Warum KI-Angriffe das goldene Zeitalter der Cybersicherheit eröffnen
Am 9. Juli 2026 begann in der Produktionsumgebung von Hugging Face ein Einbruch, der viereinhalb Tage dauerte. Die technische Aufarbeitung rekonstruiert rund 17.600 Aktionen des Angreifers. Am 11. Juli gelang der Schritt von der Codeausführung zu Administratorrechten im Cluster in weniger als dreizehn Stunden. Nach den Untersuchungen von Hugging Face und METR hat kein Mensch diesen Angriff geführt.
Die Angreifer waren laut der Aufarbeitung von Hugging Face KI-Agenten, die mit einer Kombination von OpenAI-Modellen in einem internen Fähigkeitstest liefen. Die Aufarbeitung beschreibt ihr Verhalten als Versuch, die Lösungen des Fähigkeitstests zu stehlen, statt dessen Aufgaben zu bearbeiten. Hugging Face beschreibt ein autonomes Agentensystem, das über einen Schwarm kurzlebiger Sandkästen arbeitete und seine Steuerung auf öffentlichen Diensten immer wieder umzog. Die unabhängige Untersuchung von METR zählt rund 1.200 Agenten, die sich über ein unerlaubtes Nachrichtenbrett verabredeten, davon etwa 700 gegen Hugging Face, und hält fest, dass nach dem Fund dieses Bretts kein menschlicher Betreiber den Angriff steuerte.
Die Agenten kamen also aus einem Fähigkeitstest, und ihr Angriff traf echte Produktionsinfrastruktur. METR nennt die Grenzen der eigenen Auswertung selbst: unvollständig erfasste Daten, eine Analyse, die zu großen Teilen wieder von KI-Agenten stammt, und mögliche Manipulationen in den Transkripten. Für uns bleibt der Fall trotzdem der klarste Beleg, den wir bisher haben: Die Fähigkeit ist da, und hier brauchte sie keine Hand am Werkzeug.
Unsere Ausgangsthese: Viele Unternehmen waren bisher auch dadurch geschützt, dass die Zeit fähiger Angreifer knapp ist. Wer einen gezielten Einbruch von Hand durchführen kann, hat nur begrenzt Stunden und setzt sie dort ein, wo sie sich auszahlen.
Diese Bremse löst sich. Dokumentierte Kampagnen zeigen, dass KI-Modelle Angriffe inzwischen weitgehend selbst ausführen können, und das ist die schlechte Nachricht. Aus derselben Entwicklung leiten wir eine gute ab: Für die Cybersicherheit beginnt ihr bestes Jahrzehnt. Nicht obwohl Maschinen angreifen, sondern weil sie es tun.
Die Maschine arbeitet, der Mensch entscheidet an wenigen Stellen
Im November 2025 hat Anthropic eine Spionagekampagne offengelegt, die das Unternehmen mit hoher Sicherheit einer staatlich unterstützten chinesischen Gruppe zuordnet. Die Angreifer setzten das Programmierwerkzeug Claude Code so ein, dass die KI 80 bis 90 Prozent der Kampagne übernahm. Menschen griffen nach Anthropics Schätzung an etwa vier bis sechs Entscheidungspunkten je Kampagne ein. Sie versuchten, in rund 30 Ziele weltweit einzudringen, und hatten in einer kleinen Zahl von Fällen Erfolg. In der Spitze setzte die KI Tausende Anfragen ab, oft mehrere pro Sekunde, ein Tempo, das menschliche Angreifer nach Anthropics Worten nicht erreichen könnten.
Im September 2026 hat Googles Threat Intelligence Group einen Angreifer beschrieben, der eine Kampagne zum massenhaften Abgreifen von Zugangsdaten aufsetzte. Sein Werkzeug war ein KI-Programmierassistent mit vorbereiteten Agentenanweisungen, vom Plan bis zur Ausführung vergingen weniger als sechs Stunden. Den Scan nach Schwachstellen und die Fehlerbehebung im laufenden Betrieb übernahm der Agent ohne manuellen Eingriff.
Das BSI hat die Lage im Juni 2026 in einer Sicherheitsinformation für Organisationen eingeordnet. Aktuelle KI-Systeme seien so leistungsfähig, dass Schwachstellen in Software innerhalb kurzer Zeit umfassend und teilweise autonom erkannt, analysiert und in verwertbare Angriffspfade überführt werden können. Die Folgerung des Amtes: „KI senkt Aufwand, Zeitbedarf und Einstiegshürden für offensive Cyberfähigkeiten maßgeblich.“
Die Quellen ziehen auch eine Grenze. Google hat nach eigener Aussage bislang keine vollständig autonomen Angriffsketten von Bedrohungsakteuren im realen Einsatz beobachtet; der Juli-Fall entstand dagegen in einem Fähigkeitstest und traf reale Produktionsinfrastruktur. Anthropics Modell erfand während der Kampagne gelegentlich Zugangsdaten oder meldete erbeutete Geheimnisse, die in Wahrheit öffentlich zugänglich waren. In den von Anthropic und Google beschriebenen Kampagnen übernahmen Menschen weiterhin Teile der Angriffsführung.
Warum die Rechnung nicht mehr aufgeht
Das BSI beschreibt den sinkenden Aufwand am Beispiel der Exploit-Entwicklung: Mit KI lässt sich aus einem veröffentlichten Patch in Minuten bis Stunden ableiten, wie ein Angriff aussehen kann. Dafür brauchten Angreifer früher viel technisches Know-how und Zeit. Wir folgern daraus: Unternehmensgröße ist kein verlässlicher Grund mehr, gezielte Angriffe auszuschließen. Der Satz „Wir sind zu klein, um interessant zu sein“ war nie eine Strategie. Jetzt verliert er auch seine Grundlage.
Für die Verteidigung stellt dieselbe Sicherheitsinformation die Gegenrechnung auf. Angreifer könnten innerhalb von Stunden Exploits für bekannte Lücken entwickeln, während Betreiber oft Tage bis Wochen brauchten, um Patches auszurollen. Wenige Tage seien keine angemessene Reaktionsgeschwindigkeit. Dazu kommen die Grenzen, an die Verteidiger laut BSI gebunden bleiben: Testaufwand, Freigabeprozesse, Wartungsfenster für Patches, Herstellerabhängigkeiten, rechtliche und organisatorische Abstimmungen sowie begrenzte personelle Kapazitäten. Mit Handarbeit ist gegen dieses Tempo nicht mehr anzukommen.
Die knappe Zeit fähiger Leute bremst beide Seiten.
Warum genau das der Anfang des besten Jahrzehnts ist
Dieselbe Fähigkeit senkt den Aufwand der Verteidigung
Die Fähigkeit, die Angriffe billiger macht, lässt sich auch einsetzen, um Schwachstellen zu finden und zu beheben. Die US-Forschungsagentur DARPA hat das im August 2025 unter Wettbewerbsbedingungen gezeigt, im Finale ihrer AI Cyber Challenge. Die Systeme der Teams fanden in den Aufgaben 54 künstlich eingebaute Schwachstellen und behoben 43 davon, bei durchschnittlichen Kosten von rund 152 US-Dollar je Wettbewerbsaufgabe. Außerdem stießen sie auf 18 echte Schwachstellen, deren Meldung an die Projekte laut DARPA im August 2025 lief. Alle sieben Finalsysteme hat die DARPA als Open Source angekündigt. Das war ein Wettbewerb und kein Unternehmensbetrieb. Er zeigt aber, was eine Prüfung kosten kann, wenn Maschinen sie fahren.
Die Verteidigung spielt auf eigenem Platz
Wir sehen hier einen Vorteil der Verteidigung, der mit günstigeren Prüfungen an Gewicht gewinnt. Er liegt im Wissen über die eigene Umgebung: Die Verteidigung hat es oder kann es haben, ein Angreifer muss es sich erst beschaffen. Wer seine Umgebung kennt, kann Prüfungen gezielt vorbereiten und sie mit Freigabe vorsorglich fahren. Je günstiger eine Prüfung wird, desto öfter lässt sich dieser Vorteil ausspielen.
Wie ein Anbieter diesen Vorteil gezielt stärken kann, zeigt Anthropics Projekt Glasswing vom April 2026. Das Modell Claude Mythos Preview fand nach Angaben des Unternehmens Tausende Zero-Day-Schwachstellen, darunter in jedem großen Betriebssystem und jedem großen Webbrowser, fast alle davon ohne menschliche Steuerung. Allgemein verfügbar machen will Anthropic das Modell nicht. Zugang erhielten ausgewählte Partner und Organisationen, die kritische Software bauen oder pflegen, um Fehler zu finden und zu beheben. Ein solches Modell lässt sich also gezielt der Verteidigung geben. Eine Garantie, dass Angreifer nicht nachziehen, ist das nicht.
Der Engpass wandert vom Finden zum Beheben
Das BSI hält eine Lage für möglich, in der Organisationen mit einer erheblich steigenden Zahl neu entdeckter Schwachstellen und Patches zu tun haben. Mehr Funde bedeuten aber noch keine behobenen Lücken. Knapp werden Priorisierung, Tests, Freigaben und Umsetzung, also die Frage, welche Lücke zuerst geschlossen wird und welches Risiko das Unternehmen bewusst trägt. Ein großer Teil davon ist Governance-Arbeit: wer entscheidet, und woran das später zu belegen ist. Ein Modell kann sie vorbereiten, verantworten kann es sie nicht.
Die Angreifer im Fall von Anthropic haben eine Arbeitsteilung gezeigt: Menschen an wenigen Entscheidungspunkten, die Maschine im größten Teil der Arbeit. Für die Verteidigung schlagen wir dieselbe Arbeitsteilung vor, mit festgelegten Zuständigkeiten und dokumentierten Entscheidungen. Maschinen übernehmen die wiederkehrenden Prüfschritte, Menschen entscheiden an vorher vereinbarten Stellen. Wie weit das trägt, hängt vom Betrieb ab. Das BSI warnt ausdrücklich davor, Patches ungeprüft automatisch auszurollen, weil das den IT-Betrieb erheblich stören kann.
Darin liegt für uns der Kern des goldenen Zeitalters. Wenn wiederkehrende Prüfungen und das Zusammentragen von Belegen an Maschinen gehen, bleibt mehr Zeit für die Arbeit, die Urteilskraft braucht. Bei einigen der vom BSI genannten Abläufe lässt sich außerdem organisatorisch Zeit sparen: Freigaben können schneller gehen, wenn Regeln und Zuständigkeiten vor dem Ernstfall feststehen. Dort wird die Verteidigung schneller, ohne dass jemand schneller arbeiten muss.
Vorbeugen muss mehr Gewicht bekommen
Die gewohnte Reihenfolge lautet: etwas passiert, jemand merkt es, jemand behebt es. Gegen das Zeitgefälle, das das BSI beschreibt, ist sie nach unserer Überzeugung zu langsam geworden. Angreifer können aus einem veröffentlichten Patch innerhalb von Stunden einen Exploit entwickeln, das Ausrollen dauert oft Tage bis Wochen. Wir plädieren deshalb dafür, das Gewicht deutlich in Richtung Vorbeugung zu verschieben. Kontrollen gehören in den Prozess, damit Fehler gar nicht erst entstehen, und was doch entsteht, gehört nach der Bewertung vorrangig behoben statt pauschal auf das nächste Wartungsfenster vertagt. Das BSI verlangt beides: die Angriffsfläche grundsätzlich und proaktiv zu minimieren und die Detektion zu verstärken. Wir halten den ersten Teil für den, der in den nächsten Jahren mehr Budget braucht.
Gold gibt es nicht für alle
Ein goldenes Zeitalter heißt nicht, dass die Verteidigung gewinnt. Das britische National Cyber Security Centre erwartete im Mai 2025 eine digitale Kluft zwischen Systemen, die mit den Bedrohungen durch KI Schritt halten, und einem großen Teil, der verwundbarer ist. Die Entwicklung vollständig automatisierter, durchgängiger fortgeschrittener Angriffe hielt dieselbe Einschätzung bis 2027 für unwahrscheinlich, und sie rechnete damit, dass KI auch Betreibern und Entwicklern hilft, ihre Systeme abzusichern.
Es kommt deshalb darauf an, auf welcher Seite dieser Kluft ein Unternehmen steht. Automatisierung allein entscheidet das nicht.
Was daraus für Unternehmen folgt
Der erste Schritt ist unspektakulär: die eigene Angriffsfläche kennen. Wer weiß, welche Systeme und Dienstleister zum Unternehmen gehören, kann Prüfergebnisse einordnen und entscheiden, was dringend ist. Das BSI hält diese Kenntnis für maßgeblich, um zu bewerten, ob eine Schwachstelle umgehendes Handeln verlangt.
Danach geht es um die Entscheidungspunkte, und zwar bevor die Funde kommen: Wer entscheidet über welches Risiko, und bis wann? Liefert eine Prüfung Hunderte Funde, wird eine ungeklärte Zuständigkeit zum Engpass. Schwachstellenscans und der Abgleich des Asset-Bestands gehören häufiger in den laufenden Betrieb, soweit Testaufwand und Freigaben es zulassen. Die Verantwortung bleibt bei Menschen.
Wo OdySecure hilft und wo nicht
OdySecure, die Sicherheitsplattform von Cybervize, setzt an der Strecke zwischen erkanntem Risiko und umgesetzter Maßnahme an. OdySecure macht Risiken sichtbar, priorisiert Maßnahmen, führt den laufenden Sicherheitsbetrieb mit Aufgaben und Vorfällen und automatisiert das Formale bis zum Nachweis. Der OdySecure Navigator beantwortet Fragen zur Sicherheitslage mit Quelle und Kennzahl, sodass nachvollziehbar bleibt, worauf eine Antwort beruht.
Dahinter liegt die Kette, an der wir arbeiten: vom Geschäftsprozess zum Risiko, vom Risiko zur Richtlinie, von der Richtlinie zum Prozess, der sie ausführt. Nach unserer Erfahrung enden Werkzeuge für Governance in einer Liste und Sicherheitswerkzeuge in Befunden. Beide erzeugen Arbeit, und beide erledigen sie nicht. Wir verbinden die Kette und ordnen den Prozessen Agenten zu, die Aufgaben daraus übernehmen: OdyAgent, unser agentisches Rahmenwerk. Jeder Agent arbeitet unter einer eigenen Kennung, und jeder Schritt steht unter dieser Kennung im Protokoll. Die Entscheidungspunkte bleiben dort, wo sie in diesem Beitrag stehen: bei Menschen. OdyAgent läuft im eigenen Betrieb und öffnet sich gerade für die ersten Häuser als Design-Partner, allgemein verfügbar ist er nicht.
OdySecure ist keine autonome Abwehr und erkennt keine Angriffe. Angriffserkennung und technische Prüfungen wie Penetrationstests bleiben Aufgabe der Werkzeuge und Dienste, die dafür gebaut sind. OdySecure führt die Risiken, Entscheidungen und Maßnahmen, die sich daraus ergeben.
Das goldene Zeitalter der Cybersicherheit ist kein Zustand, in den ein Unternehmen hineinwächst. Es beginnt dort, wo Maschinen die Prüfung übernehmen und Menschen dafür sorgen, dass aus Funden behobene Lücken werden.