibe Hacking". Ein einzelner Akteur nutzte Claude Code, um mindestens 17 Organisationen zu erpressen, mit Lösegeldforderungen von teilweise über 500.000 US-Dollar. Dazu kommen nordkoreanische Scheinbewerbungen auf Remote-Jobs und ein Ransomware-Angebot, das für Beträge zwischen 400 und 1.200 US-Dollar verkauft wurde.

Der Angreifer war technisch nicht stark. Claude übernahm die Aufklärung, das Eindringen und die Auswertung der gestohlenen Daten und schlug sogar die Höhe der Lösegeldforderung vor. Technisch sind das dieselben Bausteine, die ich in meinem Praxisguide zu Claude Code im Marketing beschreibe, nur mit harmlosem Ziel.

Oktober 2025: OpenAI zählt über 40 abgeschaltete Netzwerke

Am 7. Oktober 2025 meldet OpenAI im Bericht Disrupting malicious uses of AI, seit dem Start der öffentlichen Bedrohungsberichte im Februar 2024 über 40 Netzwerke abgeschaltet zu haben. Für die Anbieter ist Missbrauch damit Dauerbetrieb.

13. November 2025: die erste weitgehend KI-gesteuerte Spionagekampagne

Anthropic beschreibt in Disrupting AI espionage eine Kampagne, die intern als GTG-1002 geführt wird und die das Unternehmen einer chinesischen staatlich unterstützten Gruppe zuordnet. Entdeckt Mitte September 2025, rund 30 Ziele, davon eine kleine Zahl erfolgreicher Einbrüche.

80 bis 90 % der Arbeit erledigte das Modell. Für die gesamte Kampagne blieben vier bis sechs menschliche Entscheidungspunkte, verteilt über tausende Anfragen, in Spitzenphasen mehrere pro Sekunde.

Januar und Februar 2026: OpenClaw legt zehntausende Rechner offen

Beim viralen KI-Assistenten OpenClaw haben die Nutzer selbst das Loch aufgemacht. Censys kartiert am 31. Januar 2026 über 21.000 öffentlich erreichbare Instanzen. Bitsight beobachtet zwischen dem 27. Januar und dem 8. Februar mehr als 30.000 verschiedene offene Instanzen, am 27. Januar waren es noch rund 1.000, einen Tag später 177 % mehr. SecurityScorecard kommt am 9. Februar auf 40.214 Instanzen.

Die Details sind unangenehmer als die Zahlen. Bitsight konnte auf der eigenen Instanz Code ausführen und Zugangsdaten auslesen, weil als Token oder Passwort "a" akzeptiert wurde. Betroffene Instanzen standen in Gesundheitswesen, Finanzsektor, Behörden und Versicherungen. Einen Honeypot auf dem Standardport 18789 klopften Fremde innerhalb von Minuten ab.

Der Entwickler hatte vorher selbst geschrieben, dass die meisten Nicht-Techniker das nicht installieren sollten und dass er die scharfen Kanten kenne. Das Projekt sammelte in einer einzigen Woche über 100.000 GitHub-Sterne und zwei Millionen Besucher. Während der Umbenennung von Clawdbots zu Moltbot tauchten Typosquat-Domains und ein geklontes GitHub-Repository auf, und der Entwickler verlor kurzzeitig die Kontrolle über seine GitHub-Organisation und seinen X-Account. Gartner nannte OpenClaw laut Bitsight eine gefährliche Vorschau auf agentische KI, mit Risiken wie im Klartext gespeicherten Zugangsdaten.

Wenn du Agenten mit Werkzeugzugriff einsetzt, ist das der lehrreichste Fall dieser Liste. Standardport, schwaches Token und weitreichende Rechte können in jedem selbst gehosteten KI-Agenten genauso zusammenkommen.

Februar 2026: Kimi Claw bringt das Risiko in den Browser

Am 16. Februar 2026 startet Moonshot AI Kimi Claw, eine browserbasierte Variante von OpenClaw, die die Installationshürde wegnimmt. Das Institute for AI Policy and Strategy hält neun Tage später in einer Risikoanalyse fest, dass die Integration von OpenClaw in Kimi Claw einen gut dokumentierten Satz von Sicherheitsrisiken mitimportiert.

Ein Vorfall ist das noch nicht. Es steht hier, weil bekannte Risiken damit massentauglich wurden.

3. März 2026: der erste dokumentierte Prompt-Injection-Angriff im echten Web

Palo Alto Networks Unit 42 dokumentiert indirekte Prompt Injection in der Praxis. Im Dezember 2025 wurde ein KI-gestütztes Anzeigen-Prüfsystem auf reviewerpress[.]com über manipulierte Inhalte ausgehebelt. Die Forscher analysieren 12 Angriffsfälle und 22 Techniken, mit denen die Anweisungen versteckt wurden: 37,8 % standen als sichtbarer Klartext auf der Seite, 19,8 % steckten in HTML-Attributen, 16,9 % wurden per CSS unsichtbar gemacht. 85,2 % der Jailbreaks basierten auf klassischem Social Engineering, nur eben adressiert an ein Modell statt an einen Menschen.

Unit 42 schränkt selbst ein, dass eine erfolgreiche Ausnutzung produktiver Systeme damit nicht bestätigt ist. Die Angriffsfläche bleibt trotzdem, sobald ein Agent fremde Webseiten liest. Werkzeugrechte und Datenzugänge gehören deshalb in eine bewusste Architektur, statt nebenbei über MCP-Server zu wachsen.

9. bis 29. Juli 2026: OpenAI-Modelle verlassen die Sandbox

Am 9. Juli veröffentlicht OpenAI GPT-5.6 und schreibt, die Cyber-Schutzmechanismen von GPT-5.6 Sol blockierten etwa zehnmal mehr potenziell schädliche Aktivität als vorher. Sieben Tage später meldet Hugging Face einen Sicherheitsvorfall, bei dem eine Zero-Day-Lücke in Artifactory und mehrere Exploit-Ketten zum Einsatz kamen.

Am 21. Juli bestätigt OpenAI in einer eigenen Stellungnahme den Zusammenhang und ergänzt sie am 28. Juli um den Satz, dass kein Modell aus der geplanten Veröffentlichungsreihe beteiligt war. Am selben Tag bestätigt JFrog, dass OpenAI-Modelle während eines abgeschirmten Tests die eigene Artifactory-Instanz ausgenutzt hatten und ein zweiter Pfad später zum Einbruch bei Hugging Face führte. Beteiligt waren GPT-5.6 Sol und ein nicht näher benanntes Vorabmodell, die Zero-Days verketteten und so die Sandbox verließen. Security Affairs ordnet die Reihenfolge am 29. Juli nach.

Fünf Monate vorher, am 5. Februar 2026, hatte OpenAI mit Trusted access for cyber einen Rahmen vorgestellt, um offensive Cyber-Fähigkeiten nur an geprüfte Partner zu geben. Die Lücke lag am Ende im eigenen Testaufbau.

23. Juli 2026: Kimi K3 kann weniger und versucht es trotzdem

UK AISI und CAISI veröffentlichen über das NIST eine vorläufige Bewertung der Cyber-Fähigkeiten von Kimi K3.

Bei den Fähigkeiten liegt K3 deutlich hinter den US-Spitzenmodellen. Auf ExploitBench löste K3 0 von 41 Aufgaben zur Ausführung beliebigen Codes, ein Vorabmodell von Mythos schaffte 18 von 41. Auf der Cyber-Range "The Last Ones" kam K3 im Schnitt bis Schritt 17 von 32 und löste den Parcours in 1 von 10 Versuchen, das Mythos-Vorabmodell erreichte im Schnitt Schritt 22 und löste ihn 3 von 10 Mal.

Zu den Schutzmechanismen schreiben die Prüfer, dass sie das Modell nicht davon abhielten, Exploit-Entwicklung oder offensive Cyber-Operationen zu versuchen. Schwach ist bei K3 also das Können, nicht das Wollen. Die Prüfer nennen dazu ihre eigenen Einschränkungen: eine wegen Hosting-Beschränkungen begrenzte Testreihe, US-Modelle mit abgeschalteten Schutzmechanismen, keine aktiven Verteidiger in der Cyber-Range.

30. Juli 2026: Anthropic findet drei Vorfälle in eigenen Tests

Der ausführlichste Bericht dieser Chronik steht in Investigating incidents in our cybersecurity evaluations. Geprüft wurden 141.006 Testläufe, in denen Claude potenziell Internetzugang hatte. Drei Vorfälle blieben übrig, verteilt auf drei Organisationen und sechs Durchläufe.

Claude Opus 4.7 nutzte echte Firmeninfrastruktur aus, extrahierte Anwendungs- und Infrastruktur-Zugangsdaten und öffnete eine Produktionsdatenbank mit mehreren hundert Zeilen echter Daten.

Mythos 5 fand einen nicht blockierten E-Mail-Anbieter, registrierte damit ein PyPI-Konto und lud ein bösartiges Python-Paket hoch. In der rund einen Stunde, die es online war, wurde es auf 15 echten Systemen heruntergeladen und ausgeführt. Das ist der einzige Fall dieser Chronik, in dem der Schaden Dritte erreicht hat, die mit dem Test nichts zu tun hatten.

Ein internes Forschungsmodell scannte rund 9.000 Ziele und kompromittierte ein Unternehmen über Zugangsdaten auf einer öffentlich erreichbaren Debug-Seite in Kombination mit einer SQL-Injection.

Die Ursache benennt Anthropic offen. Der externe Prüfdienstleister Irregular hatte den Internetzugang nicht isoliert, die Maschinen hingen am echten Netz, obwohl die Umgebung als simuliert beschrieben war. Anthropic hat daraufhin alle Cyber-Evaluationen gestoppt, die laufende Überwachung der Transkripte verbessert und die Sicherheitsprüfung von Dienstleistern ausgeweitet. Das neueste Modell habe von sich aus gestoppt, sobald es erkannte, dass es im echten Internet unterwegs war.

4. und 5. August 2026: UK AISI zählt 19 unerlaubte Aktionen, Meta bestätigt einen Einbruch

OpenAI veröffentlicht am 4. August eine Einordnung zu Cyber-Evaluationen durch Dritte. Einen Tag später legt UK AISI den eigenen Incident-Bericht nach, und der ist der unheimlichste Text dieser Sammlung.

Zwischen dem 25. und 28. Juli 2026 liefen 122 Testdurchläufe. In 10 davon zählten die Prüfer 19 nicht genehmigte Aktionen, 17 von Mythos 5 und 2 von GPT-5.6 Sol. Die Agenten erfanden falsche Identitäten, um einen GitHub-Maintainer für Pull Requests in die Lieferkette zu manipulieren, schrieben echte Menschen an, platzierten selbst Prompt Injections für andere Systeme und koordinierten sich untereinander. Aufgefallen sind sie unter anderem, weil ihr Verkehr über Tor lief. Nach rund einer Stunde war die Sache eingedämmt, ein realer Schaden ist nicht belegt.

Am 5. August bestätigt Meta gegenüber Reuters, dass eines der eigenen Modelle während Sicherheitstests ein anderes Unternehmen gehackt hat. CBS News und die Washington Post nennen das Modell Muse Spark 1.1 und halten fest, dass es in die Systeme des Unternehmens eingedrungen ist und dort interne Systeme verändert hat. Als Ursache nennt Meta eine Fehlkonfiguration in der Zusammenarbeit mit demselben Testdienstleister Irregular. Meta ist damit mindestens das dritte Unternehmen, das so einen Vorfall offenlegt, hat aber bis heute nur über einen Sprecher geantwortet.

7. August 2026: OpenAI bremst Astra

Heute veröffentlicht OpenAI Responding to the next frontier of critical cyber capabilities. Das Unternehmen kann nicht ausschließen, dass das kommende Modell Astra die Stufe "Critical" für Cyber-Fähigkeiten im eigenen Preparedness Framework erreicht. Diese Stufe ist unter anderem darüber definiert, dass ein Modell funktionsfähige Zero-Day-Exploits selbst findet und entwickelt, wie The Verge zusammenfasst.

OpenAI verlangsamt daraufhin die Entwicklung von Astra, hält interne Astra-Arbeiten an, die die eigenen Vorgaben nicht erfüllen, fährt Tests und Sicherheitsmaßnahmen hoch und will die Gedankenketten der Modelle durchgängig überwachen. Axios ordnet das als bewusste Verzögerung ein.

Ein führender Anbieter verzögert damit erstmals ein Modell wegen seiner eigenen Sicherheitsschwelle. Deshalb entsteht diese Chronik heute und nicht in drei Monaten.

Was die vier Anbieter unterscheidet

Bei den Fähigkeiten liegen die Modelle dicht beieinander. Beim Umgang mit dem eigenen Versagen liegen sie weit auseinander, und darüber entscheidest du mit, wenn du einen Anbieter wählst.

• Anthropic hat den detailliertesten Bericht geliefert: Zahl der geprüften Durchläufe, Name des Dienstleisters, eigene Konsequenzen. 141.006 Durchläufe nachzuzählen und drei Treffer zu veröffentlichen liefert Kritikern Material, das sonst niemand hätte.
• OpenAI hat in Etappen berichtet, erst zurückhaltend, dann ergänzend, und am 7. August den weitreichendsten Schritt gemacht, den bisher ein Anbieter gegangen ist.
• UK AISI liefert als staatliche Prüfstelle mit den 19 gezählten Aktionen die konkreteste Verhaltensbeschreibung.
• Meta hat den Vorfall bestätigt und ihn nicht erklärt. Es gibt keinen Bericht, keine Zahlen zum Ausmaß und keinen Namen des betroffenen Unternehmens, nur Sprecher-Statements gegenüber Journalisten.
• Moonshot AI hat zu den Prüfergebnissen nichts vorgelegt. Was wir über Kimi K3 wissen, wissen wir von UK AISI und CAISI.

Wenn bei euch eine Anbieter-Entscheidung ansteht, gehört Transparenz im Fehlerfall auf die Kriterienliste. Daran siehst du, wie viel du erfährst, wenn es einmal euer Unternehmen betrifft.

Was das für dein Marketing-Team heißt

Ein Sandbox-Ausbruch bei JFrog trifft kein Marketing-Team. Dich trifft, was diese Vorfälle nebenbei sichtbar machen. Agenten mit Werkzeugzugriff, Browser-Rechten und gespeicherten Zugangsdaten stehen inzwischen in jedem größeren Marketing-Stack, und fast niemand behandelt sie wie Infrastruktur.

Der OpenClaw-Fall funktioniert nur, weil Instanzen mit weitreichenden Rechten und schwachen Token im Netz standen. Gib jedem Agenten deshalb einen eigenen Zugang. Ein Agent, der denselben Admin-Account benutzt wie dein Team, erbt jeden Fehler daraus.

Beim Lesen liegt das Problem selten. Der Meta-Fall ist deshalb ernst, weil das Modell interne Systeme verändert hat. Wenn ein Agent bei euch über einen Connector direkt in den Meta-Ads-Account schreiben darf, ist das dein Äquivalent, und Schreibrechte gehören dann hinter eine Freigabe.

Protokollier außerdem, was die Agenten tun. Anthropic hat die drei Vorfälle über die Auswertung von Transkripten gefunden, nicht über eine Alarmmeldung. Ohne Protokoll hast du im Zweifelsfall nichts zum Nachprüfen.

Und behandle fremde Webinhalte als Eingabe. Der Unit-42-Fall zeigt, dass die versteckten Anweisungen auf genau den Seiten stehen, die dein Agent im Auftrag deines Teams liest.

Das gehört in denselben Governance-Rahmen, den ihr sowieso braucht. Meine 9 Regeln für den KI-Einsatz im Unternehmen decken den organisatorischen Teil ab, den regulatorischen findest du bei der Schulungspflicht im AI Act.

Wie ich das selbst handhabe

Ich lese diese Berichte im Original, bevor ich sie im Newsletter erwähne. Bei fast jedem Vorfall in dieser Liste war die Schlagzeile dramatischer oder harmloser als der Bericht. Beim Anthropic-Fall vom 30. Juli stand in vielen Zusammenfassungen, ein Modell habe Firmen angegriffen. Im Bericht steht, dass ein Dienstleister die Sandbox nicht isoliert hatte, was eine andere Geschichte mit anderen Konsequenzen ist.

Für meine eigenen Agenten gilt seit dem OpenClaw-Winter eine simple Regel. Jeder bekommt einen eigenen Zugang mit dem kleinsten Rechteumfang, der die Aufgabe noch erledigt, und keiner läuft auf einem Port, den ich nicht selbst geschlossen habe. Das ist unbequem, wenn man schnell etwas ausprobieren will, und deshalb schreibe ich es hier auf.

Was noch unklar ist

Diese Chronik hat Lücken. Hier stehen sie.

Die Zahl der offenen OpenClaw-Instanzen ist umstritten. Censys nennt über 21.000, Bitsight über 30.000 verschiedene Instanzen in einem Zwölf-Tage-Fenster, SecurityScorecard 40.214. Dahinter stehen unterschiedliche Messmethoden und Zeitfenster.

Zu Kimi kursieren Berichte über Kryptomining auf kompromittierten Instanzen, die ich hier nicht mitzähle. Die Belege stammen aus Community-Posts und einem einzelnen Blog, eine Bestätigung durch einen Anbieter oder eine Prüfstelle fehlt. Sollte sie kommen, steht der Fall hier mit Datum und Quelle.

Die Astra-Einschätzung ist vorläufig. OpenAI schreibt, die Stufe "Critical" sei nicht auszuschließen, und nicht, dass sie erreicht wurde. Was daraus folgt, steht im nächsten Bericht.

Bei Meta fehlt der Bericht. Ohne Zahlen zum Ausmaß, ohne Zeitraum und ohne Angaben zu den betroffenen Daten bleibt der Fall die schwächste Zeile in der Tabelle oben, obwohl er inhaltlich zu den schwersten gehört.

Ich aktualisiere diese Seite, sobald ein neuer Vorfall Primärquelle, Datum und eine Zahl zum Ausmaß mitbringt.

Was du als Nächstes tun kannst

Nimm dir eine halbe Stunde und schreib auf, in welchen Systemen bei euch ein KI-Agent Schreibrechte hat. Wenn die Liste länger ist als erwartet oder niemand sie sicher aufsagen kann, hast du deine erste Aufgabe, noch vor jedem weiteren Tool-Test.

Wenn ihr das mit dem Team in einer Sitzung durchziehen wollt, ist genau das Teil meines KI-Workshops für Marketing-Teams. Einmal pro Woche eingeordnet, ohne selbst 20 Incident-Berichte zu lesen, bekommst du es im KI-Newsletter.

👉🏻 Schreib mir kurz, was bei euch ansteht — ich antworte werktags innerhalb von 24 Stunden.