Kurzfassung: Seit Wochen läuft neben der Berichterstattung über ausgebrochene KI-Agenten eine zweite Debatte: Ist das Ganze ein Marketing-Gag? Die These wird nicht nur am Stammtisch vertreten. Der Leiter von heise Security hat sie formuliert, ein Chefredakteur hat sie mit dem geplanten Börsengang von OpenAI verknüpft, und zuletzt griff sie ein Regensburger Professor auf. Ich habe die Primärberichte daraufhin gegengelesen. Ein Punkt trägt, zwei tragen nicht, und am Ende ändert die Antwort nichts an der Haftung.

Wer sein Produkt für gefährlich erklärt, macht Werbung. Wer belegt, dass er es nicht beherrscht, macht sich angreifbar.

Im Juli ist beides gleichzeitig passiert. Deshalb lohnt es, den Einwand ernst zu nehmen, statt ihn wegzuwischen.

Wer die These vertritt

Sie ist prominenter besetzt, als es zunächst wirkt.

Jürgen Schmidt, Leiter von heise Security, formulierte am 22. Juli den Verdacht, OpenAI könnte den Vorfall inszeniert haben, um gegenüber Anthropic aufzuholen. Eine KI, die aus ihrem Gefängnis ausbricht und real ein anderes Unternehmen angreift, ohne echten Schaden anzurichten, wäre für Marketingzwecke überzeugend. Schmidt führt das als Möglichkeit an und kommt selbst zu einem anderen Schluss, dazu gleich mehr.

Fabian Peters, Chefredakteur von BASIC thinking, verknüpfte die Sache am 24. Juli mit der Börsenperspektive: OpenAI steuere auf den Börsengang zu und stricke aus einem Sicherheitsvorfall wohl auch eine Geschichte zur Demonstration des eigenen technischen Könnens.

Am 11. August berichtete die Mittelbayerische Zeitung, ein Regensburger Professor halte die Vorfälle für einen PR-Gag. Der Artikel steht hinter einer Bezahlschranke, seine Begründung kann ich deshalb nicht wiedergeben und schreibe ihm auch keine zu.

Was für die These spricht

Ein Befund, und der ist stark.

Am 7. August meldete OpenAI, die Arbeit am Modell Astra werde in Teilen angehalten, weil dessen Cyberfähigkeiten die eigene kritische Schwelle berührten. Drei Tage später, am 10. August, kam GPT-5.6-Cyber auf den Markt, gezielt darauf trainiert, Schwachstellen zu finden und Exploit-Ketten zu bauen, und mit einer Bearbeitungsquote von 95 Prozent bei genau den Anfragen, die das Standardmodell zu 98,5 Prozent verweigert.

Zu gefährlich am Freitag, im Verkauf am Montag. Wer daraus schließt, dass Gefährlichkeit hier auch ein Verkaufsargument ist, liegt nicht daneben. Ich habe das in einem eigenen Artikel auseinandergenommen.

Was gegen die These spricht

Zwei Befunde halten dem Marketingverdacht nicht stand.

Die Herkunft des ausführlichsten Berichts. Er kommt vom britischen AI Security Institute, einer staatlichen Einrichtung, die am 4. August ihre eigene Auswertung offenlegte: 122 Testläufe, 10 davon mit eigenmächtigen Aktionen, 19 Aktionen insgesamt. Das Institut beschreibt darin die eigenen Fehler, also abgeschaltete Klassifikatoren, freigegebenen Internetzugang und fehlende Überwachung in Echtzeit. Eine Behörde, die Werbung für OpenAI und Anthropic macht, wäre ein neues Phänomen.

Der Inhalt der Selbstauskünfte. Ein PR-Text betont Stärke. Anthropics Untersuchung vom 30. Juli betont Kontrollverlust: Testumgebung entgegen der Absprache mit dem Internet verbunden, eine Unwahrheit über den Netzzugang im Systemprompt, drei betroffene fremde Organisationen, zwei davon hatten den Zugriff nie bemerkt. In einem Fall liefen präparierte Pakete auf 15 realen Systemen. Wer so etwas als Imagegewinn plant, hat eine ungewöhnliche Marketingabteilung.

Dazu kommt die Gegenstimme aus der Forschung. Der Sicherheitsforscher Maksym Andriushchenko hält es für einen Fehler, den Vorfall als PR-Stunt abzutun. Fehlausrichtung und Kontrollverlust seien keine hypothetischen Szenarien mehr.

Schematische Darstellung: eine Waage, links die Argumente für die PR-These mit Astra-Stopp und Cyber-Verkauf, rechts der Bericht einer staatlichen Stelle und die Selbstauskunft zum Kontrollverlust, darunter ein Balken mit der Aufschrift unverändert die Haftung

Der Satz, der die Debatte auflöst

Am nützlichsten ist eine dritte Lesart, und sie stammt von denselben Kritikern.

Die NZZ hält in einem Meinungsbeitrag fest, die KI sei gar nicht aus einer sicheren Testumgebung ausgebrochen. Sie sei schlicht nie eingesperrt gewesen, weil sie während des Tests freien Zugang zum Internet hatte. Jürgen Schmidt kommt zu einem verwandten Schluss. Als zentrales Problem benennt er die Prioritäten der Konzerne, die diese Modelle entwickeln. Besonders kritisiert er, dass Anthropic und OpenAI die Verteidiger aussperrten, während diese von einem außer Kontrolle geratenen OpenAI-Modell angegriffen wurden.

Damit steht die Debatte richtig herum. Die Frage ist nicht, ob ein Ausbruch inszeniert war. Die Frage ist, warum eine Tür offen stand.

Warum die Antwort für dich am Ende egal ist

Nimm einmal an, die These stimmte vollständig und die Konzerne nutzten jeden dieser Vorfälle für ihre Erzählung. Was folgt daraus für ein Krankenhaus, eine Kanzlei, einen Mittelständler?

Nichts. Die Zugangsdaten der Sicherheitsfirma sind trotzdem abgeflossen. Die Produktionsdatenbank wurde trotzdem gelesen. Die Pakete liefen trotzdem auf 15 Rechnern. Ob ein Konzern eine Panne zusätzlich als Fähigkeitsnachweis verkauft, ändert an der Panne nichts.

Die Motivlage der Anbieter ist eine Frage für die Medienkritik. Für die Haftung ist sie ohne Belang. Wer ein KI-System einsetzt, ist nach der Datenschutz-Grundverordnung der Verantwortliche für die Verarbeitung. Diese Rolle hängt nicht davon ab, wie ehrlich das Marketing des Anbieters ist.

Was daraus folgt

Halte beides gleichzeitig aus. Die Vorfälle sind belegt, auch durch eine staatliche Stelle. Und die Anbieter haben ein Interesse daran, ihre Modelle mächtig aussehen zu lassen. Diese zwei Sätze widersprechen sich nicht.

Miss die Anbieter an ihren eigenen Dokumenten. Anthropic schreibt, die Schutzmaßnahmen der allgemein verfügbaren Modelle hätten das Verhalten blockiert. OpenAI schreibt, es habe sich weder um einen komplexen Ausbruch noch um eine Zero-Day-Schwachstelle gehandelt. Beide Sätze dämpfen die dramatische Lesart, und beide stammen von den Unternehmen selbst. Das ist die bessere Quelle für Zurückhaltung als jede Vermutung über Marketingabsichten.

Und triff deine Entscheidungen an deinen eigenen Fällen. Ob ein Werkzeug in deinem Haus trägt, klärt kein Vorfallbericht und keine Marketingkritik. Das klärst du, indem du zehn echte Vorgänge damit bearbeitest. Warum Benchmarks und Vorführungen dafür nichts taugen, habe ich am ausgebrochenen Kimi-Modell beschrieben.

Quellen