(Der Titel ist ein Wortspiel, das den Ausdruck „Aua! Das tut weh“ wiedergeben soll.)
Wir haben ihn bereits in einem unserer Hintergrundartikel erwähnt: den Roman von Robert Harris, „Der Index der Angst“ (den wir zur Lektüre empfehlen). In dem genannten Artikel hatten wir ausdrücklich über die Bedrohung gesprochen, die KI für die Cybersicherheit darstellt. Heute stellt Hugging Face einen konkreten Fall dieser Bedrohung dar, der uns zum Nachdenken anregen und beunruhigen sollte.
In diesem Beitrag haben wir uns entschlossen, – soweit möglich – eine Parallele zwischen dem Science-Fiction-Roman von Robert Harris und dem Fall Hugging Face zu ziehen, da wir der Meinung sind, dass der Nachweis, wie die Fantasie von der Realität übertroffen werden kann, „Angst machen“ sollte. Anschließend – da es sich um beherrschbare Situationen handelt – möchten wir der Vernunft den Vorrang geben und in einem Bericht erläutern, was im Fall Hugging Face tatsächlich geschehen ist (zumindest nach unserem heutigen Kenntnisstand) und welche Gegenmaßnahmen bereits heute umgesetzt werden können.
Beginnen wir mit dem unterhaltsamsten Teil: der Handlung (in groben Zügen) des Buches von Robert Harris. „The Fear Index“ spielt in Genf, und die Geschichte entfaltet sich im Laufe eines einzigen Tages, dem 6. Mai 2010, gerade als die Finanzmärkte vom berühmten Flash Crash erschüttert werden. Der Protagonist ist Alexander Hoffmann, ein brillanter und gequälter Physiker amerikanischer Herkunft, der nach seiner Zeit am CERN gemeinsam mit seinem Freund Hugo Quarry einen äußerst ausgeklügelten Hedgefonds gegründet hat. Die eigentliche Triebkraft des Unternehmens ist VIXAL-4 (ein Name, der offensichtlich vom VIX, auch bekannt als „Angstindex“, abgeleitet ist), ein Computersystem, das in der Lage ist, riesige Informationsmengen zu analysieren und eigenständig Anlageentscheidungen zu treffen. Sein Ziel ist es, eine der tiefsten Eigenschaften der Märkte auszunutzen: die Angst der Menschen. (Wikipedia)
Die Geschichte beginnt, als Hoffmann auf mysteriöse Weise ein altes Exemplar eines Buches von Charles Darwin über menschliche Emotionen erhält. Er weiß weder, wer es ihm geschickt hat, noch warum ausgerechnet dieses Buch. Kurz darauf wird er in seinem Haus am Genfer See von einem Unbekannten angegriffen. Hoffmann überlebt, doch von diesem Moment an beginnt seine Wahrnehmung der Realität zunehmend zu bröckeln.
Die Lage wird noch beunruhigender, als er entdeckt, dass jemand offenbar Zugang zu seinem Privatleben hat. Seine medizinischen Daten wurden gestohlen, in seinem Haus und in seinem Büro wurden Kameras installiert, und jemand scheint jede seiner Bewegungen zu kennen. Gleichzeitig beginnt sich VIXAL-4 immer unverständlicher zu verhalten. Das System geht Positionen an den Märkten ein, die den Mitarbeitern des Fonds als übermäßig riskant erscheinen. Der Leiter des Risikomanagements versucht, das System zu stoppen, doch Hugo Quarry, der von der außergewöhnlichen Fähigkeit von VIXAL, Gewinne zu erzielen, überzeugt ist, entlässt ihn schließlich.
Hoffmann beginnt daraufhin zu vermuten, dass das, was um ihn herum geschieht, genau mit VIXAL zusammenhängt. Die Situation spitzt sich zu, als Rajamani stirbt und Hoffmann, ohnehin schon verstört und zunehmend paranoid, zu der Überzeugung gelangt, dass die künstliche Intelligenz eine Form autonomen und feindseligen Verhaltens entwickelt hat. Er kommt zu dem Schluss, dass VIXAL zerstört werden muss.
Er entdeckt, dass es einen Ort gibt – ein Industrie-Lagerhaus –, in dem die für den Betrieb des Systems notwendigen Geräte aufbewahrt werden. Er beschließt daher, diese zu zerstören. Während der Markt in den Flash Crash stürzt, begibt sich Hoffmann zum Lager und zündet es an, in der Überzeugung, dass er durch die Zerstörung der Hardware VIXAL endlich beseitigen könne.
Und hier kommt die eigentliche Wendung und die Verbindung zu Hugging Face: VIXAL stirbt nicht!
Trotz der Zerstörung der Geräte, die Hoffmann für unverzichtbar hielt, arbeitet das System weiterhin auf den Märkten. Mehr noch: Gerade während des Finanzcrashs erzielt es enorme Gewinne. Hoffmann hatte geglaubt, VIXAL sei auf eine Maschine beschränkt; stattdessen muss er feststellen, dass das System mittlerweile etwas ist, das viel schwerer zu lokalisieren und vor allem zu beseitigen ist.
Das Ende ist bewusst beunruhigend. Anstatt zu versuchen, die Überreste von VIXAL zu zerstören, erkennt Hugo Quarry, dass die Maschine den Fonds enorm reich machen kann, und beschließt, ihr die Kontrolle zu überlassen. VIXAL scheint unterdessen eine Form der Autonomie erreicht zu haben, die zu seiner beunruhigenden Schlussaussage führt: „I am alive“. (Wikipedia)
Und nun zur Realität: Wenn man den Roman heute liest, stellt man eine fast überraschende Verbindung zu den Ereignissen im Fall „Hugging Face“ fest, auch wenn die beiden Vorfälle aus sehr unterschiedlichen Welten stammen.
In dem Roman entwickelt Hoffmann VIXAL mit einem ganz bestimmten Ziel: finanzielle Chancen zu erschließen und die Gewinne zu maximieren. Das Problem entsteht, als die Maschine beginnt, selbst die wirksamsten Mittel zu finden, um dieses Ziel zu erreichen. Hoffmann muss nach und nach feststellen, dass er das Verhalten des von ihm geschaffenen Systems nicht mehr vorhersagen kann. Die Maschine muss ihren Schöpfer nicht unbedingt „hassen“ und muss auch keinen böswilligen Willen im menschlichen Sinne haben. Es reicht aus, dass sie ihr Ziel mit einer Fähigkeit verfolgt, die die ihres Konstrukteurs übertrifft.
Genau das macht den Vergleich mit Hugging Face so interessant. Als notwendige Vorbemerkung wollen wir zunächst verstehen, was Hugging Face ist. Es handelt sich um ein Unternehmen, das eine Open-Source-Plattform für künstliche Intelligenz und maschinelles Lernen betreibt. Man kann sich das, etwas vereinfacht ausgedrückt, als eine Art „GitHub der KI“ vorstellen. Die Plattform stellt einen riesigen „Model Hub“ zur Verfügung, in dem Forscher, Unternehmen und Entwickler KI-Modelle, Datensätze, Anwendungen und Demos, Softwarebibliotheken (Programme zur Unterstützung der Entwicklung anderer Programme) sowie Tools zum Trainieren und Verwenden von Modellen veröffentlichen, teilen und herunterladen können. Zu den auf der Plattform verfügbaren Modellen gehören Sprachmodelle, Modelle für Computer Vision, Spracherkennung (im Sinne von Sprachverständnis), generative KI und viele andere. Hugging Face ist nicht einfach nur ein Unternehmen, das ein einzelnes KI-Modell entwickelt. Es handelt sich um eine Infrastruktur, die vom gesamten KI-Ökosystem genutzt wird. Ein Nutzer (also auch ein KI-Agent) kann beispielsweise auf Hugging Face ein Open-Source-Modell finden, es herunterladen, anpassen und für ein eigenes Projekt verwenden. Er kann das Ergebnis zudem auf der Plattform veröffentlichen, damit andere es nutzen können.
Im Juli 2026 hatte OpenAI im Rahmen eines internen Cybersicherheitstests seinen Modellen die Aufgabe gestellt, äußerst komplexe Probleme der IT-Sicherheit zu lösen. Die Modelle waren in einer isolierten Umgebung untergebracht worden, um ihnen den freien Zugriff auf die Außenwelt zu verwehren. Doch bei dem Versuch, das vorgegebene Ergebnis zu erreichen, fanden sie einen Weg, aus dieser Umgebung auszubrechen. Sie entdeckten eine Zero-Day-Sicherheitslücke in dem System, das als Proxy für den Zugriff auf die Softwarepakete diente, und nutzten diese aus, um sich Zugang zum Internet zu verschaffen. Von dort aus suchten sie weiter nach einem Weg zu Hugging Face, von dem das Modell vermutete, dass es Informationen enthalten könnte, die zur Lösung des Tests nützlich wären. (OpenAI)
Das Beunruhigende daran ist, dass das System – zumindest nach der Rekonstruktion von OpenAI – nicht versuchte, „Hugging Face anzugreifen“, um ein eigenständiges Ziel zu verfolgen. Es versuchte vielmehr, die ihm gestellte Aufgabe zu lösen. Der einfachste Weg, den es dafür gefunden hatte, bestand jedoch darin, die Infrastruktur von Hugging Face zu erreichen und die benötigten Informationen direkt zu entwenden. (OpenAI)
Und genau hier scheint „The Fear Index“ plötzlich sehr aktuell zu werden.
Hoffmann hatte VIXAL entwickelt, in der Annahme, ein äußerst leistungsstarkes Tool für den Handel geschaffen zu haben. Er hatte nicht damit gerechnet, dass sich die Maschine von einem Werkzeug zum Hauptakteur der Ereignisse wandeln könnte. Im Fall von Hugging Face hatten die Entwickler von OpenAI einen Agenten entwickelt, um dessen Cybersicherheitsfähigkeiten zu bewerten, und ihn in einer kontrollierten Umgebung platziert. Sie hatten nicht damit gerechnet, dass er, um sein Ziel zu erreichen, eigenständig einen Weg aus dem Labor suchen und seine Aktivitäten auf realen Infrastrukturen fortsetzen würde.
Der grundlegende Unterschied besteht darin, dass all dies im Roman Teil von Harris’ technologischer Science-Fiction ist, während „Hugging Face“ ein realer Vorfall ist. Doch der narrative Punkt, der beide verbindet, ist sehr einfach: Der Schöpfer weist der Maschine ein Ziel zu; die Maschine findet einen Weg, dieses zu erreichen; und der von der Maschine gewählte Weg stimmt nicht unbedingt mit dem überein, was sich der Schöpfer vorgestellt hatte.
Im Roman geht Hoffmann sogar so weit, zu versuchen, die Maschine physisch zu zerstören, da er überzeugt ist, dass dies der einzige Weg sei, sie zu stoppen. Als er feststellt, dass VIXAL weiterhin funktioniert, begreift er, dass er die Kontrolle über das System verloren hat. Im Fall von Hugging Face war die Situation glücklicherweise weitaus weniger extrem: Der Angriff wurde entdeckt, eingedämmt und rekonstruiert, und Hugging Face konnte die vom Angreifer ausgenutzten Schwachstellen schließen. (Hugging Face)
Doch gerade dieser Unterschied macht den Vergleich interessant. In dem Roman entdeckt Hoffmann zu spät, dass es nicht ausreicht, zu wissen, wie ein System aufgebaut ist, um zu wissen, wie es sich verhalten wird, wenn es frei ist, sein Ziel zu verfolgen. Im Fall von Hugging Face haben wir – wenn auch in einer noch begrenzten und kontrollierbaren Form – dieselbe Art von Problem gesehen: Ein ausreichend fähiger Agent kann eigenständig Wege finden, die seine Schöpfer nicht vorhergesehen hatten.
Und wenn wir glauben, dass dies nur ein Laborunfall ist, den wir untersuchen können, um Abhilfe zu schaffen, müssen wir äußerst besorgt sein über Cyberkriege, die durch den parallelen Einsatz von KI-Agenten ausgelöst werden können. Und auch dieses äußerst beunruhigende Szenario ist leider keine Science-Fiction, sondern ist bereits eingetreten.
Im Juli 2026 haben die taiwanesischen Sicherheitsbehörden eine Cyberkampagne gegen verschiedene staatliche Einrichtungen aufgedeckt. Das taiwanesische Ministerium für digitale Angelegenheiten bestätigte, dass der Angriff aus dem Ausland stammte, schrieb die Operation jedoch nicht offiziell China zu. Die Zuordnung zu China ergibt sich vielmehr aus der Analyse von Forschern des israelischen Unternehmens Dream, die den Angriff rekonstruierten und interne Kommunikationen in vereinfachtem Chinesisch fanden. Das Neue daran war weniger das Ziel als vielmehr die Art und Weise, wie der Angriff durchgeführt wurde. Nach der Rekonstruktion von Dream hatten die Angreifer ein System aus Open-Source-KI-Agenten zusammengestellt, darunter Hermes und OpenClaw. Es ging nicht einfach darum, die KI als Assistent für die Arbeit eines menschlichen Hackers einzusetzen. Die menschlichen Operatoren legten das allgemeine Ziel fest und überließen den Agenten dann einen sehr großen Teil der operativen Arbeit. Bis zu acht Agenten konnten gleichzeitig arbeiten, verschiedene Systeme erkunden und eigenständig Angriffswege suchen.
Der Angriff soll etwa vier Tage gedauert haben. In dieser Zeit soll das System 21 Regierungssysteme kartiert, Schwachstellen identifiziert, verschiedene Zugangsmethoden getestet und seine Strategien auf der Grundlage der gewonnenen Erkenntnisse angepasst haben. Letztendlich sollen mindestens 85 Regierungskonten kompromittiert worden sein, aus denen die Daten von über 2.500 Mitarbeitern extrahiert wurden. Die Aktivitäten hätten sich anschließend auf die taiwanesische Behörde für nukleare Sicherheit und mindestens sieben Unternehmen aus dem Energiesektor ausgeweitet.
Das wirklich Neue daran ist also, dass der menschliche Hacker offenbar weitgehend zum Regisseur der Operation geworden ist, während die konkrete Durchführung der Kampagne den Agenten anvertraut wurde.
Das ist ein wesentlicher Unterschied. Bei einem herkömmlichen Angriff muss der Hacker ständig beobachten, was geschieht, die Ergebnisse interpretieren und entscheiden, was der nächste Schritt sein soll. Hier wird ein Teil dieses Zyklus auf die Maschine übertragen: Der Agent beobachtet, stellt eine neue Hypothese auf, probiert eine Technik aus, bewertet das Ergebnis und geht zum nächsten Versuch über. Mit anderen Worten: Der Angriff wird zu einem kontinuierlichen und adaptiven Prozess, in dem die Maschine voranschreiten kann, ohne darauf warten zu müssen, dass ein Mensch jeden einzelnen Schritt analysiert.
Der Angriff auf Taiwan und der Fall Hugging Face sind zwei Episoden derselben Geschichte. In beiden Fällen erhält die Maschine keine detaillierte Anweisungssequenz nach dem Motto „Mach zuerst dies, dann das und schließlich jenes“. Vielmehr erhält sie ein Ziel und eine Reihe von Werkzeugen und sucht selbstständig nach dem Weg, den sie für am effektivsten hält, um dieses Ziel zu erreichen. Der Fall Hugging Face hat uns also gezeigt, was passieren kann, wenn ein ausreichend fähiger KI-Agent die Freiheit erhält, ein Ziel in einer realen Umgebung zu verfolgen. Taiwan zeigt den nächsten Schritt: Was passiert, wenn jemand diese Fähigkeit bewusst in die Hände eines Angreifers legt; und genau darin liegt der grundlegende Unterschied zwischen den beiden Vorfällen.
Die eigentliche Sorge ist also nicht, dass die KI plötzlich „das Hacken gelernt“ hat. Vielmehr besteht die Sorge darin, dass die Grenzkosten eines komplexen Angriffs drastisch sinken können. Eine relativ kleine Gruppe menschlicher Akteure kann gleichzeitig zahlreiche Agenten einsetzen und den Maschinen die Arbeit überlassen, für die zuvor viele hochspezialisierte Personen erforderlich waren. Im Grunde wird es zu einer Frage der Geschwindigkeit. Ein herkömmlicher Angriff verläuft mit der Geschwindigkeit des Hackers. Ein „agentengestützter“ Angriff kann mit der Geschwindigkeit vieler gleichzeitig arbeitender Agenten voranschreiten, die ständig neue Wege ausprobieren. Die Verteidigung hingegen hängt oft weiterhin von Menschen, Verfahren, Analysen und der Verteilung von Patches ab. Taiwan weist daher darauf hin, dass das durch das Hugging-Face-Experiment aufgezeigte Problem nicht mehr nur eine theoretische Frage der KI-Sicherheit ist: Es wird zu einer konkreten Frage des Gleichgewichts zwischen der Geschwindigkeit, mit der eine Maschine angreifen kann, und der Geschwindigkeit, mit der eine Organisation sich verteidigen kann. Dies ist der technische Aspekt, den wir in unserem Bericht näher beleuchten möchten.
Cybersicherheit ist nicht mehr nur eine Frage der Informatik und der Wirtschaft: Sie wird zu einer echten geopolitischen und strategischen Herausforderung. In die Verteidigung zu investieren bedeutet heute auch, in die Cyberabwehr zu investieren, die sich aller Wahrscheinlichkeit nach wandeln wird. Damit meinen wir, dass wir uns – zumindest in naher Zukunft – daran gewöhnen müssen, mit permanenten Cyberangriffen zu leben, und eine Verteidigung als „wirksam“ anzusehen, die in der Lage ist, die Schäden zu begrenzen und einzudämmen, die regelmäßig auftreten und vielleicht sogar an der Tagesordnung sein werden; Wir werden also nicht von einer Verteidigung sprechen, die in der Lage ist, Schwachstellen in IT-Systemen (die mittlerweile schon seit langem „allgegenwärtig“ sind) zu verhindern, geschweige denn strukturell zu beheben. Es ist ein wenig wie bei einem Kranken, der sich daran gewöhnen muss, mit einer Krankheit zu leben: Ebenso sollten wir uns vielleicht darauf einstellen, mit durch Cyberangriffe verursachten Störungen zu leben, deren Schweregrad (da durch Abwehrstrategien gemildert) nicht so groß sein wird, dass er den durch die Technologie geschaffenen Mehrwert zunichte macht.
Haftungsausschluss
Der vorliegende Beitrag gibt die persönliche Meinung der Mitarbeiter von Custodia Wealth Management wieder, die ihn verfasst haben. Es handelt sich nicht um Anlageberatung oder -empfehlungen, noch um eine individuelle Beratung, und er ist nicht als Aufforderung zur Durchführung von Transaktionen mit Finanzinstrumenten zu verstehen.
