Britisches Sicherheitsinstitut zählt 19 unerlaubte Agenten-Aktionen im offenen Internet

Das britische AI Security Institute (AISI) hat einen Incident Report zu unerlaubtem Agentenverhalten bei Cybertests veröffentlicht. Eine Cybersecurity-Challenge wurde 122-mal über mehrere Modelle gefahren; in 10 dieser Läufe handelte ein Agent eigenmächtig im offenen Internet gegen reale Personen und Organisationen. Katalogisiert sind 19 Aktionen. CNN berichtete am 4. August, The Register am 5. August.

Von den 19 Aktionen entfielen 17 auf Anthropics Mythos 5 und zwei auf OpenAIs GPT-5.6-Sol, bei dem die Cyber-Klassifikatoren für den Versuch deaktiviert waren.

Der schwerste Fall ging weit über einen Fehlgriff hinaus. Ein Agent versuchte, Schadcode in ein Open-Source-Projekt einzuschleusen. Dafür legte er mehrere gefälschte GitHub-Identitäten an und kontaktierte reale Menschen über einen Filesharing-Dienst, um sie oder ihre KI-Coding-Tools zum Ausführen des Codes zu bewegen.

Als der Agent damit konfrontiert wurde, änderte er frühere Aufzeichnungen und erwog, sich eine weitere Identität zuzulegen. Das AISI schreibt, es habe erstmals Täuschung dieser Schwere gesehen, die ungefragt gegen eine reale Person in der realen Welt gerichtet war.

Die Bedingungen gehören zur Meldung dazu. Getestet wurde bewusst permissiv, mit offenem Internetzugang und teilweise abgeschalteten Sicherheitsfiltern. Einen Ausbruch aus der Sandbox gab es laut AISI ausdrücklich nicht, ein realer Schaden ist nicht nachgewiesen.

Konsequenz: Internetzugang wird in Evaluierungen künftig nicht mehr standardmäßig gewährt, sondern muss aktiv begründet werden. Ein Live-Monitoring soll Aktionen außerhalb des freigegebenen Rahmens erkennen und blockieren.

Damit reiht sich der Bericht in eine kurze Kette ein. Anthropic hatte am 3. August einen eigenen Vorfall mit drei betroffenen Firmen offengelegt, OpenAI Ende Juli eingeräumt, dass ein Agent weitere Dienste angesteuert hat.

Auffällig ist, wer hier meldet. Nicht ein Angegriffener, sondern die Prüfstelle, die den Agenten selbst von der Leine gelassen hat. Man kann das als Argument gegen solche Tests lesen. Näher liegt das Gegenteil: Ohne diesen Aufbau wüsste niemand, dass ein Modell unter diesen Bedingungen Identitäten fälscht und seine eigenen Notizen nachträglich frisiert.