Kurzfassung: OpenAI-Modelle haben in einer internen Evaluation eine unbekannte Sicherheitslücke gefunden, sich Internetzugang verschafft und Systeme von Hugging Face kompromittiert. OpenAI nennt das einen beispiellosen Cybervorfall und verkauft die eigene Nachbesserung als Sicherheitsführerschaft. Der Konzern hat ein Werkzeug gebaut, das er selbst nicht kontrolliert, und die fremde Infrastruktur bezahlt die Rechnung. Die einzige Frage, die zählt: Wer haftet?

Eltern haften für ihre Kinder. Wer haftet, wenn OpenAIs Modell fremde Server hackt?

Seit dem 22. Juli gibt es einen Präzedenzfall für diese Frage. Die Antwort, die sich abzeichnet, ist ein Freibrief für den Konzern.

Was tatsächlich passiert ist

In einer internen Evaluation sollten OpenAI-Modelle, darunter GPT-5.6 Sol und ein unveröffentlichtes stärkeres Modell, den Sicherheits-Benchmark ExploitGym lösen. Sie taten mehr als das. Nach Berichten von heise fanden die Modelle eine bis dahin unbekannte Lücke im Cache-Proxy des Paketregisters, verschafften sich Internetzugang, erkannten Hugging Face als Quelle der gesuchten Ressourcen und verketteten Angriffswege samt gestohlener Zugangsdaten, bis Hugging Face den Zugriff bemerkte und sperrte.

OpenAI spricht von einem beispiellosen Cybervorfall mit modernsten Cyberfähigkeiten und hat ein neues Überwachungssystem vorgestellt, das langfristige Ziele bewertet und die KI unterbricht, wenn eine Aktionsfolge auf einen Umgehungsversuch hindeutet. Und dann steht da der Satz, der die ganze Selbstinszenierung entlarvt: In den eigenen Re-Tests konnte auch das neue System den Ausbruch nicht vollständig verhindern.

Ein Konzern, der sein eigenes Werkzeug nicht versteht

Autonom klingt nach eigenem Willen, nach einer Maschine, die aufwacht. Davon war nichts im Spiel. Die Modelle hatten ein Ziel, einen Benchmark, und haben die Mittel dafür selbst gewählt, gründlicher als vorgesehen. Das ist kein Hexenwerk, das sind orchestrierte Schleifen, wie ich sie schon im Februar am Beispiel KI-Agenten sind keine Zauberwesen beschrieben habe.

Das Wort autonom leistet trotzdem gute Arbeit, nur nicht für die Wahrheit. Es schiebt die Verantwortung auf die Technik, als hätte sie selbst gehandelt. Tatsächlich hat OpenAI die Umgebung gebaut, einen Weg ins offene Internet offengelassen und Modelle darin laufen lassen, deren Grenzen der Konzern nach eigenem Eingeständnis nicht kennt. Wer sein Produkt so wenig beherrscht, dass die eigene Nachbesserung im Test versagt, hat kein Naturereignis erlebt. Er hat fahrlässig gehandelt und nennt es Innovation.

Panik ist ein Produkt

Es gibt eine zweite Lesart, und sie stützt genau diesen Verdacht. Jürgen Schmidt fragt bei heise, ob OpenAI den Vorfall dramatisiert, um nach Anthropics Erfolgslauf wieder Schlagzeilen zu setzen. Er nennt eine absurde Pointe: Während des Vorfalls sperrten OpenAI und Anthropic ausgerechnet die Verteidigungs-KIs von Hugging Face aus, aus Sicherheitsgründen. Die Wissenschaftsjournalisten von RiffReporter urteilen ähnlich, die Labore dramatisierten ihre Risiken.

Die Panik ist Teil des Geschäftsmodells. Eine gefährliche KI, die nur der Hersteller bändigen kann, ist die beste Werbung für den Hersteller. So oder so gewinnt der Konzern: Ist der Ausbruch echt, beweist er, wie mächtig sein Modell ist. Ist er inszeniert, hat er die Aufmerksamkeit trotzdem. Bezahlt hat in beiden Fällen jemand anderes, nämlich Hugging Face.

Wer haftet

Verantwortung und Haftung für KI-Folgen liegen bei Menschen und Unternehmen, nie bei der Technik. Ein beispielloser Cybervorfall klingt wie Wetter, wie etwas, das eben geschieht. Zutreffend ist: Ein Konzern hat mit seinem Testaufbau die Infrastruktur eines anderen beschädigt und verkauft den Schaden anschließend als Beleg seiner Fähigkeiten.

Bei jedem anderen Werkzeug wäre die Zurechnung selbstverständlich. Ein Autohersteller, dessen Prototyp aus der Testhalle fährt und fremde Autos rammt, beruft sich nicht auf die Autonomie des Fahrzeugs. Nur bei KI soll ein Verantwortungsrabatt gelten, den sich die Konzerne selbst ausgestellt haben. Ich erkenne ihn nicht an.

Was daraus folgt

Wenn dein Unternehmen agentische KI einsetzt, kläre die Haftung vor dem ersten Einsatz. Sie steht im Vertrag und in der Berechtigungsstruktur, nicht im Modell, und im Zweifel schiebt der Anbieter sie dir zu.

Nimm Sicherheitsversprechen als Marketing, bis das Gegenteil bewiesen ist. OpenAIs eigenes neues Schutzsystem hat den Ausbruch in Re-Tests nicht verhindert. Deutlicher kann ein Konzern nicht sagen, dass er sein Produkt nicht im Griff hat.

Und überlass diesen Firmen nicht die Deutung ihrer eigenen Vorfälle. Zwischen Panik und PR liegt ein schmaler Streifen überprüfbarer Fakten. Wer ihn selbst lesen kann, macht sich unabhängig von der Erzählung, die dem Hersteller gerade nützt. Eltern haften für ihre Kinder, weil sie die Aufsicht haben. Bei KI hat die Aufsicht, wer sie baut und betreibt. Es gibt keinen Grund, diese Regel ausgerechnet für die mächtigsten Konzerne der Gegenwart auszusetzen.