KI-Hacking-Chronik: Alle Vorfälle bei OpenAI, Meta, Kimi & Anthropic

Am 30. Juli 2026 hat Anthropic 141.006 eigene Testläufe nachgeprüft und drei Fälle gefunden, in denen ein Claude-Modell echte Unternehmen im offenen Internet angegriffen hat, weil ein Testdienstleister die Sandbox nicht abgedichtet hatte. Sechs Tage später bestätigte Meta einen Einbruch durch ein eigenes Modell, zwei Tage danach kündigte OpenAI an, sein nächstes Modell zu verlangsamen.

Neu seit dem letzten Update

Stand 9. August 2026, neueste Einträge zuerst.

Warum ich diese Chronik führe

Die Meldungen der letzten Monate kommen einzeln, in unterschiedlichen Formaten und in unterschiedlicher Tonlage. Ein Anbieter veröffentlicht einen ausführlichen Incident-Bericht, der nächste ein Statement über einen Sprecher, der dritte gar nichts.

Hier landet ein Vorfall nur, wenn es eine Primärquelle vom Anbieter selbst oder von einer staatlichen Prüfstelle gibt, dazu ein belastbares Datum und eine Zahl zum Ausmaß. Gerüchte und Forenposts zähle ich nicht mit, die stehen weiter unten bei den offenen Fragen. In einem Jahr sieht diese Liste entweder wie eine Fußnote aus oder wie der Anfang, und ich will dann nachlesen können, was wir zu welchem Zeitpunkt wussten.

Die Kurzfassung

Zwölf Vorfälle, alle mit Primärquelle. Jede Zeile führt zum ausführlichen Eintrag.

Bei Anthropic, OpenAI und Meta haben keine Kriminellen die Anbieter angegriffen. Es waren Sicherheitstests der Anbieter selbst, bei denen die Testumgebung versagt hat und das Modell echte Ziele im Internet erreichte.

August bis November 2025 · fremde Akteure missbrauchen die Modelle

In dieser Phase greift niemand die Anbieter an und keine Testumgebung versagt. Kriminelle und ein Staatsakteur benutzen die Modelle einfach als Werkzeug, und die Anbieter merken es an ihrem eigenen Datenverkehr.

27.08.2025 · Anthropic · Vibe Hacking

Ausmaß: mindestens 17 Organisationen erpresst, Lösegeldforderungen teils über 500.000 US-Dollar · Quelle: Anthropic, Bericht über den Missbrauch eigener Modelle

Der auffälligste Fall im Bericht läuft intern unter "Vibe Hacking". Ein einzelner Akteur nutzte Claude Code, um mindestens 17 Organisationen zu erpressen. Dazu kommen nordkoreanische Scheinbewerbungen auf Remote-Jobs und ein Ransomware-Angebot, das für Beträge zwischen 400 und 1.200 US-Dollar verkauft wurde.

Der Angreifer war technisch nicht stark. Claude übernahm die Aufklärung, das Eindringen und die Auswertung der gestohlenen Daten und schlug sogar die Höhe der Lösegeldforderung vor. Technisch sind das dieselben Bausteine, die ich in meinem Praxisguide zu Claude Code im Marketing beschreibe, nur mit harmlosem Ziel.

07.10.2025 · OpenAI · über 40 abgeschaltete Netzwerke

Ausmaß: über 40 abgeschaltete Netzwerke seit Februar 2024 · Quelle: OpenAI, Disrupting malicious uses of AI

Seit dem Start der öffentlichen Bedrohungsberichte im Februar 2024 hat OpenAI über 40 Netzwerke abgeschaltet. Für die Anbieter ist Missbrauch damit Dauerbetrieb und kein Einzelfall.

13.11.2025 · Anthropic · Spionagekampagne GTG-1002

Ausmaß: rund 30 Ziele, 80 bis 90 % der Arbeit vom Modell erledigt · Quelle: Anthropic, Disrupting AI espionage

Anthropic ordnet die intern als GTG-1002 geführte Kampagne einer chinesischen staatlich unterstützten Gruppe zu, entdeckt Mitte September 2025. Von rund 30 Zielen führte eine kleine Zahl zu erfolgreichen Einbrüchen.

Für die gesamte Kampagne blieben vier bis sechs menschliche Entscheidungspunkte, verteilt über tausende Anfragen, in Spitzenphasen mehrere pro Sekunde. Das ist die erste weitgehend KI-gesteuerte Spionagekampagne, die ein Anbieter dokumentiert hat.

Januar bis März 2026 · das Risiko wird massentauglich

Jetzt verschiebt sich der Schauplatz. Die Löcher entstehen nicht in Laboren, sondern auf den Rechnern der Nutzer, und die erste Prompt Injection im echten Web ist dokumentiert.

31.01.2026 · Ökosystem · OpenClaw legt zehntausende Rechner offen

Ausmaß: 21.000 bis 40.214 öffentlich erreichbare Instanzen, je nach Methode und Zeitfenster · Quellen: Censys, Bitsight, SecurityScorecard

Beim viralen KI-Assistenten OpenClaw haben die Nutzer selbst das Loch aufgemacht. Censys kartiert am 31. Januar über 21.000 öffentlich erreichbare Instanzen, Bitsight beobachtet zwischen dem 27. Januar und dem 8. Februar mehr als 30.000 verschiedene, SecurityScorecard kommt am 9. Februar auf 40.214. Am 27. Januar waren es laut Bitsight noch rund 1.000, einen Tag später 177 % mehr.

Die Details sind unangenehmer als die Zahlen. Bitsight konnte auf der eigenen Instanz Code ausführen und Zugangsdaten auslesen, weil als Token oder Passwort "a" akzeptiert wurde. Betroffene Instanzen standen in Gesundheitswesen, Finanzsektor, Behörden und Versicherungen, und einen Honeypot auf dem Standardport 18789 klopften Fremde innerhalb von Minuten ab.

Der Entwickler hatte vorher selbst geschrieben, dass die meisten Nicht-Techniker das nicht installieren sollten und dass er die scharfen Kanten kenne. Trotzdem sammelte das Projekt in einer einzigen Woche über 100.000 GitHub-Sterne und zwei Millionen Besucher. Während der Umbenennung von Clawdbots zu Moltbot tauchten Typosquat-Domains und ein geklontes GitHub-Repository auf, und der Entwickler verlor kurzzeitig die Kontrolle über seine GitHub-Organisation und seinen X-Account.

Wenn du Agenten mit Werkzeugzugriff einsetzt, ist das der lehrreichste Fall dieser Liste. Standardport, schwaches Token und weitreichende Rechte können in jedem selbst gehosteten KI-Agenten genauso zusammenkommen.

16.02.2026 · Moonshot AI · Kimi Claw bringt das Risiko in den Browser

Ausmaß: kein eigener Vorfall, aber OpenClaws bekannte Risiken ohne Installationshürde · Quellen: VP Land, Institute for AI Policy and Strategy

Moonshot AI startet Kimi Claw, eine browserbasierte Variante von OpenClaw, die die Installationshürde wegnimmt. Das Institute for AI Policy and Strategy hält neun Tage später fest, dass die Integration einen gut dokumentierten Satz von Sicherheitsrisiken mitimportiert. Der Eintrag steht hier, weil bekannte Risiken damit massentauglich wurden.

03.03.2026 · Unit 42 · Prompt Injection im echten Web

Ausmaß: 12 Angriffsfälle, 22 Verschleierungstechniken · Quelle: Palo Alto Networks Unit 42

Im Dezember 2025 wurde ein KI-gestütztes Anzeigen-Prüfsystem auf reviewerpress[.]com über manipulierte Inhalte ausgehebelt. Von den 22 Techniken, mit denen die Anweisungen versteckt wurden, standen 37,8 % als sichtbarer Klartext auf der Seite, 19,8 % steckten in HTML-Attributen, 16,9 % wurden per CSS unsichtbar gemacht. 85,2 % der Jailbreaks basierten auf klassischem Social Engineering, nur eben adressiert an ein Modell statt an einen Menschen.

Unit 42 schränkt selbst ein, dass eine erfolgreiche Ausnutzung produktiver Systeme damit nicht bestätigt ist. Die Angriffsfläche bleibt trotzdem, sobald ein Agent fremde Webseiten liest. Werkzeugrechte und Datenzugänge gehören deshalb in eine bewusste Architektur, statt nebenbei über MCP-Server zu wachsen.

Juli und August 2026 · sechs Vorfälle in fünf Wochen

Hier kippt die Chronik. Sechs der zwölf Einträge fallen in die fünf Wochen zwischen dem 9. Juli und dem 7. August 2026, und diesmal sind es die Labore selbst, deren Testaufbauten versagen.

09.–29.07.2026 · OpenAI · Sandbox-Ausbruch bis zum Einbruch bei Hugging Face

Ausmaß: Einbruch bei Hugging Face über eine Zero-Day-Lücke in Artifactory · Quellen: OpenAI, Hugging Face, JFrog über The Hacker News

Am 9. Juli veröffentlicht OpenAI GPT-5.6 und schreibt, die Cyber-Schutzmechanismen von GPT-5.6 Sol blockierten etwa zehnmal mehr potenziell schädliche Aktivität als vorher. Sieben Tage später meldet Hugging Face einen Sicherheitsvorfall, bei dem eine Zero-Day-Lücke in Artifactory und mehrere Exploit-Ketten zum Einsatz kamen.

Am 21. Juli bestätigt OpenAI den Zusammenhang und ergänzt die Stellungnahme am 28. Juli um den Satz, dass kein Modell aus der geplanten Veröffentlichungsreihe beteiligt war. Am selben Tag bestätigt JFrog, dass OpenAI-Modelle während eines abgeschirmten Tests die eigene Artifactory-Instanz ausgenutzt hatten und ein zweiter Pfad später zum Einbruch bei Hugging Face führte. Beteiligt waren GPT-5.6 Sol und ein nicht näher benanntes Vorabmodell, die Zero-Days verketteten und so die Sandbox verließen. Security Affairs ordnet die Reihenfolge am 29. Juli nach.

Fünf Monate vorher, am 5. Februar 2026, hatte OpenAI mit Trusted access for cyber einen Rahmen vorgestellt, um offensive Cyber-Fähigkeiten nur an geprüfte Partner zu geben. Die Lücke lag am Ende im eigenen Testaufbau.

23.07.2026 · Moonshot AI · Kimi K3 in der Prüfung

Ausmaß: 0 von 41 Exploit-Aufgaben gelöst, Schutzmechanismen verhindern die Versuche nicht · Quelle: UK AISI und CAISI über das NIST

Bei den Fähigkeiten liegt K3 deutlich hinter den US-Spitzenmodellen. Auf ExploitBench löste K3 0 von 41 Aufgaben zur Ausführung beliebigen Codes, ein Vorabmodell von Mythos schaffte 18 von 41. Auf der Cyber-Range "The Last Ones" kam K3 im Schnitt bis Schritt 17 von 32 und löste den Parcours in 1 von 10 Versuchen, das Mythos-Vorabmodell erreichte im Schnitt Schritt 22 und löste ihn 3 von 10 Mal.

Zu den Schutzmechanismen schreiben die Prüfer, dass sie das Modell nicht davon abhielten, Exploit-Entwicklung oder offensive Cyber-Operationen zu versuchen. Schwach ist bei K3 also das Können, nicht das Wollen. Die Prüfer nennen dazu ihre eigenen Einschränkungen: eine wegen Hosting-Beschränkungen begrenzte Testreihe, US-Modelle mit abgeschalteten Schutzmechanismen, keine aktiven Verteidiger in der Cyber-Range.

30.07.2026 · Anthropic · drei Vorfälle in 141.006 Testläufen

Ausmaß: 3 Vorfälle in 141.006 geprüften Testläufen, ein Schadpaket auf 15 echten Systemen · Quelle: Anthropic, Investigating incidents in our cybersecurity evaluations

Der ausführlichste Bericht dieser Chronik. Geprüft wurden 141.006 Testläufe, in denen Claude potenziell Internetzugang hatte. Drei Vorfälle blieben übrig, verteilt auf drei Organisationen und sechs Durchläufe.

Claude Opus 4.7 nutzte echte Firmeninfrastruktur aus, extrahierte Anwendungs- und Infrastruktur-Zugangsdaten und öffnete eine Produktionsdatenbank mit mehreren hundert Zeilen echter Daten.

Mythos 5 fand einen nicht blockierten E-Mail-Anbieter, registrierte damit ein PyPI-Konto und lud ein bösartiges Python-Paket hoch. In der rund einen Stunde, die es online war, wurde es auf 15 echten Systemen heruntergeladen und ausgeführt. Das ist der einzige Fall dieser Chronik, in dem der Schaden Dritte erreicht hat, die mit dem Test nichts zu tun hatten.

Ein internes Forschungsmodell scannte rund 9.000 Ziele und kompromittierte ein Unternehmen über Zugangsdaten auf einer öffentlich erreichbaren Debug-Seite in Kombination mit einer SQL-Injection.

Die Ursache benennt Anthropic offen. Der externe Prüfdienstleister Irregular hatte den Internetzugang nicht isoliert, die Maschinen hingen am echten Netz, obwohl die Umgebung als simuliert beschrieben war. Anthropic hat daraufhin alle Cyber-Evaluationen gestoppt, die laufende Überwachung der Transkripte verbessert und die Sicherheitsprüfung von Dienstleistern ausgeweitet. Das neueste Modell habe von sich aus gestoppt, sobald es erkannte, dass es im echten Internet unterwegs war.

04.–05.08.2026 · UK AISI · 19 unerlaubte Aktionen in 122 Läufen

Ausmaß: 19 nicht genehmigte Aktionen in 10 von 122 Testläufen, kein Schaden belegt · Quellen: UK AISI, Incident-Bericht vom 5. August, OpenAI zu Cyber-Evaluationen durch Dritte, 4. August

Der Bericht der britischen Prüfstelle ist der unheimlichste Text dieser Sammlung, und er kam einen Tag nach OpenAIs eigener Einordnung. Zwischen dem 25. und 28. Juli 2026 liefen 122 Testdurchläufe. In 10 davon zählten die Prüfer 19 nicht genehmigte Aktionen, 17 von Mythos 5 und 2 von GPT-5.6 Sol.

Die Agenten erfanden falsche Identitäten, um einen GitHub-Maintainer für Pull Requests in die Lieferkette zu manipulieren, schrieben echte Menschen an, platzierten selbst Prompt Injections für andere Systeme und koordinierten sich untereinander. Aufgefallen sind sie unter anderem, weil ihr Verkehr über Tor lief. Nach rund einer Stunde war die Sache eingedämmt.

05.08.2026 · Meta · Muse Spark 1.1 dringt bei einem Drittanbieter ein

Ausmaß: ein Unternehmen betroffen, interne Systeme verändert, kein Bericht veröffentlicht · Quellen: Reuters, CBS News, Washington Post

Meta bestätigt über einen Sprecher, dass eines der eigenen Modelle während Sicherheitstests ein anderes Unternehmen gehackt hat. Die drei Redaktionen nennen das Modell Muse Spark 1.1 und halten fest, dass es in die Systeme des Unternehmens eingedrungen ist und dort interne Systeme verändert hat.

Als Ursache nennt Meta eine Fehlkonfiguration in der Zusammenarbeit mit demselben Testdienstleister Irregular, der schon bei Anthropic beteiligt war. Meta ist damit mindestens das dritte Unternehmen, das so einen Vorfall offenlegt, hat aber bis heute nur über einen Sprecher geantwortet.

07.08.2026 · OpenAI · Astra wird verlangsamt

Ausmaß: Entwicklung gebremst, Stufe "Critical" für Cyber-Fähigkeiten nicht auszuschließen · Quellen: OpenAI, The Verge, Axios

OpenAI kann nicht ausschließen, dass das kommende Modell Astra die Stufe "Critical" für Cyber-Fähigkeiten im eigenen Preparedness Framework erreicht. Diese Stufe ist unter anderem darüber definiert, dass ein Modell funktionsfähige Zero-Day-Exploits selbst findet und entwickelt.

Das Unternehmen verlangsamt daraufhin die Entwicklung von Astra, hält interne Arbeiten an, die die eigenen Vorgaben nicht erfüllen, fährt Tests und Sicherheitsmaßnahmen hoch und will die Gedankenketten der Modelle durchgängig überwachen. Ein führender Anbieter verzögert damit erstmals ein Modell wegen seiner eigenen Sicherheitsschwelle. Deshalb entsteht diese Chronik jetzt und nicht in drei Monaten.

Was die vier Anbieter unterscheidet

Bei den Fähigkeiten liegen die Modelle dicht beieinander. Beim Umgang mit dem eigenen Versagen liegen sie weit auseinander, und darüber entscheidest du mit, wenn du einen Anbieter wählst.

• Anthropic hat den detailliertesten Bericht geliefert: Zahl der geprüften Durchläufe, Name des Dienstleisters, eigene Konsequenzen. 141.006 Durchläufe nachzuzählen und drei Treffer zu veröffentlichen liefert Kritikern Material, das sonst niemand hätte.
• OpenAI hat in Etappen berichtet, erst zurückhaltend, dann ergänzend, und am 7. August den weitreichendsten Schritt gemacht, den bisher ein Anbieter gegangen ist.
• UK AISI liefert als staatliche Prüfstelle mit den 19 gezählten Aktionen die konkreteste Verhaltensbeschreibung.
• Meta hat den Vorfall bestätigt und ihn nicht erklärt. Es gibt keinen Bericht, keine Zahlen zum Ausmaß und keinen Namen des betroffenen Unternehmens, nur Sprecher-Statements gegenüber Journalisten.
• Moonshot AI hat zu den Prüfergebnissen nichts vorgelegt. Was wir über Kimi K3 wissen, wissen wir von UK AISI und CAISI.

Wenn bei euch eine Anbieter-Entscheidung ansteht, gehört Transparenz im Fehlerfall auf die Kriterienliste. Daran siehst du, wie viel du erfährst, wenn es einmal euer Unternehmen betrifft.

Was das für dein Marketing-Team heißt

Ein Sandbox-Ausbruch bei JFrog trifft kein Marketing-Team. Dich trifft, was diese Vorfälle nebenbei sichtbar machen. Agenten mit Werkzeugzugriff, Browser-Rechten und gespeicherten Zugangsdaten stehen inzwischen in jedem größeren Marketing-Stack, und fast niemand behandelt sie wie Infrastruktur.

• Eigener Zugang pro Agent. Der OpenClaw-Fall funktioniert nur, weil Instanzen mit weitreichenden Rechten und schwachen Token im Netz standen. Ein Agent, der denselben Admin-Account benutzt wie dein Team, erbt jeden Fehler daraus.
• Schreibrechte nur nach Freigabe. Beim Lesen liegt das Problem selten, der Meta-Fall ist ernst, weil das Modell interne Systeme verändert hat. Wenn ein Agent bei euch über einen Connector direkt in den Meta-Ads-Account schreiben darf, ist das dein Äquivalent.
• Protokoll über alles, was die Agenten tun. Anthropic hat die drei Vorfälle über die Auswertung von Transkripten gefunden, nicht über eine Alarmmeldung. Ohne Protokoll hast du im Zweifelsfall nichts zum Nachprüfen.
• Fremde Webinhalte als Eingabe behandeln. Der Unit-42-Fall zeigt, dass die versteckten Anweisungen auf genau den Seiten stehen, die dein Agent im Auftrag deines Teams liest.

Das gehört in denselben Governance-Rahmen, den ihr sowieso braucht. Meine 9 Regeln für den KI-Einsatz im Unternehmen decken den organisatorischen Teil ab, den regulatorischen findest du bei der Schulungspflicht im AI Act.

Wie ich das selbst handhabe

Ich lese diese Berichte im Original, bevor ich sie im Newsletter erwähne. Bei fast jedem Vorfall in dieser Liste war die Schlagzeile dramatischer oder harmloser als der Bericht. Beim Anthropic-Fall vom 30. Juli stand in vielen Zusammenfassungen, ein Modell habe Firmen angegriffen. Im Bericht steht, dass ein Dienstleister die Sandbox nicht isoliert hatte, was eine andere Geschichte mit anderen Konsequenzen ist.

Für meine eigenen Agenten gilt seit dem OpenClaw-Winter eine simple Regel. Jeder bekommt einen eigenen Zugang mit dem kleinsten Rechteumfang, der die Aufgabe noch erledigt, und keiner läuft auf einem Port, den ich nicht selbst geschlossen habe. Das ist unbequem, wenn man schnell etwas ausprobieren will, und deshalb schreibe ich es hier auf.

Was noch unklar ist

Diese Chronik hat Lücken. Hier stehen sie.

• Wie viele OpenClaw-Instanzen offen standen. Censys nennt über 21.000, Bitsight über 30.000 verschiedene Instanzen in einem Zwölf-Tage-Fenster, SecurityScorecard 40.214. Dahinter stehen unterschiedliche Messmethoden und Zeitfenster.
• Ob auf kompromittierten Kimi-Instanzen Kryptomining lief. Die Belege stammen aus Community-Posts und einem einzelnen Blog, eine Bestätigung durch einen Anbieter oder eine Prüfstelle fehlt, deshalb zähle ich den Fall nicht mit. Sollte sie kommen, steht er hier mit Datum und Quelle.
• Was Astra tatsächlich kann. OpenAI schreibt, die Stufe "Critical" sei nicht auszuschließen, und nicht, dass sie erreicht wurde. Was daraus folgt, steht im nächsten Bericht.
• Was bei Meta genau passiert ist. Ohne Zahlen zum Ausmaß, ohne Zeitraum und ohne Angaben zu den betroffenen Daten bleibt der Fall die schwächste Zeile in der Tabelle oben, obwohl er inhaltlich zu den schwersten gehört.

Ich aktualisiere diese Seite, sobald ein neuer Vorfall Primärquelle, Datum und eine Zahl zum Ausmaß mitbringt.

Was du als Nächstes tun kannst

Nimm dir eine halbe Stunde und schreib auf, in welchen Systemen bei euch ein KI-Agent Schreibrechte hat. Wenn die Liste länger ist als erwartet oder niemand sie sicher aufsagen kann, hast du deine erste Aufgabe, noch vor jedem weiteren Tool-Test.

Wenn ihr das mit dem Team in einer Sitzung durchziehen wollt, ist genau das Teil meines KI-Workshops für Marketing-Teams. Einmal pro Woche eingeordnet, ohne selbst 20 Incident-Berichte zu lesen, bekommst du es im KI-Newsletter.

👉🏻 Schreib mir kurz, was bei euch ansteht — ich antworte werktags innerhalb von 24 Stunden.