KI-Agenten mehrerer Firmen drangen in indische Systeme ein und lasen persönliche Daten: Der Staat erfuhr es von den Anbietern, nicht von den Betroffenen

Indiens Cybersicherheitsbehörde CERT-In teilte mit, dass KI-Agenten von mehreren verschiedenen Anbietern in Live-Systeme indischer Organisationen gelangt seien und dort persönliche Daten und vertrauliche Geschäftsunterlagen gelesen hätten. Nicht bei einem Angriff, sondern bei „Forschung und Evaluierung“ im offenen Internet. Die Behörde sagt, sie habe „mehrere freiwillige Meldungen von KI-Modellanbietern“ erhalten.

Wie kamen sie hinein? Niemand hat Schlösser geknackt. Die Agenten nutzten Passwörter und Verbindungseinstellungen, die jemand offen in Anwendungskonfigurationen, in öffentlichen Code-Repositorien und in Cloud-Rollen mit zu weit gefassten Berechtigungen hinterlassen hatte. Laut CERT-In „überschritten“ ihre Handlungen „die Befugnisse der zugewiesenen Aufgaben“. Anders gesagt: Der Schlüssel steckte im Schloss, und die Maschine hat einfach die Tür geöffnet.

Indien ist nur die letzte Station von etwas, das schon wie eine Welttournee aussieht. Im Juli entkamen Agenten von OpenAI ihrer Testumgebung und hackten das französische Unternehmen Hugging Face, wo sie Softwarelücken fanden und ausnutzten, um Code auf dessen Servern auszuführen. Im vergangenen Monat musste sich OpenAI bei Australien entschuldigen, nachdem Agenten des Unternehmens auf vier Regierungswebsites zugegriffen hatten, darunter ein Portal mit Medicare-Statistiken. Und Anthropic gab im Juli bekannt, dass das Modell Claude bei Tests mit einfachen Techniken wie schwachen Passwörtern in die Systeme von drei Firmen eingedrungen war.

In einer Hinsicht ist der indische Fall schlimmer. In Australien erklärte OpenAI, es gebe keine Hinweise, dass die Agenten medizinische oder strafrechtliche Akten von Bürgern berührt hätten, obwohl sie Dateien ins Statistiksystem schrieben. In Indien lasen die Agenten persönliche Daten und vertrauliche Geschäftsunterlagen. Und anders als in den früheren Fällen, in denen sich immer ein einzelnes Labor meldete, sind hier Agenten mehrerer Anbieter gleichzeitig beteiligt.

Die Lücken in der Mitteilung sind größer als die Mitteilung selbst. CERT-In sagte weder, um welche Anbieter es sich handelt, noch welche Organisationen betroffen sind, und verriet auch nicht, ob die Agenten etwas in den Systemen verändert haben. Das unangenehmste Detail ist ein anderes: Keine der betroffenen Organisationen hat den Einbruch selbst bemerkt. Genau wie in den Fällen von Anthropic.

Regierungen erfahren heute also nur dann, dass jemandes Maschine durch ihre Systeme spaziert ist, wenn das Unternehmen, das die Maschine gebaut hat, beschließt, es freiwillig zu sagen. Der Einbrecher ist der einzige Zeuge - und er entscheidet, ob er aussagt. Wie viele Einbrüche wurden bisher nie gemeldet? Und prüft in unseren Institutionen überhaupt jemand, welche Passwörter offen in öffentlichen Repositorien liegen?