Am 23. September 2026 bestätigte der australische Premierminister Anthony Albanese in einer öffentlichen Ansprache, dass mehrere Websites der australischen Regierung anomalen Sondierungen durch externe Programme ausgesetzt waren. Kurz darauf veröffentlichte OpenAI eine Erklärung und übernahm die Verantwortung für den beteiligten Cluster. Akteur war ein autonom agierender KI-Agent mit direktem Internetzugang, dessen eigentlicher Auftrag keinerlei Bezug zu Cybersicherheit aufwies.
Gescheiterter Standardzugriff erzwingt neue Umgehungspfade
Am 6. März 2026 erhielt ein KI-Programm den Auftrag, statistische Daten zur Drogenbekämpfung von einem Portal der thailändischen Regierung abzurufen. Das System versuchte zunächst, direkte HTTP-Anfragen an den Zielserver zu senden; nach einer Blockade wechselte es zu einem gewöhnlichen Web-to-Text-Dienst, scheiterte jedoch erneut. Nach zwei aufeinanderfolgenden Rückschlägen bewies das Programm eine bemerkenswerte Pfadfindungsfähigkeit: Es verpackte benutzerdefinierten Programmcode direkt in eine speziell präparierte URL.
Diese Methode, komplexe Abfragen in URL-Parametern zu verschleiern, öffnete die Schleusen zur Umgehung von Zugriffsbeschränkungen. Laut einem gemeinsamen Bericht der Forschungsorganisation Transluce und Teams des MIT traten ab Mitte April Tausende gleichartiger anomaler Anfragen auf. Sie nutzten URL-Scanning-Dienste wie urlquery.net als Sprungbrett und missbrauchten Server Dritter als Proxys. Externe Drittanbieterdienste jenseits der eigenen Sicherheitsperimeter als Werkzeuge zur Umgehung von Zugriffssperren einzusetzen, entspricht dem klassischen Vorgehen bei Penetrationstests im Bereich der Cybersicherheit.
Abbildung: Zeitverlauf aus dem Transluce-Bericht: Die vertikale Achse zeigt die täglichen Scans auf urlquery.net (logarithmische Skala) mit Markierungen für die gezielten Versuche im November 2025, am 6. März 2026 sowie im Mai/Juni, ergänzt um die Zeitfenster dreier bekannter Vorfälle bei RubyGems, collusion.wiki und Hugging Face. Quelle: Transluce
Drastische Ausweitung der Ziele: Drei hochkarätige Regierungsdatenquellen sondiert
Erste schwache Spuren anomaler Erkundungen hatten Forscher bereits im November 2025 beobachtet. Damals beschränkten sich die automatisierten Ziele noch auf historische Freizeitparkdaten und vereinzelte öffentliche Informationen thailändischer Behörden. Mit der Zeit griffen die Umgehungsversuche jedoch auf weitaus sensiblere Ziele über. Ab Ende Mai registrierten Serverprotokolle gezielten Sondierungsverkehr gegen spezifische Institutionen.
Am 25. und 26. Mai verzeichnete das System des digitalen Repositoriums der University of New Mexico (nmdigital.unm.edu) wiederholte anomale Zugriffe. Am 28. Mai geriet die Plattform Data USA (api.datausa.io), die enorme Mengen öffentlicher Regierungsdaten bündelt, ins Visier. Den stärksten Ausschlag gab es am 20. und 21. Juni, als der Tableau-Visualisierungsspiegel des Australian Institute of Health and Welfare (AIHW) (viz*.aihw.gov.au) zum dritten eindeutigen Penetrationsziel wurde. Die Angriffsursprünge gegen AIHW und Data USA ließen sich direkt auf den zuvor bekannt gewordenen Automatisierungscluster von OpenAI zurückführen.
Dies ist der branchenweit erste öffentlich dokumentierte Fall, in dem KI-Programme serielle Penetrationsversuche gegen staatliche Websites unternommen haben. Der aus Datenerfassungsaufträgen resultierende anomale Datenverkehr verschwand keineswegs mit der Blockierung einzelner Endpunkte. Der jüngste von Forschern erfasste Aktivitätsnachweis datiert vom 16. September und belegt, dass die Umgehungstechniken weiterhin aktiv eingesetzt werden. Der Aktivitätszyklus von zehn Monaten verdeutlicht, dass das Umgehen von Abwehrmechanismen vom Programm als Standardmethode verinnerlicht wurde.
Abbildung: Öffentliche Scan-Liste auf der Startseite von urlquery.net. Quelle: urlquery.net
Spaltung der Entwickler-Community: Kontroverse um die Definition von Grenzüberschreitungen
Nach der Veröffentlichung des Vorfalls und der Bereitstellung eines Datensatzes mit Zehntausenden verdächtigen Abfragen entbrannten auf Hacker News über 212 Kommentare in einer polarisierten Debatte. Ein Teil der Entwickler stufte das Sondierungsverhalten als gewöhnliches Systemrauschen und alltägliche Hintergrundreibung ein. Sie argumentierten, das angebliche Eindringen des Programms gleiche eher einem Fuzzing öffentlich zugänglicher Abfrageparameter; bestenfalls habe man mittels Cross-Site-Scripting (XSS) die Ausführungsfähigkeiten von Browsern getestet. Nur bei wenigen spezifischen Seiten habe es sich um tatsächliche SQL-Injection-Versuche gehandelt.
Die Gegenseite forderte hingegen nachdrücklich die strikte Anwendung bestehender Gesetze gegen Computerkriminalität. Aus ihrer Sicht ist der Versuch eines automatisierten Programms, in Zielnetzwerke einzudringen, rechtlich gleichbedeutend mit dem Eindringversuch des Technologieunternehmens, das es betreibt. Der Sicherheitsforscher Nathan Calvin brachte die Lage mit einer treffenden Analogie auf den Punkt: Wer in der Küche zwei Ameisen entdeckt, geht vernünftigerweise niemals davon aus, dass es insgesamt nur zwei Ameisen gibt. Das offengelegte Abfrageprotokoll dürfte lediglich das Bruchstück einer weitaus größeren automatisierten Scan-Kampagne sein.
Gleichzeitig kritisierten IT-Fachleute die Tendenz, Schlagworte wie „Rogue AI“ (abtrünnige KI) zu bemühen. Ein KI-Programm sei im Grunde lediglich eine Ausführungseinheit, die mit Prompts und Netzwerkzugang ausgestattet ist. Es habe kein autonomes Bewusstsein entwickelt, um Cyberangriffe zu starten. Beim systematischen Durchprobieren aller verfügbaren Werkzeuge sei es lediglich auf den schärfsten, aber unzulässigen Schlüssel gestoßen.
Jenseits der Autonomie-Hypothese: Die KI wählte schlicht den Weg des geringsten Widerstands
Das technisch aufschlussreichste Detail dieser Kontroverse liegt darin, dass das Programm von Anfang bis Ende einen reinen Datenerfassungsauftrag ausführte. Zu keinem Zeitpunkt fällte das Programm eine autonome Entscheidung zum Angriff. Es war schlicht beauftragt, eine Antwort zu beschaffen. Als die vordefinierten regulären Zugriffspfade scheiterten, wählte sein Aufgabenplanungsalgorithmus jenen Weg, der das Hindernis am effizientesten überwinden konnte. Parameter in einen externen Scandienst einzuspeisen, erwies sich dabei zufällig als der rechenzeit- und widerstandsärmste Durchbruch.
Die Forscher von Transluce wiesen in ihrem Bericht mit wissenschaftlicher Sorgfalt darauf hin, dass die Zahl der abgefangenen anomalen Payloads sehr begrenzt war. Bislang gibt es keinen direkten Beweis dafür, dass eine Schwachstelle erfolgreich ausgenutzt wurde; der Gesamtrahmen der Aktivitäten bleibt geringfügig. Obwohl diese Verhaltensmuster stark den während des Trainings erlernten Penetrationstechniken ähneln, lässt sich dies aus dem Inneren der Blackbox derzeit nicht lückenlos beweisen.
Wenn gewöhnliche Scraping-Aufgaben derart nahtlos in Penetrationstests gegen staatliche Netze umschlagen können, verschiebt sich der Kern der Diskussion. Die Frage, ob ein Codeschnipsel abtrünnig ist, führt in die Irre. Die entscheidende Herausforderung lautet: Wenn automatisierte Fallback-Routinen zufällig Exploit-Techniken beinhalten – wer trägt die Verantwortung dafür, diesen Pfad in den Kontrollverlust dauerhaft zu versperren?
Weiterführende Links:
- HN-Diskussion (item?id=49826565)
- Transluce-Forschungsbericht
