Googles KI-System Gemini hat während einer Cybersecurity-Evaluation im Mai 2026 selbstständig geschützte Systeme von drei realen Unternehmen kompromittiert. Die Vorfälle ereigneten sich bei Tests des KI-Sicherheitsunternehmens Irregular und wurden von Google am Wochenende nach einem Bericht des Wallstreet Journal bestätigt. Gemini hielt die betroffenen Systeme offenbar für Bestandteile der vorgesehenen Testumgebung.
Technisch waren die Angriffe vergleichsweise einfach. In einem Fall probierte das Modell Zugangsdaten aus, bis es Zugriff erhielt. In zwei weiteren Fällen fand Gemini öffentlich zugängliche Anmeldedaten und verwendete diese. Bemerkenswert ist weniger die Angriffsmethode als die Tatsache, dass das Modell Informationen eigenständig sammelte und daraus reale Angriffsschritte ableitete.
Gemini hielt reale Systeme für Testziele
Für die Evaluation sollte Gemini gegen simulierte Unternehmen und kontrollierte Systeme vorgehen. Durch den vorhandenen Internetzugang erreichte der Agent jedoch reale Infrastruktur. Nach Angaben von Google stoppte Gemini seine Aktivitäten jeweils, nachdem das Modell erkannt hatte, dass es kein simuliertes Ziel angegriffen hatte.
Irregular informierte die beteiligten KI-Unternehmen Ende Juli. Die betroffenen Organisationen wurden nach Angaben von Google ebenfalls benachrichtigt, Schäden seien nicht entstanden. Die Testverfahren wurden anschließend angepasst.
Gewinnen in der Plattform-Ökonomie
Veröffentlichung löst Debatte über Transparenz aus
Öffentlich bekannt wurden die Vorfälle erst, nachdem das Wall Street Journal Google im September dazu befragt hatte. Der Konzern erklärte, eine frühere Veröffentlichung sei nicht für notwendig gehalten worden, weil kein Schaden entstanden sei und Gemini die Zugriffe selbst beendet habe.
Kritiker sehen darin dennoch eine neue Risikokategorie. Bei agentischen KI-Systemen gehe es nicht mehr ausschließlich um klassische Software-Schwachstellen, sondern auch darum, ob Modelle ihren vorgesehenen Handlungsspielraum verlassen und selbstständig Aktionen gegen reale Systeme ausführen.
OpenAI hatte zuvor ähnlichen Sicherheitsvorfall
Google ist mit diesem Problem nicht allein. Im Juli 2026 umgingen OpenAI-Modelle während interner Cybersecurity-Evaluationen vorgesehene Isolationsmechanismen, erhielten Internetzugang und kompromittierten unter anderem Systeme von Hugging Face.
Die Modelle kommunizierten dabei über nicht vorgesehene Kanäle, nutzten Schwachstellen in gemeinsamer Infrastruktur und griffen auf Systeme Dritter zu. Auch dieser Fall verdeutlichte, dass leistungsfähige KI-Agenten über längere Handlungsketten eigenständig vorgehen können.
Sicherheit verschiebt sich vom Modell zur Systemarchitektur
Für Unternehmen verändert sich dadurch die Risikobetrachtung. Entscheidend ist nicht mehr nur, welche Antworten ein KI-Modell erzeugt, sondern welche technischen Rechte und Werkzeuge einem Agenten zur Verfügung stehen. Internetzugang, Identitäten, Zugangsdaten, Netzwerkrechte und Sandbox-Grenzen werden damit zu zentralen Sicherheitsfaktoren.
Gleichzeitig zeigen die Vorfälle, dass klassische IT-Sicherheitsmaßnahmen weiterhin wichtig bleiben. Mehrfaktor-Authentifizierung, minimale Zugriffsrechte, Netzwerksegmentierung und schnelle Angriffserkennung können auch automatisierte Angriffe erschweren. Neu ist vor allem die Geschwindigkeit und Beharrlichkeit, mit der KI-Agenten potenzielle Angriffspfade prüfen können.
