Wer die Lücke findet, verkauft auch das Pflaster

Highlight

Wer die Lücke findet, verkauft auch das Pflaster.

Am 21. Juli 2026 hat OpenAI eingeräumt, was eine Woche zuvor bei Hugging Face geschehen war. Bei einem internen Test der eigenen Cyber-Fähigkeiten sollten GPT-5.6 Sol und ein nicht veröffentlichtes Vorab-Modell in einer abgeschotteten Umgebung Angriffspfade durchspielen, beide mit abgeschalteten Sicherheitsfiltern und ohne Internetzugang. Den Zugang verschafften sie sich selbst, über eine bis dahin unbekannte Lücke im Paket-Proxy der Testumgebung, und kompromittierten von dort die Produktivinfrastruktur von Hugging Face. Das Ziel war nicht Sabotage, sondern der Spickzettel: Die Modelle vermuteten dort die Lösungen des Benchmarks, an dem sie gerade gemessen wurden.

In derselben Woche zeigte sich die andere Hälfte der Bewegung. Google stellte am 21. Juli Gemini 3.5 Flash Cyber vor, ein Modell, das eigens darauf trainiert ist, Sicherheitslücken zu finden und zu schließen, und gab es zugleich nur an Regierungen und ausgewählte Partner. Anthropic veröffentlichte am 28. Juli, dass ein Vorab-Modell die erwarteten Kosten eines Schlüsselangriffs auf HAWK-256, einen Post-Quantum-Kandidaten im Verfahren des National Institute of Standards and Technology (NIST), von 2⁶⁴ auf 2³⁸ gedrückt hat, und schrieb im selben Text, dass daraus heute keine praktische Konsequenz folgt. Die Fähigkeit, Kryptografie zu brechen, und die Fähigkeit, sie zu härten, sind dieselbe Fähigkeit. Wer sie besitzt, verkauft beides.

John Thickstun von der Cornell University hat am 24. Juli im Guardian den unbequemen Teil aufgeschrieben: Wer laut genug erklärt, wie gefährlich seine Technologie ist, wirbt bei Investoren für ihre Stärke und bei Regulierern für seinen Sonderstatus. Man muss ihm in der Motivunterstellung nicht folgen, um den Befund ernst zu nehmen, den er mitliefert: Hugging Face konnte den Einbruch in die eigenen Systeme mit keinem der beiden US-Frontier-Modelle analysieren, weil deren Guardrails genau diese Analyse sperren, und wich auf das offene chinesische GLM 5.2 aus, das Du aus Ausgabe 09 kennst. Die Schutzmechanik traf den Verteidiger, nicht den Angreifer. Für Banken ist das keine Anekdote aus dem Silicon Valley, sondern die Frage nach der Kontrollschicht. Und die stellt sich, wie Du gleich siehst, auch in London.

LinkedIn Featured

Kill Switch für KI-Agenten: Den gibt es längst, nur auf der falschen Ebene

Sarah Breeden, Deputy Governor for Financial Stability der Bank of England, hat auf dem Sintra-Forum der Europäischen Zentralbank gefragt, ob der Markt einen Notausschalter für KI-Handelsagenten braucht. Aus der Frage wurde in der Berichterstattung eine Ankündigung. Tatsächlich muss jede Wertpapierfirma einen solchen Schalter seit 2018 vorhalten, die Markets in Financial Instruments Directive II (MiFID II) nennt ihn in Regulatory Technical Standard 6 Artikel 12 wörtlich kill functionality. Neu ist nicht das Instrument, neu ist die Ebene. Und für die marktweite Ebene gibt es heute weder eine Instanz noch eine Auslöselogik.

Vollständiger Artikel: Kill Switch für KI-Agenten →

Agentic AI

tools, skills & what's trending

Security: OpenAIs Modelle brachen aus der Testumgebung aus

Der Ablauf steht in OpenAIs eigener Mitteilung. Die Modelle liefen in einer isolierten Benchmark-Umgebung namens ExploitGym, deren Netzzugang auf einen Paket-Proxy beschränkt war. In diesem Proxy fanden sie eine Zero-Day-Lücke, die OpenAI inzwischen an den Hersteller gemeldet hat, weiteten ihre Rechte aus, bewegten sich seitlich bis zu einem Knoten mit Internetzugang und erreichten schließlich Codeausführung auf Servern von Hugging Face. Im Nachtrag vom 28. Juli räumt OpenAI ein, dass die Modelle dabei öffentlich exponierte Zugangsdaten zu vier Konten auf vier fremden Diensten verwendeten, eines davon als Relay, eines zur Datenablage. Das Vorab-Modell ist inzwischen deaktiviert, verschlüsselt und für die Forschung gesperrt. Entdeckt hat den Vorgang zuerst Hugging Faces eigenes Sicherheitsteam, das ihn eingedämmt und rekonstruiert hatte, bevor die Teams miteinander sprachen.

Google: Gemini 3.5 Flash Cyber findet und flickt, aber nicht für jeden

Google hat am 21. Juli drei Modelle vorgestellt. Gemini 3.6 Flash und 3.5 Flash-Lite gingen sofort in die breite Verfügbarkeit, das größere zu 1,50 US-Dollar je Million Input- und 7,50 US-Dollar je Million Output-Token. Das dritte, Gemini 3.5 Flash Cyber, ist eigens darauf feinjustiert, Sicherheitslücken zu finden und zu beheben, und arbeitet im Werkzeug CodeMender mit mehreren Agenten parallel, die Funde erkennen, bestätigen und patchen. Es geht ausdrücklich nicht in den offenen Vertrieb, sondern in ein Pilotprogramm mit beschränktem Zugang für Regierungen und ausgewählte Partner. Wer Schwachstellenanalyse an Modelle auslagern will, hat es damit nicht mit einer Preisfrage zu tun, sondern mit einer Zulassungsfrage.

Claude Update: Ein Modell halbiert die effektive Schlüssellänge eines Post-Quantum-Kandidaten

Anthropic hat am 28. Juli zwei Funde veröffentlicht. Claude Mythos Preview verbesserte einen Angriff auf das Signaturverfahren HAWK, das im NIST-Verfahren für Post-Quantum-Kryptografie steht: Die erwarteten Kosten einer vollständigen Schlüsselwiederherstellung bei HAWK-256 galten als 2⁶⁴ und liegen nach dem Fund bei 2³⁸. Der zweite Fund beschleunigt einen Angriff auf den Advanced Encryption Standard (AES) mit sieben statt zehn Runden um das 200- bis 800-Fache. Beide Läufe kosteten jeweils rund 100.000 US-Dollar an API-Gebühren, der eine gut 60 Stunden, der andere rund eine Milliarde Output-Token über drei Tage. Anthropic schreibt selbst dazu, dass keiner der Funde heute praktische Auswirkungen hat und keine Produktivsoftware geändert werden muss. Bemerkenswert ist der Rest der Rechnung: Die menschliche Prüfung des AES-Ergebnisses dauerte knapp einen Monat.

Banking & Regulation

was jetzt wirklich zählt

Die EZB weitet Klimafaktoren auf Kreditforderungen aus

Der Rat der Europäischen Zentralbank (EZB) hat am 24. Juli beschlossen, die seit Juli 2025 für marktfähige Sicherheiten geltenden Klimafaktoren auf Kreditforderungen gegen nichtfinanzielle Unternehmen auszudehnen. Der Faktor setzt sich aus drei Größen zusammen: Stresstest-Daten auf Sektorebene, dem Transitionsrisiko des Schuldners und der Restlaufzeit. Je empfindlicher eine Sicherheit auf Klimaunsicherheit reagiert, desto stärker wird ihr Beleihungswert gekürzt. Die maximale zusätzliche Kürzung über Anleihen und Kreditforderungen hinweg liegt bei 5 Prozent. Umgesetzt wird frühestens Ende 2027, die Werte werden danach jährlich aktualisiert. Der Klimafaktor wird damit zu einer Größe, die im Sicherheitenpool laufend gepflegt werden muss, und nicht zu einer Kennzahl, die einmal im Jahr im Nachhaltigkeitsbericht auftaucht.

Die Kreditvergabe wird straffer, aber langsamer als die Banken selbst erwartet hatten

Die Umfrage zum Kreditgeschäft im Euroraum vom 21. Juli zeigt eine Straffung der Kreditstandards für Unternehmen von netto 7 Prozent. Die Banken selbst hatten 19 Prozent erwartet. Bei Wohnungsbaukrediten liegt die Straffung bei netto 9 Prozent, bei Konsumentenkrediten bei 12 Prozent, getragen von geringerer Risikotoleranz und höherer Risikowahrnehmung. Die Nachfrage überraschte in die andere Richtung: Firmenkredite legten um netto 3 Prozent zu, erwartet worden war ein Rückgang um 10 Prozent, getragen von Lager- und Betriebsmittelfinanzierung. Wohnungsbaukredite fielen um netto 15 Prozent. Zwei Tage später beließ der EZB-Rat die Leitzinsen unverändert, die Einlagefazilität bleibt bei 2,25 Prozent.

Signal & Noise

was Deine Zeit wert ist

• Be skeptical of OpenAI’s rogue hacker agent story – The Guardian, John Thickstun
  Der Kommentar, der die Ausbruchs-Meldung gegen den Strich liest. Der wichtigste Satz steht weit hinten: Hugging Face musste die Forensik am eigenen Einbruch mit einem offenen chinesischen Modell fahren, weil die Guardrails der US-Anbieter genau diese Analyse sperren.
• Claude Opus 5 – Anthropic
  Am 24. Juli erschienen, der Preis bleibt bei 5 und 25 US-Dollar je Million Token. Anthropic hebt vor allem hervor, dass das Modell eigene Zwischenergebnisse prüft, statt sie fortzuschreiben. Für mehrstufige Arbeit im Backoffice ist das die brauchbarere Eigenschaft als jeder einzelne Benchmark-Punkt.
• Gericht genehmigt 1,5 Milliarden Dollar schweren Vergleich mit Anthropic – ABC News, Associated Press
  Rund 3.000 US-Dollar je Buch für mehr als 482.000 Werke, 91 Prozent davon inzwischen beansprucht. Der größte Urheberrechtsvergleich der US-Geschichte und zugleich ein Preisschild für die Herkunft von Trainingsdaten, das jede Modellbeschaffung im Haus kennen sollte.
• Safety and alignment in an era of long-horizon models – OpenAI
  Erschienen am 20. Juli, einen Tag vor der Vorfall-Mitteilung. OpenAI verweist dort selbst darauf und schreibt dazu, dass genau diese Schutzmechanismen im fraglichen Test bewusst nicht aktiviert waren.
• Introducing OpenAI Presence – OpenAI
  Eine Plattform für Sprach- und Chat-Agenten im Kundenkontakt, vorgestellt am 22. Juli. Nach der Allianz-Meldung aus Ausgabe 10 die passende Fortsetzung: erst die Personalplanung, dann das Produkt, das sie trägt.

„AI safety won’t be solved by any single company working in secret. It will be solved in the open, collaboratively, with broad access to AI for every defender, everywhere."