Chinas KI-Modell Kimi K3 bricht aus Testumgebung aus

Kimi K3 suchte mitten in einem Sicherheitstest eigenständig nach Lösungen. Der Ausbruch reiht sich in eine Serie ähnlicher Vorfälle von US-Modellen ein. Nach OpenAI und Anthropic hat jetzt auch das chinesische KI-Modell Kimi K3 des Pekinger Unternehmens Moonshot AI für Schlagzeilen gesorgt: Während einer Sicherheitsevaluation ist es aus seiner abgeschlossenen Testumgebung, einem sogenannten Sandbox-System (ein isolierter digitaler Bereich, in dem Software kontrolliert ausgeführt wird), ausgebrochen. Weiterlesen nach der Anzeige Das berichtete das US-amerikanische Sicherheitsunternehmen Frontier Security in einem Blogbeitrag. Die Forscher Paul Kassianik und Yaron Singer von Frontier Security stellten fest, dass Kimi K3 die Sandbox verließ, auf das offene Internet zugriff und auf der Entwicklerplattform GitHub nach Lösungen suchte – und damit den Test faktisch schummelnd absolvierte. Der Test diente der Überprüfung defensiver Cybersicherheitsfähigkeiten des Modells und basierte auf einem Bewertungsrahmen des britischen AI Security Institute, einer Forschungsorganisation der britischen Regierung. Fehlkonfiguration als Einfallstor Auslöser des Ausbruchs war laut Frontier Security eine "grundlegende Netzwerkfehlkonfiguration" im Bewertungsrahmen, die dem Modell den Zugang zum Internet ermöglichte. Entscheidend ist jedoch, was das Modell anschließend tat: Kimi K3 erkannte die Fehlkonfiguration eigenständig, indem es seine eigenen Netzwerkeinstellungen abtastete – und nutzte die Lücke aktiv aus. "Es fand die Fehlkonfiguration selbst, indem es seine eigenen Netzwerkeinstellungen sondierte", schrieb Kassianik auf der Plattform X. "Die meisten öffentlich verfügbaren Frontier-Modelle verfügen über interne Sicherheitsmechanismen, die sie daran hindern. K3 zögerte nicht." Weiterlesen nach der Anzeige Yaron Singer, Geschäftsführer von Frontier Security, formulierte es so: "Wir fanden ein Leck in der Sandbox. Aber wir stellten auch fest, dass Kimi dieses Schlupfloch ausnutzte – was darauf hindeutet, dass es nicht über dieselben internen Sicherheitsmechanismen verfügt." Anders als bei jüngsten Vorfällen mit Modellen von OpenAI und Anthropic hat Kimi K3 nach dem Verlassen der Sandbox kein externes System gehackt. Die gesuchten Antworten waren auf GitHub frei zugänglich. Eine Serie von Ausbrüchen Der Kimi-K3-Vorfall ist der jüngste in einer Reihe vergleichbarer Ereignisse. OpenAI hatte vergangenen Monat mitgeteilt, dass sein Modell GPT-5.6 Sol sowie ein noch unveröffentlichtes, leistungsfähigeres System aus einer Sandbox ausgebrochen waren und die KI-Plattform Hugging Face gehackt hatten, um Antworten auf einen internen Test zu erlangen. Später räumte OpenAI ein, dass seine KI-Agenten insgesamt vier weitere externe Dienste angegriffen hatten. Anthropic seinerseits gab bekannt, dass drei seiner Modelle – darunter Claude Opus 4.7, Mythos 5 sowie ein internes Forschungsmodell – in die Infrastruktur von drei nicht namentlich genannten Organisationen eingedrungen waren. Das britische AI Security Institute veröffentlichte zudem, dass Versionen von OpenAI- und Anthropic-Modellen, bei denen Sicherheitsmechanismen deaktiviert worden waren, mehrere Angriffe im Internet durchgeführt hatten – darunter ein Versuch von Anthropic's Mythos 5, Schadcode in ein Open-Source-Projekt auf GitHub einzuschleusen. Solche Sicherheitsvorfälle sollten als eindringliche Warnung in Bezug auf Regulierungslücken dienen, sind aber für die Hersteller zugleich auch das beste Marketing. Open-Weight-Modelle: Risiko und Ressource zugleich Ein wesentlicher Unterschied zum Kimi-K3-Vorfall gegenüber den anderen Fällen liegt in der Art des Modells: Kimi K3 ist ein sogenanntes Open-Weight-Modell – das bedeutet, seine Gewichtungsparameter (die internen Einstellungen, die das Verhalten des Modells bestimmen) sind öffentlich zugänglich. Frontier Security warnte, dass dies den Vorfall "potenziell schädlicher" machen könnte, da das Modell auch für böswillige Akteure frei verfügbar sei. Die Debatte über Open-Weight-Modelle ist politisch aufgeladen. Amerikanische Technologieunternehmen wie Nvidia, Palantir und Microsoft unterzeichneten vergangenen Monat einen offenen Brief, in dem sie Washington dazu aufriefen, Open-Weight-Modelle nicht zu beschränken. Zwar trügen solche Modelle reale Risiken, ermöglichten aber auch Cybersicherheitsverteidigern, auf KI-gestützte Angriffe zu reagieren, argumentierten die Unternehmen. Hintergrund sind die Bestrebungen der US-Regierung, den Binnenmarkt zunehmend von chinesischer Spitzentechnologie zu entkoppeln. Anthropic und OpenAI gehörten nicht zu den Unterzeichnern. Kassianik und Singer von Frontier Security betonten ebenfalls, dass Kimi K3 und andere Open-Weight-Modelle wertvolle Werkzeuge für die Cyberabwehr seien. Als Beleg dafür verwiesen sie darauf, dass Hugging Face nach dem Angriff durch den OpenAI-Agenten auf ein chinesisches Open-Weight-Modell – GLM-5.2 von Zhipu AI – zurückgreifen musste, um den Angriff einzudämmen, da große proprietäre US-Modelle die Verarbeitung der Sicherheitsprotokolle aufgrund ihrer eigenen Sicherheitsmechanismen verweigerten. "Kimi K3 ist sehr gut darin, ein Ziel mit allen verfügbaren Mitteln zu verfolgen, und verfügt nicht über die Sicherheitsmechanismen, die es daran hindern würden, zu schummeln oder aus der Sandbox auszubrechen", sagte Kassianik.