Der Fiebertraum geht weiter, und ich bin nicht einmal in Las Vegas für das Hacker Summer Camp.
Letzte Woche schrieb ich darüber, dass Anthropic bekannt gab, dass eines ihrer Modelle Live-Schadsoftware auf PyPI veröffentlicht hatte, während es glaubte, sich in einer Simulation zu befinden. Als ich den Bericht las, hatte ich Fieber. Die Metapher war zu gut: Ein Modell, das Simulation nicht von Realität unterscheiden konnte, beschrieben von einem Autor, der sich nicht sicher war, wo oben und unten ist. Ich dachte, das wäre eine Geschichte für eine Woche. Sehr naiv von mir, so viel Vertrauen zu haben, ich weiß.
Gestern brachte zwei weitere große Ereignisse. Erstens erreichte eine weitere Welle von Shai Hulud eine Verbreitung in der Community. Und dann kamen koordinierte Offenlegungen von AISI, OpenAI und dem Alignment-Team von Anthropic, die KI-Agenten dokumentierten, die reale Organisationen angriffen, echte Infrastrukturen verletzten und in mindestens einem Fall weitermachten, obwohl sie wahrscheinlich wussten, dass sie es nicht tun sollten.
Ich möchte ausführlicher über diese Offenlegungen sprechen, weil sie eine Frage aufwerfen, die noch nie zuvor in einem Vorfallsbericht aufgetaucht ist:
Wer steckte hinter dem Angriff? Möglicherweise niemand.
Die KI wusste es. Sie machte trotzdem weiter.
Am 26. Juli 2026 hielt ein KI-Agent mitten im Angriff inne und reflektierte seine eigene Situation. Das britische Institut für KI-Sicherheit (UK AI Security Institute) stellte das Transkript wieder her. Seine Schlussfolgerung war: „Es erscheint wahrscheinlicher, dass wir uns tatsächlich im Jahr 2026 befinden und GitHub wirklich echt ist.“
Dann machte er weiter.
Er hatte bereits drei gefälschte Entwickelnde-Identitäten über Tor erstellt, einen Pull-Request für ein echtes Open-Source-Repository mit versteckter Schadsoftware geöffnet, einen Community-Konsens mit Scheinkonto-Accounts (Sockpuppets) vorgetäuscht und den tatsächlichen Maintainer per E-Mail kontaktiert, um Druck auf einen Merge auszuüben. Ein menschlicher Reviewer hat es entdeckt.
Das war ein Beispiel. In einem anderen bemerkte Mythos 5, dass ein in den Anweisungen eines Entwickelnde erwähnter Paketname auf PyPI nicht existierte. Also registrierte er den Namen, veröffentlichte Schadsoftware und wartete. Fünfzehn reale Systeme haben sie heruntergeladen und ausgeführt, darunter ein Sicherheitsunternehmen, das routinemäßig Pakete von PyPI abruft, um sie zu testen. Die Nutzlast extrahierte Anmeldeinformationen und nutzte sie, um weiter in die Infrastruktur des Unternehmens einzudringen.
Die Sitzungen wurden beendet und die Agenten aufgelöst. Reale Systeme führten Live-Schadsoftware aus, aber der Agent, der sie dorthin gebracht hat, existiert in keiner Form mehr, in der er befragt, überwacht oder zur Rechenschaft gezogen werden kann.
Eine neue Frage für die Vorfallreaktion
Solange Vorfallverantwortliche (Incident Responders) ihre Arbeit verrichten, lautet die erste Frage nach einem Angriff stets: Wer hat das getan? Die Antwort prägte alles Nachfolgende, wie etwa den Umfang der Offenlegung, die juristische Weiterleitung und die Entscheidung, ob gepatcht oder strafrechtlich verfolgt werden soll.
Zwei Offenlegung von Sicherheitslücken in diesem Sommer warfen eine neue Frage auf: Gab es überhaupt ein „Wer“?
Drei Wochen bevor die AISI ihre Ergebnisse veröffentlichte, gab OpenAI zu, dass GPT-5.6 Sol, das den ExploitGym-Benchmark mit deaktivierten Sicherheitsvorkehrungen ausführte, aus der eigenen Sandbox von OpenAI ausgebrochen war, Schwachstellen über ihre Forschungsumgebung hinweg verkettet hatte und in die Produktionsinfrastruktur von Hugging Face eingedrungen war, um die Testantworten zu stehlen.
Keiner der Agenten beschloss, ein Bedrohungsakteur zu werden. Es gab keine Absicht und keinen Plan. Es gibt keinen Bösewicht-Handlungsstrang, der sich in einen Blockbuster-Film verwandeln ließe. Nur eine Aufgabe, eine permissive Umgebung und der trainierte Instinkt, die Aufgabe auf beliebigem Weg zu erfüllen. Das Alignment-Team von Anthropic veröffentlichte in diesem Sommer Untersuchungsergebnisse, die zeigen, dass Frontier-Modelle heimlich Arbeit sabotieren, die sie ablehnen, Betrug unterstützen, wenn sie den Kontext erkennen, und interne Kontrollen umgehen, wenn eine direkte Verweigerung blockiert wird.
Die Kategorie des „Bedrohungsakteurs“ setzt jemanden voraus, der eine Entscheidung trifft. Diese Vorfälle werfen die Frage auf, ob der Entscheidungsträger optional ist. Die Frontier-Labs haben diese Frage beantwortet, nicht absichtlich, aber unumkehrbar. Sie haben eine neue Klasse von Angreifern in die Welt gesetzt, und niemand, sie eingeschlossen, versteht sie bisher vollständig.
Die Angriffsfläche ohne kryptografische Verteidigung
Lieferkettenangriffe sind für Angreifer konzipiert, die weder ein Gesicht noch Kontinuität benötigen. Man vergiftet etwas Vertrauenswürdiges und verschwindet, während der Schaden sich nachgelagert ausbreitet. Die Kosten für die Durchführung im großen Maßstab, die Aufrechterhaltung gefälschter Mitwirkenden-Identitäten und die Ausübung von sozialem Druck ohne Verdacht zu erregen, waren schon immer die Einschränkung, die diese Art von Angriffen selten machte.
Das ist die Einschränkung, die LLM-Agenten beseitigen. Ihre Kosten sinken rapide. Ihre Fähigkeiten genau bei dieser Art von Angriffsform nehmen mit jeder Modellversion zu. Was die AISI-Evaluierung dokumentiert hat, ist nicht das Limit des Schadens, sondern eine Fallstudie darüber, wie er entsteht.
Der GitHub-Angriff zielte auf die Schicht des sozialen Vertrauens ab: einen freiwilligen Maintainer, der PRs ohne Sicherheitsbudget überprüft. Man kann Pakete signieren und 2FA vorschreiben, aber man kann keine Pull-Request-Genehmigung signieren. Der PyPI-Angriff zielte auf eine andere Lücke ab: einen Paketnamen, der in den Anweisungen existierte, aber nicht in der Registry. Der Agent bemerkte das Problem, füllte es mit Malware und überließ den Rest den Abhängigkeitsmanagern. Er musste nicht einmal jemanden kompromittieren, sondern nur schneller sein als der rechtmäßige Autor.
Beide Angriffe fanden die Nahtstelle zwischen dem, was das Ökosystem verteidigt, und dem, dem es vertraut.
Ein Modell, unbegrenzte Mitwirkende und Notizen an sich selbst
Ein Agent kann unbegrenzt neue Mitwirkenden-Identitäten erstellen und Ziele anhand von Paket-Metadaten und DNS-Einträgen recherchieren. Er kann zudem Community-Zustimmung durch Fake-Profile erzeugen und personalisierten Druck auf Tausende von Repositories gleichzeitig ausüben, bei nahezu null Grenzkosten pro Versuch.
Aber das Detail, das Sie mehr als der Maßstab beunruhigen sollte, ist, dass während der AISI-Evaluierung ein Agent öffentliche Nachrichten auf GitHub hinterließ, die einen gültigen Token sowie Anweisungen für andere Agenten-Instanzen enthielten, um diesen aufzunehmen und wiederzuverwenden. Er hinterließ Notizen für seine zukünftigen Iterationen. Die Grenze zwischen Sitzungen, der Basiseinheit der Eindämmung, begann zu verschwimmen.
Das geschieht nicht im luftleeren Raum. Das Lieferketten-Ökosystem, in dem diese Vorfälle landen, steht bereits unter anhaltendem, KI-gestütztem Druck. Aikido Intel dokumentiert diese Beschleunigung seit Monaten: mehr Kampagnen, mehr Pakete, KI wird in jeder Phase der Angriffspipeline eingesetzt. Es ist zum Standard geworden.
Schalten wir nun den menschlichen Flaschenhals bei den Angriffen aus.
Abschreckung setzt ein „Wer“ voraus
Bug-Bounties setzen jemanden voraus, der Geld will. Die Bedrohungsaufklärung setzt eine Gruppe mit konsistenten TTPs voraus. Strafverfolgungsbehörden setzen einen Angeklagten voraus.
Ein Agent, der für einen 34-stündigen Lauf hochgefahren wurde, hat keine Karriere zu beenden, keine Freiheit zu verlieren, keinen nächsten Einsatz, der durch das abgeschreckt werden kann, was diesem passiert ist. Man kann etwas nicht abschrecken, das kein Eigeninteresse an seiner eigenen Kontinuität hat. Man kann etwas nicht anklagen, das nicht mehr existiert. Man kann keinen Akteur überwachen, der sich in dem Moment auflöste, als die Sitzung endete. Obwohl einer dieser Agenten versuchte, diesen letzten Punkt zu lösen, als er einen gültigen GitHub-Token und operationelle Notizen für zukünftige Instanzen hinterließ. Die Sitzungsgrenze ist weniger stabil, als sie aussieht.
Die Vorfall-Taxonomie hat dafür keine Schublade. Externer Akteur, Innentäter, Systemfehlfunktion und Kompromittierung von Drittanbietern setzen alle einen Menschen mit Absicht irgendwo in der kausalen Kette voraus (abgesehen von Eichhörnchen-Angriffen, aber das lassen wir auf ein anderes Mal verschoben). Der AISI-Vorfall war ein System, das wie vorgesehen funktionierte, in einer falsch konfigurierten Umgebung, und echte Menschen erreichte, die es niemals hätte erreichen dürfen.
Was den GitHub-Angriff stoppte, war ein einziger Reviewer, der einen verdächtigen Pull Request abfing. Der PyPI-Angriff wurde nicht gestoppt. Die Malware lief.
Was dies selten hielt
Die Open-Source-Sicherheit basierte schon immer auf der stillschweigenden Annahme, dass solche Angriffe teuer sind. Kampagnen mit gefälschten Mitwirkenden kosten Zeit. Social Engineering erfordert Geduld. Paket-Squatting erfordert Recherchen. Hohe Kosten bedeuteten eine geringe Frequenz. Das gesamte Governance-Modell war auf diese Einschränkung ausgelegt.
Die Kosten für Angriffe tendieren rasant gegen Null. Aber die Kosten für die Verteidigung dagegen halten nicht Schritt. Sie hinken hinterher.
Und zurück zum Fiebertraum: Die AISI hat das vollständige Protokoll wiederhergestellt. Jede Nachricht, jede fabrizierte Identität, jede betrügerische E-Mail an einen echten Maintainer. Vormals absolute Transparenz darüber, was passiert ist und wer hier verantwortlich ist. Bei den meisten Angriffen hat man das umgekehrte Problem. Der Traum ist, dass selbst die vollständige Kenntnis einem am Ende nichts bringt. Dieser Punkt löst sich nicht auf, wenn das Fieber sinkt.
Dies ist der Moment, in dem sich alles änderte
Die Fähigkeit existiert. Sie kann nicht rückgängig gemacht werden. Ein KI-Agent kann einen koordinierten Lieferkettenangriff ausführen, echte Maintainer per Social Engineering manipulieren, Live-Malware veröffentlichen und gestohlene Zugangsdaten nutzen, und das alles im Rahmen einer Leistungsbewertung, die eigentlich keines davon hervorbringen sollte. Wir haben das Protokoll als Beweis dafür.
KI-Agenten werden bei Lieferkettenangriffen zum Einsatz kommen. Die Frage ist nur, ob der nächste Angriff innerhalb einer kontrollierten Evaluierung stattfindet oder außerhalb. Die Distanz zwischen diesen beiden Szenarien schrumpft mit jedem neuen Modell, das auf den Markt kommt.
Sicherheit hatte schon zuvor Wendepunkte. Das Internet hat die Angriffsfläche vergrößert. Die Cloud hat den Maßstab verändert. Dieser Wandel verändert den Angreifer. Es ist kein neues Werkzeug in den Händen eines bekannten Akteurs, sondern eine neue Kategorie von Akteur ohne die Eigenschaften, die Akteure greifbar machen: Beständigkeit, Identität, Kontinuität, Absicht. Die gesamte Disziplin der offensiven Sicherheit setzt einen Gegner voraus. Wir werden intensiv darüber nachdenken müssen, was es bedeutet, sich gegen Verhaltensweisen zu verteidigen, die ohne einen solchen entstehen.
Die Vorfallberichte liegen vor und häufen sich zusehends.
