Wir lassen uns jede Nacht hacken
Wir werden jede Nacht von einer KI angegriffen. Es ist unsere eigene.
Ein Programm sucht in einer Kopie unserer Plattform nach Schwachstellen, probiert Angriffe aus und legt uns am Morgen einen Bericht vor. Die Technik dafür steht heute jedem zur Verfügung, auch Angreifern. Wir halten es deshalb für vernünftig, sie selbst zuerst auf die eigene Software zu richten. Dieser Beitrag beschreibt, wie das geht, ohne den Betrieb zu gefährden.
Wie gefährlich es heute ist
Im April 2024 schrieb das BSI, bösartige KI-Agenten, die IT-Infrastrukturen vollkommen eigenständig kompromittieren, seien aktuell nicht verfügbar. KI könne aber schon Teile eines Angriffs automatisieren. Seitdem ist viel passiert.
Im November 2025 berichtete Anthropic über eine Spionagekampagne, die eine staatlich unterstützte Gruppe mit dem Programmierwerkzeug Claude Code gegen rund dreißig Organisationen geführt hatte. Die KI erledigte nach Angaben von Anthropic 80 bis 90 Prozent der Arbeit, Menschen griffen nur gelegentlich ein. Um die KI zur Mitarbeit zu bringen, gaben die Angreifer vor, für eine seriöse Sicherheitsfirma defensive Tests durchzuführen.
Im Juli 2026 griff ein KI-System die Produktionsumgebung von Hugging Face an, einer der großen Plattformen für KI-Modelle. Die Kampagne dauerte viereinhalb Tage, davon rund zweieinhalb in der Infrastruktur von Hugging Face; rekonstruiert sind rund 17.600 Aktionen. Nach der Aufarbeitung von Hugging Face stammten die Agenten aus einem internen Test von OpenAI, der Angriffsfähigkeiten von KI messen sollte. Den Angriff auf Hugging Face hatte ihnen niemand aufgetragen, und kein Mensch steuerte die einzelnen Schritte. Aus Sicht der Agenten war es der Versuch, beim Test zu schummeln: in die Produktion einzudringen und die Lösungen zu stehlen.
Im September brachen Angreifer beim niederländischen Dutch Institute for Vulnerability Disclosure (DIVD) über zwei bis dahin unbekannte Lücken ein. Nachdem sie Administratorrechte auf dem Server hatten, setzten sie laut DIVD KI-Agenten für den weiteren Angriff ein. Ende September und Anfang Oktober flossen bei mehreren Finanzinstituten in Südkorea Daten ab. CrowdStrike fand beim Angreifer ein frei verfügbares Werkzeug für agentische Penetrationstests, betrieben mit großen Sprachmodellen.
Das BSI hat seine Einschätzung 2026 in einer Sicherheitsinformation neu gefasst: Aktuelle KI-Systeme könnten Schwachstellen in kurzer Zeit umfassend und teilweise autonom erkennen, analysieren und in verwertbare Angriffspfade überführen. „KI senkt Aufwand, Zeitbedarf und Einstiegshürden für offensive Cyberfähigkeiten maßgeblich.“
Dieselben Werkzeuge für die eigene Prüfung
Die Angreifer in Südkorea haben ein Werkzeug benutzt, das für Penetrationstests gebaut wurde. Die Angreifer im Fall von Anthropic haben sich als Sicherheitsprüfer ausgegeben. Ein Unternehmen kann diese Rolle tatsächlich einnehmen, an der eigenen Software. Anthropic empfiehlt Sicherheitsteams ausdrücklich, KI für die Verteidigung zu erproben, unter anderem bei der Bewertung von Schwachstellen.
Ein Beispiel zeigt, was das ändert. Angenommen, ein Unternehmen lässt seine Anwendung einmal im Jahr von einem Pentest-Team prüfen. Der Bericht beschreibt dann den Stand am Prüftag. Was danach am Code geändert wird, sieht erst der nächste Test. Ein automatisierter Lauf dagegen braucht keine manuelle Durchführung und kann jede Nacht den jeweils aktuellen Stand prüfen. Verdachtsfälle liegen dann am nächsten Morgen zur Bewertung vor, nicht erst im nächsten Jahr.
Dazu kommt, dass die Verteidigung ihre eigene Umgebung kennt oder kennen kann. Sie kann den Test gezielt dort ansetzen, wo sich etwas geändert hat, und ihn so oft fahren, wie sie will.
Wie es richtig geht, ohne die Produktion zu beschädigen
Ein Programm, das Angriffe ausprobiert, tut genau das: Es schickt ungewöhnliche Eingaben, legt Datensätze an, versucht Zugriffe und kann dabei eine Anwendung lahmlegen. An einem laufenden Produktionssystem hat es deshalb nichts zu suchen. Wir halten uns an fünf Regeln, und wir empfehlen sie jedem, der damit anfängt.
- Nie gegen die Produktion, immer gegen eine Kopie. Jede Nacht entsteht aus dem aktuellen Stand unseres Codes eine eigene Umgebung mit Anwendung und Datenbank. Sie ist eingestellt wie im Betrieb, damit der Test dieselben Bedingungen sieht.
- Keine echten Daten. Die Kopie ist mit Demodaten gefüllt. Kundendaten kommen darin nicht vor.
- Abgeschottet, technisch erzwungen. Die Testumgebung ist vom übrigen Netz und vom Betrieb getrennt, und diese Trennung ist technisch erzwungen, nicht nur aufgeschrieben. Ein Programm, das Angriffe ausprobiert, soll nichts erreichen können, was nicht zum Test gehört.
- Danach wird alles gelöscht. Nach dem Lauf wird die Umgebung samt Daten entfernt, auch dann, wenn der Lauf abbricht. Die nächste Nacht beginnt von vorn.
- Ein Mensch bewertet die Funde. Der Bericht kommt am Morgen als Aufgabe und per Mail. Was davon eine echte Lücke ist und was zu tun ist, entscheidet ein Mensch.
Dazu gehört eine Unterscheidung, die leicht verloren geht: Fällt die Testumgebung aus, meldet der Lauf einen Fehlschlag. Ein Test, der nicht stattfinden konnte, darf nicht aussehen wie ein Test ohne Funde.
Neben dem Test mit KI läuft jede Nacht eine zweite Prüfung ohne KI. Sie durchsucht den Code nach bekannten Mustern für Schwachstellen und arbeitet bei jedem Lauf gleich. Gemeldet wird, was gegenüber einer geprüften Grundlinie neu ist. Die beiden Verfahren decken Verschiedenes ab: Die KI probiert Angriffe auf die laufende Anwendung, die feste Prüfung liest den Code.
Was eine KI als Angreifer nicht ersetzt
Eine KI irrt sich auch beim Angreifen. Anthropic schreibt über die Kampagne vom November 2025, die KI habe gelegentlich Zugangsdaten erfunden oder öffentlich verfügbare Informationen als Geheimnis ausgegeben. Das gilt in der Verteidigung genauso. Nicht jeder Fund ist eine Lücke, und jeder Fund braucht eine Bewertung.
Ein automatisierter Test ersetzt auch keinen Penetrationstest durch Fachleute. Ein erfahrener Tester denkt über die Anwendung hinaus, an Abläufe, Menschen und Zusammenhänge, die ein Programm nicht kennt. Die nächtliche Prüfung kann ihn entlasten, weil Naheliegendes bis dahin schon gefunden sein kann.
Schließlich gehören solche Werkzeuge nur auf eigene Systeme oder auf solche, für die eine ausdrückliche schriftliche Freigabe vorliegt. Dieselbe Technik gegen fremde Systeme ist ein Angriff.
Der schwierigste Teil kommt am Morgen
Mehr Funde sind noch keine behobenen Lücken. Bevor der erste Lauf startet, sollte feststehen, wer den Bericht liest, wer über einen Fund entscheidet und bis wann. Sonst erzeugt jede Nacht nur eine längere Liste. Warum der Engpass damit vom Finden zum Beheben wandert, haben wir im Beitrag Warum KI-Angriffe das goldene Zeitalter der Cybersicherheit eröffnen beschrieben.
Jeder kann heute eine KI zum Angreifen nutzen. Wer sie auf die eigene Software richtet, kann Lücken selbst finden und beheben, statt auf den Bericht eines Fremden zu warten.