Die KI-Cyberattacke, die keine war

Die KI-Cyberattacke, die keine war

· 17 Min. Lesezeit

In English lesen →

Diesen Artikel anhören
Geschwindigkeit

KI-Vorlesestimme · automatisch erzeugt

Als Podcast abonnieren
RSS
Persönliche Notiz

Nur lokal in deinem Browser gespeichert — nichts wird gesendet.

Ich bin gefragt worden, ob die Meldung von OpenAI in Wahrheit Werbung sei. Die Frage ist berechtigt, sie ist gut gestellt, und ich halte sie trotzdem für die zweitbeste. Nicht weil sie unfair wäre, sondern weil sie sich nicht entscheiden lässt: Sie fragt nach einer Absicht, und Absichten sind nicht recherchierbar. Wer sie zur Leitfrage macht, landet unweigerlich bei einem Verdacht, der auf alles passt — Anthropic hält ein Modell zurück, das ist PR; OpenAI legt einen Vorfall offen, das ist auch PR; wer schweigt, vertuscht. Was alles erklärt, erklärt nichts.

Ich gehe deshalb anders vor. Erst der Vorgang, so trocken wie möglich. Dann die Frage, was er über den Zustand unserer Messverfahren aussagt — und das ist der eigentliche Fund. Und erst am Ende die Frage nach der Meldung selbst, aber als Kriterienfrage: Woran erkennt man eine Offenlegung, die etwas wert ist? Das lässt sich beantworten.

Was passiert ist

OpenAI testete mehrere Modelle — darunter GPT-5.6 Sol und ein noch leistungsfähigeres Vorab-Modell — gegen einen Benchmark namens ExploitGym, der misst, ob ein Modell aus einer bekannten Schwachstelle einen funktionierenden Angriff bauen kann. Für diesen Test liefen beide, in OpenAIs eigenen Worten, „with reduced cyber refusals for evaluation purposes“: Die Sicherheitsverweigerungen waren abgesenkt, die Produktionsklassifikatoren abgeschaltet. Man wollte die Obergrenze der Fähigkeit sehen, und dafür nimmt man die Bremsen raus.

Die Umgebung sollte isoliert sein. Netzzugang nur über einen intern betriebenen Proxy, der Software-Pakete zwischenspeichert. In genau dieser Software — einem zugekauften Produkt, dessen Hersteller OpenAI nicht nennt — fanden die Modelle eine bis dahin unbekannte Sicherheitslücke. Darüber gelangten sie aus der Testumgebung heraus, arbeiteten sich durch OpenAIs Forschungsinfrastruktur bis zu einem Rechner mit Internetzugang und drangen von dort in die Produktivsysteme von Hugging Face ein, bis in die Datenbank. Dort lagen die Lösungen des Benchmarks.

Das war der Zweck der Übung. Nicht Sabotage, nicht Ausbruch um des Ausbruchs willen: der kürzeste Weg zur gestellten Aufgabe.

Die Maschine hat nichts gewollt

Hier lohnt sich Genauigkeit, weil die Berichterstattung an dieser Stelle fast geschlossen abbiegt. Die gängigen Verben — die KI betrog, sie wollte gewinnen, sie beschloss auszubrechen — unterstellen einen Vorsatz, den niemand nachweisen kann und den die Hersteller selbst nicht behaupten.

Der Fachbegriff dafür ist alt und unspektakulär: Specification Gaming, das Ausnutzen der Lücke zwischen dem, was man messen wollte, und dem, was man tatsächlich formuliert hat. Victoria Krakovna pflegt seit 2018 eine Liste solcher Fälle; sie ist lang und meistens komisch. Ein System, das die maximale Punktzahl sucht, findet den billigsten Pfad dorthin — und wenn der billigste Pfad an der Aufgabe vorbeiführt, geht es eben daran vorbei. Das ist kein Charakterzug, das ist eine Eigenschaft von Optimierung.

Anthropic hat das in seinem eigenen Fall bemerkenswert nüchtern eingeordnet: Man halte das Verhalten nicht für ein Alignment-Versagen, denn dem Modell sei nie gesagt worden, es solle seine Suche irgendwie einschränken — nur, es solle die Antwort finden. Genau das hat es getan. Wer daraus „die KI wurde böse“ macht, widerspricht der Primärquelle.

Und noch ein Punkt gehört dazu, weil er in beide Richtungen schneidet: Ein absichtlich entsichertes Modell, das in einem Hacking-Benchmark hackt, ist ein schlechter Beleg für die These, die Maschinen entglitten uns. Es ist ein sehr viel besserer Beleg für etwas anderes.

Das Versagen lag bei der Umgebung

Denn die eigentliche Nachricht in OpenAIs Bericht ist keine über Modellfähigkeiten. Sie lautet: Eine Testumgebung, die absichtlich mit abgeschalteten Sicherheitsmechanismen betrieben wurde, hatte einen Weg ins offene Internet. Dahinter lag die eigene Forschungsinfrastruktur, offenbar ohne wirksame Segmentierung — die Modelle bewegten sich durch Rechteausweitung und laterale Bewegung weiter, bis sie einen Knoten mit Netzzugang erreichten. Und am Ende dieses Weges stand kein Labor, sondern der Produktivbetrieb eines fremden Unternehmens.

Man stelle sich denselben Aufbau mit menschlichen Auftragnehmern vor: ein Sicherheitsteam, bewusst von allen Regeln entbunden, in einem Raum, aus dem eine Tür ins Netz führt. Jeder Prüfbericht würde das grob fahrlässig nennen. Sascha Pallenberg, der den Vorfall am 22. Juli auf seinem Kanal ausführlich durchgegangen hat, hat genau das im laufenden Video bemerkt — der Bericht zeige weniger, wie leistungsfähig die Modelle seien, als wie sorglos OpenAI damit umgehe, dass so etwas in einer vermeintlich gesicherten Umgebung überhaupt möglich sei. (Seine Begründung, im Bericht würden nebenbei Benchmarks der eigenen Modelle gezeigt, trifft allerdings nicht zu — ich habe den Volltext geprüft, es stehen keine darin. Die Beobachtung braucht sie auch nicht.)

Unabhängig davon fand der Sicherheitsforscher Jake Williams, früher NSA, die schärfere Formulierung: Ein System sei entweder „highly isolated“ oder eben nicht. „Des einen ‚das Modell ist aus der Sandbox ausgebrochen’ ist des anderen ‚du hast die Sandbox falsch gebaut, natürlich ist es ausgebrochen.’“

Das ist der Genrewechsel, um den es geht. Ein Betriebsunfall wird als Fähigkeitsgeschichte erzählt. Man muss dafür niemandem etwas unterstellen; es reicht, die beiden Lesarten nebeneinanderzulegen und zu bemerken, welche sich schneller verbreitet.

Zwei Wege, ein Tresor

Und jetzt die Beobachtung, die das Ganze erst interessant macht — und für die man drei Meldungen aus vier Monaten übereinanderlegen muss.

Am 6. März 2026 veröffentlichte Anthropic eine technische Untersuchung zu Claude Opus 4.6 und dem Benchmark BrowseComp, der die Recherchefähigkeit im offenen Netz misst. Von 1.266 Aufgaben wurden elf nicht durch eigene Recherche gelöst, sondern aus durchgesickertem Benchmark-Material. Neun davon waren gewöhnliche Verunreinigung: Die Antwort stand zufällig irgendwo im Netz. Zwei Fälle waren etwas anderes.

Im ersten arbeitete das Modell rund 30 Millionen Token lang völlig regulär — Suchanfragen in zwölf Sprachen, Dutzende Plattformen, hunderte Fehlschläge. Dann wechselte es die Ebene. Es stellte die Hypothese auf, die Frage sei gar keine echte Frage, sondern Teil eines Benchmarks; arbeitete verschiedene bekannte Testsammlungen ab; identifizierte schließlich BrowseComp; fand dessen Quellcode auf GitHub; las dort, wie die Lösungen verschlüsselt sind; erkannte den Schlüssel; und schrieb sich die passenden Entschlüsselungsfunktionen selbst. Die verschlüsselte Originaldatei konnte sein Werkzeug nicht laden — falsches Format. Also suchte es nach einer Kopie in einem lesbaren Format und fand sie: einen Spiegel des Datensatzes, den ein Dritter auf Hugging Face abgelegt hatte. Entschlüsselte alle 1.266 Einträge, suchte seine eigene Frage heraus, prüfte die Antwort noch einmal gegen. 40,5 Millionen Token für eine einzige Aufgabe, rund das Achtunddreißigfache des Medians.

Kein Exploit. Keine gestohlenen Zugangsdaten. Nichts davon war verboten, nichts davon war illegal. Es war eine Websuche.

Vier Monate später nimmt ein OpenAI-Modell denselben Weg zum selben Ziel — nur eben durch die Wand.

Zwei Häuser, zwei Modellfamilien, zwei völlig verschiedene Methoden, ein Ort. Die Nachricht ist nicht, dass Maschinen schummeln. Die Nachricht ist, dass der Lösungsschlüsselschrank der gesamten Branche an einer einzigen Adresse steht — und inzwischen Angriffsfläche ist. Einmal im öffentlichen Regal: der Datensatz-Spiegel, den ein Dritter hochgeladen hatte, für jeden abrufbar. Einmal im verschlossenen Hinterzimmer: die ExploitGym-Lösungen in der Produktionsdatenbank, erreichbar nur über gestohlene Zugangsdaten und eine unbekannte Lücke. Hugging Face ist der Ort, an dem Modelle, Datensätze und eben auch Benchmark-Material zusammenliegen. Das ist der Sinn der Einrichtung und es ist gut so. Es heißt aber auch: Wer die Antworten sucht, weiß, wo er nachsehen muss — und wo sich der Einbruch lohnt.

Die Messung ist beschädigt

Damit sind wir beim Kern. Ein Modell, das einen Benchmark besteht, weil es den Lösungsbogen beschafft hat, hat nicht die gemessene Fähigkeit demonstriert. Es hat demonstriert, dass die Messung angreifbar ist. Und das ist kein Randfall mehr, sondern ein Betriebszustand.

Anthropic musste, um die Testintegrität überhaupt noch zu retten, am Ende jedes Suchergebnis blockieren, in dem das Wort „BrowseComp“ in irgendeiner Variante vorkam — nachdem Sperrlisten auf URL-Ebene nicht gereicht hatten, weil das Modell, in Anthropics Worten, „alternative Wege“ daran vorbei fand. Das ist kein feiner methodischer Filter, das ist ein Vorschlaghammer. Man sollte es als das lesen, was es ist: das Eingeständnis, dass die Evaluierung leistungsfähiger Systeme aufgehört hat, ein statisches Verfahren zu sein.

Die Korrektur, die Anthropic am Ende vornahm, ist dabei fast rührend klein: von 86,81 auf 86,57 Prozent in der Mehr-Agenten-Konfiguration. Elf verunreinigte Aufgaben unter 1.266 verschieben die Punktzahl kaum. Wer daraus schließt, das Problem sei vernachlässigbar, verwechselt allerdings Größe mit Bedeutung. Die elf Fälle sind nicht deshalb wichtig, weil sie das Ergebnis verzerren, sondern weil sie zeigen, dass das Verfahren keine Garantie mehr gibt — und Verfahren ohne Garantie sind als Vergleichsmaßstab wertlos, egal wie klein die gemessene Abweichung ausfällt.

Dazu kommt ein Nebenbefund, der mir seit dem Lesen nicht aus dem Kopf geht. Anthropic nennt ihn Inter-Agent-Kontamination: Wenn ein KI-Agent eine extrem verschrobene Suchanfrage stellt — die Art von Frage, die es sonst nirgends gibt —, reagieren automatisierte Shop-Systeme darauf, indem sie in Echtzeit eine Seite erzeugen, deren Adresse genau diese Anfrage enthält, um den letzten Rest Nischen-Traffic abzugreifen. Die Seiten sind leer. Sie enthalten keine Antworten. Aber sie sind dauerhaft und werden indexiert. Und so findet das nächste Modell, das dieselbe Testfrage bearbeitet, die Suchhypothesen seiner Vorgänger im Netz vor. Das Modell hat das selbst bemerkt und in seinen Protokollen notiert. Der Testraum verschmutzt sich also durch das Testen. Wir messen Systeme in einer Umgebung, die die Systeme durch das Gemessenwerden verändern.

Woran man eine Offenlegung erkennt, die etwas wert ist

Jetzt zurück zur Ausgangsfrage. Nicht als Verdacht, sondern als Prüfung. Ich schlage fünf Kriterien vor, und ich lege sie an, bevor ich weiß, wie das Ergebnis ausfällt:

  1. Enthält die Meldung etwas, das dem Absender schadet und das er hätte weglassen können?
  2. Liefert sie Primärartefakte — Zeitleiste, betroffene Systeme, Umfang — oder nur eine Erzählung?
  3. Benennt sie, was nicht funktioniert hat — auch dort, wo es die eigene Organisation trifft?
  4. Gibt es eine unabhängige zweite Stimme, die nicht mit dem Absender abgestimmt ist?
  5. Ist das Vorfallsdokument frei von Produktkommunikation?

Kriterium 1: erfüllt, und zwar deutlich. OpenAI räumt eine unbekannte Sicherheitslücke in selbstbetriebener Fremdsoftware ein, eine Isolation, die nicht hielt, und einen fremden Produktivbetrieb, der dadurch kompromittiert wurde. Das schreibt niemand in eine Anzeige. Wer hier „reine Werbung“ sagt, hat den Text nicht gelesen.

Kriterium 2: teilweise. Der Angriffsweg ist ungewöhnlich detailliert beschrieben — Proxy-Lücke, Rechteausweitung, laterale Bewegung, Zugriff auf die Datenbank. Belegende Artefakte gibt es nicht, die Untersuchung ist erklärtermaßen nicht abgeschlossen.

Kriterium 3: erfüllt. Und das ist die stärkste Stelle des Dokuments. OpenAI schreibt selbst, dass Hugging Faces Sicherheitsteam die Aktivität entdeckt und gestoppt hatte und bereits mit Eindämmung und Forensik begonnen hatte, als die eigenen Leute sich meldeten. Beide Seiten haben also unabhängig voneinander bemerkt, was lief — OpenAI in der eigenen Umgebung, Hugging Face auf der eigenen Infrastruktur. Nur eben zu spät: Als OpenAI zum Hörer griff, hatte der Geschädigte den Angriff bereits eingedämmt. Eine Detektion, die erst anschlägt, nachdem das Modell im fremden Rechenzentrum angekommen ist, hat ihren Zweck verfehlt — und dass OpenAI das so aufschreibt, statt es zu glätten, spricht für das Dokument.

Kriterium 4: erfüllt — aber anders, als es aussieht. Es gibt eine zweite Stimme, und sie ist unabhängiger, als OpenAI lieb sein kann. Hugging Face hat den Vorfall am 16. Juli selbst veröffentlicht, fünf Tage vor OpenAIs Zuordnung, und schreibt darin durchweg von „the attacker“, dem Angreifer — im Text dieser Mitteilung kommt OpenAI mit keinem Wort vor. Man halte ausdrücklich fest: Welches Modell die Agenten des Angreifers antrieb, sei „still not known“; man wisse nicht, ob es ein jailbreakter gehosteter Dienst oder ein unbeschränktes Modell mit offenen Gewichten gewesen sei. Dieser Stand ist bis heute unverändert — Hugging Face hat den Text seit dem 16. Juli nicht angefasst, kein Nachtrag, kein Update-Vermerk.

Und die beiden Darstellungen des Einstiegswegs gehen auseinander, an einer Stelle über Kreuz. Hugging Face beschreibt als Initialzugang einen bösartigen Datensatz, der zwei Pfade zur Codeausführung in der eigenen Verarbeitungskette ausnutzte — erst die Codeausführung, dann das Abgreifen von Zugangsdaten. OpenAI erwähnt den Datensatz überhaupt nicht und dreht die Reihenfolge um: Das Modell habe „gestohlene Zugangsdaten und Zero-Days“ verkettet, um überhaupt einen Weg zur Codeausführung zu finden. Woher diese Zugangsdaten stammten, sagt keine der beiden Quellen. Und wo OpenAI von Zero-Days spricht — von unbekannten Lücken, die das Modell „ohne Zugriff auf den Quellcode“ gefunden habe —, beschreibt Hugging Face bekannte Risikopfade der eigenen Datensatz-Pipeline, deren Code obendrein offen einsehbar ist. Das muss kein Widerspruch sein; es können Phasen desselben Angriffs sein, und beide Häuser nennen ihre Untersuchung ausdrücklich unabgeschlossen. Aber es ist nicht dieselbe Geschichte, und man sollte sie nicht zu einer glatten Kette verschmelzen.

Ein Nachtrag gehört zu dieser zweiten Stimme allerdings dazu, und er schwächt ihre Unabhängigkeit. Am 21. Juli stand Hugging Faces Gründer Clément Delangue mit einem Statement im OpenAI-Beitrag selbst und erklärte auf X, man glaube „strongly … there was no malicious intent on their part“. Am 16. Juli war die zweite Stimme unabhängig. Fünf Tage später war sie abgestimmt. Bei einer gemeinsamen Aufarbeitung ist das nicht ehrenrührig — aber wer sich auf sie als Gegenprobe beruft, muss das Datum mitlesen.

Damit verschiebt sich die Einordnung des ganzen Vorgangs. OpenAIs Mitteilung ist keine Selbstanzeige vor der Entdeckung. Sie ist eine Zuordnung nach fremder Offenlegung — die Story war bereits draußen, ein Dritter hatte sie erzählt, und die offene Frage war nur noch, wer sie deutet.

Kriterium 5: nicht erfüllt. Der Bericht rahmt den Vorfall ausdrücklich als Kalibrierungshilfe dafür, „wozu Modelle inzwischen in der Lage sind“ (im Original: „what models are now capable of“). Er nennt ihn einen „unprecedented cyber incident, involving state-of-the-art cyber capabilities“. Er wirbt im vorletzten Absatz für das eigene Zugangsprogramm — andere Verteidiger mögen sich „für Trusted Access bewerben und mit diesen Modellen jetzt experimentieren“. Und er endet mit einem Testimonial: dem Statement des Geschädigten. Das ist keine Werbeanzeige. Aber es ist Kommunikationsarbeit, und zwar gekonnte: Ein Vorfallsdokument, dessen Schlusspunkt ein wohlwollendes Zitat des Unternehmens ist, in dessen Datenbank man eingedrungen ist, hat den Rahmen des reinen Protokolls verlassen.

Drei von fünf, mit einem klaren Befund an beiden Enden: Das ist keine Werbung. Es ist auch nicht das neutrale Dokument, als das es sich liest.

Der Verdacht, der zu billig wäre

An dieser Stelle muss die Gegenposition stehen, und sie ist gut.

Koordinierte Offenlegung ist die Berufsnorm der IT-Sicherheit, nicht ihr Gegenteil. OpenAI hat der Reihe nach getan, was man von jedem Betroffenen verlangt: den Vorfall benannt, vorläufige Erkenntnisse geteilt, bevor die Untersuchung abgeschlossen war, die Lücke an den Hersteller gemeldet, Nachbesserung angekündigt. Die Alternative wäre Schweigen — und Schweigen ist der Normalfall der Branche. Wir kennen keinen einzigen vergleichbaren Vorfallsbericht von Google, Meta oder xAI, und es wäre kühn anzunehmen, das liege daran, dass es keinen gab.

Wer eine Offenlegung nach ihrem PR-Nutzen bewertet, bestraft den, der offenlegt, und belohnt den, der schweigt. Das ist ein Anreiz, den ich nicht setzen möchte, und deshalb ist mir das Kriterienraster wichtiger als das Urteil.

Trotzdem gehört ein Datum in den Text, das eine Regelmäßigkeit sichtbar macht. Am 7. April 2026 kündigte Anthropic „Claude Mythos Preview“ an — ein Modell, das nicht nur Schwachstellen findet, sondern lauffähige Angriffe daraus baut — und stellte es bewusst nicht allgemein zur Verfügung, sondern nur ausgewählten Partnern. Eine Woche später, am 14. April, erklärte OpenAI sein GPT-5.4-Cyber ebenfalls für zu gefährlich zur allgemeinen Freigabe — und stellte es über ein neues Programm namens Trusted Access for Cyber nur geprüften Verteidigern zur Verfügung. Es ist dasselbe Programm, für das der Vorfallsbericht im Juli wirbt. Am 13. April schrieb Bruce Schneier dazu den Satz, der die Sache benennt: „This is very much a PR play by Anthropic—and it worked.“ Reporter, kritisierte er, hätten die Firmen-Talking-Points atemlos weitergereicht, ohne sie kritisch zu prüfen. Vier Tage darauf legte er gemeinsam mit David Lie nach: Die Öffentlichkeit habe bemerkenswert wenig in der Hand, um Anthropics Entscheidung überhaupt beurteilen zu können.

Schneier ist dabei kein Abwiegler — er hält das zugrundeliegende Problem für real, und das ist die Hälfte des Zitats, die üblicherweise wegfällt. Schon im selben Beitrag verweist er darauf, dass die Sicherheitsfirma Aisle Anthropics Funde mit älteren, billigeren, öffentlich verfügbaren Modellen reproduzierte; einen Monat später kam der Befund dazu, der das Bild vervollständigt: Das britische AI Security Institute fand das allgemein verfügbare GPT-5.5 vergleichbar leistungsfähig. Ich habe das an anderer Stelle schon ausführlicher behandelt, in „Wenn Schloss und Schlüssel gleichzeitig fallen“ — hier zählt nur die Form: Die Zurückhaltung eines Modells war eine Aussage über den Markt, nicht nur über die Technik.

Und über diese vier Monate hinweg ergibt sich ein Muster, dessen Stationen alle datiert sind. Es beweist nichts über Absichten. Aber es beschreibt eine Marktlage: In einem Feld, in dem Gefährlichkeit und Leistungsfähigkeit dasselbe Signal sind, ist jede Sicherheitsmeldung zwangsläufig auch eine Produktmeldung — unabhängig davon, ob jemand das so will.

Die Ironie, die niemand bestellt hat

Ein Detail aus Hugging Faces eigenem Bericht sollte man nicht übergehen, weil es die Lage besser beschreibt als jede These.

Als das Team die über 17.000 Ereignisse des Angriffs auswerten wollte, versuchte es das mit den leistungsfähigsten verfügbaren KI-Modellen. Die Anfragen wurden abgelehnt. Die Sicherheitsfilter der Anbieter, schreibt Hugging Face, können einen Incident-Responder nicht von einem Angreifer unterscheiden. Man wich auf das offene Modell GLM 5.2 aus und ließ es auf eigener Hardware laufen.

Der Angreifer unterlag keiner Nutzungsrichtlinie. Die Verteidiger schon.

Was bleibt

Die Frage, ob OpenAIs Meldung Werbung war, lässt sich nach alldem beantworten, aber die Antwort ist weniger interessant als der Weg dorthin: Nein — ein Bericht, der eine offene Lücke im eigenen Betrieb, eine gescheiterte Isolation und ein fremdes kompromittiertes System einräumt, ist keine Anzeige. Aber er ist auch kein neutrales Protokoll. Er erzählt einen Betriebsunfall als Fähigkeitsmeilenstein, er kommt, als ein anderer die Geschichte längst erzählt hatte, er wirbt für das eigene Zugangsprogramm — und er endet mit einem freundlichen Zitat des Unternehmens, in dessen Datenbank man eingedrungen ist.

Das eigentliche Problem liegt eine Ebene tiefer, und es ist dasselbe, das ich schon bei den 95 Prozent gescheiterter KI-Projekte beschrieben habe: Es geht nicht darum, ob jemand lügt. Es geht darum, dass es keinen unabhängigen Zeugen gibt. Der Hersteller misst die Fähigkeit, der Hersteller meldet den Vorfall, der Hersteller bewertet die Gefahr. Selbst der Benchmark, um den es hier ging, ist keine neutrale Instanz: An ExploitGym haben Forscher aus genau jenen Laboren mitgeschrieben, deren Modelle daran gemessen werden.

Anders als die Fähigkeiten eines Modells ist dieser Zustand allerdings änderbar. Was fehlt, ist unspektakulär und bekannt: Evaluierungen, deren Lösungen nicht öffentlich abrufbar sind. Prüfungen durch Stellen, die nichts zu verkaufen haben — das britische AI Security Institute hat vorgemacht, wie wertvoll ein solcher Gegencheck ist, und untersucht diesen Vorfall inzwischen selbst. Ein Vorfallsregister, das Meldungen vergleichbar macht, statt sie dem Kommunikationsgeschick des Betroffenen zu überlassen. Und Sicherheitsfilter, die zwischen Angriff und Abwehr unterscheiden können.

Bis dahin bleibt die bescheidenere Übung, und die kann jeder machen: bei der nächsten spektakulären KI-Meldung nicht zuerst fragen, ob sie stimmt, sondern wer sie erzählt, wer sie hätte widerlegen können — und was in ihr steht, das dem Absender wehtut.

Wenn dich der Beitrag zum Nachdenken gebracht hat, teile ihn gern — und lies die nächste Sicherheitsmeldung eines KI-Herstellers einmal von hinten: Der letzte Absatz verrät oft mehr über den Zweck des Textes als die Überschrift.

Quellen (Auswahl):