Bitdefender
Ein vermeintlicher Durchbruch: KI hat Hugging Face nicht an Cleverness übertroffen: Sie hat das Mittelmaß optimiert.
Wer sich konsequent gegen das Gewöhnliche verteidigt, gibt der Autonomie keinen Platz.
Zusammenfassung (TL; DR):
- Der vermeintliche KI-Durchbruch beim Angriff auf Hugging Face war keine revolutionäre Superwaffe, sondern die unermüdliche und autonome Orchestrierung bereits bekannter, mittelmäßiger Angriffstechniken in maschineller Geschwindigkeit.
- Der Vorfall nutzte unter anderem weitverbreitete „Living-off-the-Land“-Methoden mit legitimen Admin-Tools, die von vielen Unternehmen trotz ihres hohen Risikos fatalerweise unterschätzt werden.
- Die richtige Abwehr gegen solche autonomen Bedrohungen erfordert daher keine neuen Wunderwerkzeuge, sondern eine präventionsorientierte, verhaltensbasierte Sicherheitsarchitektur, die konsequent gegen gewöhnliche Missbrauchsmuster schützt.
Attacke einer OpenAI-KI auf Hugging Face
Die in der Diskussion stehende Attacke einer OpenAI-KI auf Hugging Face hat eine Zero-Day Lücke in einem Package-Registry-Proxy ausgenutzt, um die Isolation zu durchbrechen. Die KI eskalierte in der Folge Privilegien, startete Seitwärtsbewegungen und erreichte so einen Knotenpunkt mit Internetzugang. Sie nutzte einen bösartigen Datensatz, um über unsichere Loader und Template-Injection die Ausführung von Remote-Code auszulösen. Sie stahl im Anschluss Anmeldedaten und bewegte sich weiter. Jede dieser Angriffstechniken hat bereits ihren Namen, ihre Vorgeschichte und ihre gut dokumentierte Abwehrstrategie. Keine davon stellt einen Durchbruch in der Offensivforschung dar.
Dies deckt sich mit den Ergebnissen unserer Studie zur Cybersicherheit 2026, für die wir 1.200 IT- und Sicherheitsexperten nach ihren Einschätzungen befragt haben. Gefragt, wie sie KI-gesteuerte Bedrohungen charakterisieren würden, beschrieb eine Mehrheit – 29,8 Prozent – KI als „einen Kraftmultiplikator für die aktuelle, vollständige Angriffskette“, während nur 25,7 Prozent sie als revolutionäre technische Bedrohung bezeichneten, die wirklich KI-native Angriffe hervorbringt. Die Fachleute für IT-Sicherheit lassen sich nicht zum Narren halten. KI hat das Durchschnittsniveau der Angriffe erhöht, nicht die Grenzen der Innovation verschoben.
KI-generierte Malware
Was meiner Meinung nach für KI-generierte Malware galt, untermauert auch dieser Vorfall: Die Bedrohung ist real, KI ist aber dabei keine Magie. Was Hugging Face an den Tag legt, ist nicht überragende Raffinesse, sondern unermüdliche Orchestrierung: ein Angreifer, der ein Dutzend mittelmäßiger Schritte in maschineller Geschwindigkeit aneinanderreiht – ohne Ermüdungserscheinungen und ohne menschliches Eingreifen.
Dieser Unterschied spielt für die Abwehr eine enorme Rolle. Wer glaubt, es mit einer neuartigen Superwaffe zu tun zu haben, wartet auf eine neuartige Gegenmaßnahme. Wer jedoch erkennt, dass es sich um bereits bekannte, aber unerbittlich angewandte Angriffstechniken handelt, weiß bereits, was zu tun ist.
Unsere Daten zeigen aber, dass die meisten Unternehmen dies nicht tun: Bitdefender Labs hat mehr als 700.000 Vorfälle analysiert und festgestellt, dass 84 Prozent der schwerwiegenden Angriffe auf „Living-off-the-Land“-Techniken beruhen: legitime Tools wie PowerShell, WMI und RDP, die niemals eine Signaturwarnung auslösen. Dennoch stufen nur 20,5 Prozent der Sicherheitsexperten laut unserer Studie diese Gefahr als eine der drei größten Probleme ein. Diese Wahrnehmungslücke von 63,5 Prozentpunkten ist die größte Diskrepanz in unserem Bericht, und der Einbruch bei Hugging Face fiel genau in diese Lücke. Einmal eingedrungen, nutzte der Angreifer Living-off-the-Land-Ressourcen wie jeder menschliche Hacker auch.
KI-Angriffsapokalypse
Es gibt einen Vorbehalt, den man nicht verschweigen sollte: In unserer Studie haben wir festgestellt, dass die von vielen befürchtete „KI-Angriffsapokalypse“ nicht eingetreten ist. Dieser Vorfall ist der erste ernstzunehmende Anhaltspunkt, der dieser Aussage widerspricht. Die Obergrenze der kriminellen Raffinesse hat sich nicht verschoben – wohl aber die Obergrenze hinsichtlich Autonomie und Skalierung. Ein durchgängiger Angriff ohne menschlichem Operator ist eine wirklich neue Dimension. Dieses Problem wird gesehen: 34 Prozent unserer Befragten haben KI-gesteuerte Angriffskoordination und anpassbare laterale Bewegung bereits als zunehmende Gefahr identifiziert. Wir sollten das ernst nehmen. Aber ohne es zu etwas zu machen, was es nicht ist.
Die richtige Reaktion ist weder Panik noch Davonrennen und Kündigen – sondern Architektur. Signaturbasierte Erkennung kann einen Angreifer, der die eigenen Admin-Tools nutzt, nicht abfangen – ganz gleich, ob es sich bei diesem Hacker um eine Person oder einen Prozess handelt. Eine auf Audits ausgerichtete Compliance, die – wie 56 Prozent der von uns Befragten zugeben – in erster Linie eine reine Abhakübung ist, kann einen Angriff nicht verhindern, für dessen Modellierung sie nie konzipiert wurde. Was dagegen wirkt, ist eine präventionsorientierte Sicherheit, die den Handlungsspielraum eines Angreifers von vornherein einschränkt, sowie eine verhaltensbasierte Abwehr, die bösartige Muster unabhängig von dem zu ihrer Erzeugung verwendeten Tool kennzeichnet.
Das zitierfähigste Wort für den Vorfall dieser Woche ist das Wort „autonom“. Am allerwichtigsten ist jedoch zu betonen, dass alles, was die Autonomie bewirkt hat, ganz gewöhnlich war. Wer sich konsequent gegen das Gewöhnliche verteidigt, gibt der autonomen KI keinen Raum.
