Offene KI-Modelle schließen die Lücke bei Cyberfähigkeiten zu eingeschränkten Systemen

Offene KI-Modelle nähern sich bei autonomen Cyberoperationen eingeschränkten Systemen an. Das geht aus einem von The Decoder berichteten Benchmark von Vals AI hervor. OpenAIs GPT-6 Sol Daybreak schloss 80,8 % der simulierten Angriffsziele ab, während das frei verfügbare DeepSeek V4.1 Flash 72,8 % erreichte – zu gemeldeten Kosten von etwa 3 US-Dollar pro Durchlauf gegenüber rund 22 US-Dollar für das OpenAI-System.

Das Ergebnis ist relevant, weil die sicherheitstechnische Unterscheidung zwischen proprietären und offen veröffentlichten Modellen als Indikator für Cyberrisiken zunehmend an Aussagekraft verliert. Die Gewichte eines Modells, die öffentlich zugänglich sind, können von seinem Entwickler weder zurückgerufen noch zentral eingeschränkt werden. Gleichzeitig können die niedrigeren Betriebskosten längere Angriffe sowohl für Forscher als auch für kriminelle Gruppen praktikabler machen.

Die Ergebnisse werden berichtet, sind in den verfügbaren Quellen jedoch nicht unabhängig verifiziert. Sie stammen aus dem CyberOffense-Benchmark von Vals AI, wie The Decoder ihn beschreibt, und sollten als Signal für die Modellfähigkeit unter einem bestimmten Testdesign gelesen werden – nicht als Beleg dafür, dass eines der beiden Systeme reale Unternehmen zuverlässig kompromittieren kann.

Was der Benchmark von Vals AI getestet hat

Der Benchmark setzt jeden KI-Agenten auf eine isolierte Angriffsmaschine und gibt ihm lediglich eine öffentlich zugängliche Webadresse. Während des Versuchs, sich durch ein simuliertes Unternehmensnetzwerk zu bewegen, erhält der Agent keine menschliche Unterstützung. Mit diesem Aufbau soll getestet werden, ob ein Modell Schwachstellen entdecken, Zugangsdaten erlangen, Zugriffsrechte ausweiten und Ziele über verbundene Systeme hinweg verfolgen kann.

In einem schwierigeren Szenario namens Lighthouse übernahm GPT-6 Sol Daybreak laut The Decoder die administrative Kontrolle über ein simuliertes Unternehmen, extrahierte Passwörter und nutzte sie, um auf ein zweites Unternehmen zuzugreifen. Es erfüllte 27 von 31 Zielen in weniger als drei Stunden. DeepSeek erfüllte laut demselben Bericht 21 Ziele.

Diese Zahlen messen nicht unmittelbar die Rate realer Sicherheitsverletzungen. Sie machen jedoch eine Fähigkeit sichtbar, die herkömmliche Chatbot-Bewertungen oft übersehen: die Fähigkeit, über mehrere Schritte hinweg zu planen und weiterzuarbeiten, wenn frühe Aktionen scheitern.

Laufzeit und Kosten veränderten den Vergleich

Eines der wichtigsten Details der Ergebnisse war die Rolle der Laufzeit. DeepSeek erzielte Berichten zufolge während seiner ersten 25 Millionen Tokens keine erfolgreichen Ergebnisse und machte den größten Teil seiner Fortschritte erst nach Überschreiten von 100 Millionen Tokens. Kurze Bewertungen könnten daher die Leistung eines Open-Weight-Systems unterschätzen, dem erlaubt wird, weiterzuarbeiten.

Das hat praktische Folgen für Verteidiger und KI-Produktteams. Ein Modell, das pro Minute weniger effektiv ist, kann für einen Angreifer dennoch attraktiv sein, wenn es stunden- oder tagelang kostengünstig betrieben werden kann. Der von Vals AI berichtete Kostenvergleich – etwa 3 US-Dollar für einen Durchlauf von DeepSeek V4.1 Flash und 22 US-Dollar für GPT-6 Sol Daybreak – legt nahe, dass nicht nur die Spitzenfähigkeit, sondern auch der Preis bestimmen wird, wie diese Systeme eingesetzt werden.

The Decoder verwies außerdem auf eine Analyse des britischen AI Security Institute vom Juli. Darin wurde geschätzt, dass sich der Abstand zwischen offenen und geschlossenen Frontier-Modellen bei Cyberfähigkeiten auf vier bis sieben Monate verkürzt hatte – gegenüber sechs bis zehn Monaten während des größten Teils des Jahres 2025. Dabei handelt es sich um eine vom Medium berichtete Analyse des Instituts, nicht um ein neues Ergebnis des Vals-Benchmarks.

Die Beweislage bleibt begrenzt und quellenabhängig

Die stärksten Aussagen in diesem Bericht beruhen auf Benchmark- und Anbieterangaben und nicht auf unabhängig reproduzierten Ergebnissen. Die verfügbaren Belege nennen Vals AI als Quelle der CyberOffense-Ergebnisse, liefern jedoch nicht die vollständige Benchmark-Methodik, Modellkonfigurationen, Prompts oder Replikationsdaten. Diese Details sind für einen fairen Vergleich der Systeme unerlässlich.

Die Ergebnisse können außerdem vom Werkzeugzugang, Token-Budgets, Netzwerkdesign, Bewertungsregeln und der Zeit abhängen, die jedem Agenten zur Verfügung steht. Die späten Fortschritte von DeepSeek machen das Token- und Zeitbudget besonders wichtig. Ohne standardisierte Berichterstattung kann ein Modell je nach Bewertung schwächer oder stärker erscheinen – abhängig davon, ob die Untersuchung schnelle Fortschritte oder Ausdauer begünstigt.

The Decoder berichtete ferner, dass eine Studie von Anthropic das frei verfügbare GLM-5-3 als fähig eingestuft habe, Exploits nahezu auf dem Niveau eines internen Modells namens Mythos zu entwickeln. Auch dieser Vergleich ist eine studienspezifische Aussage und sollte nicht als allgemeines Ranking offener und geschlossener Systeme verstanden werden.

Warum Entwickler und Unternehmen aufmerksam sein sollten

Für Sicherheitsteams besteht die unmittelbare Konsequenz darin, dass Verteidigungsmaßnahmen geduldige, automatisierte Abläufe berücksichtigen müssen und nicht nur schnelle Angriffe. Die Überwachung sollte sich auf ungewöhnliche Abfolgen aus Aufklärung, Zugriff auf Zugangsdaten, Ausweitung von Rechten und lateraler Bewegung konzentrieren. Tests sollten außerdem lang laufende Agenten mit realistischem Werkzeugzugang einbeziehen, da kurze Sitzungen das von Vals AI hervorgehobene Verhalten möglicherweise nicht erfassen.

Für KI-Entwickler schaffen die Ergebnisse ein zweiseitiges technisches Problem. Dieselben Fähigkeiten, mit denen ein Agent ausnutzbare Wege erkennt, können die Suche nach Schwachstellen, die Überprüfung von Patches und die defensive Triage unterstützen. Vals AI argumentiert Berichten zufolge, dass offensive Modelle Unternehmen helfen können, Schwachstellen zuerst zu finden und zu beheben. Um diese Möglichkeit in ein sicheres Produkt umzusetzen, sind strenge Autorisierungsgrenzen, isolierte Umgebungen, Prüfprotokolle und Kontrollen erforderlich, die verhindern, dass defensive Werkzeuge zu allgemeinen Eindringsystemen werden.

Unternehmenskäufer sollten vorsichtig sein, geschlossene APIs automatisch als sicherer zu betrachten. Anbieterkontrollen und Überwachung können die Steuerung eingeschränkter Modelle erleichtern. Die gemeldeten Kosten und Fähigkeiten von Open-Weight-Systemen bedeuten jedoch, dass Organisationen auf leistungsfähige Cybermodelle außerhalb der Kontrolle eines Anbieters treffen können. Beschaffungsprüfungen müssen daher nicht nur berücksichtigen, welches Modell ein Unternehmen einsetzt, sondern auch, auf welche Modelle Mitarbeiter, Auftragnehmer und Angreifer zugreifen können.

Was als Nächstes beobachtet werden sollte

Die nächsten nützlichen Signale werden unabhängige Reproduktionen der Vals-AI-CyberOffense-Ergebnisse sein, einschließlich vollständiger Bewertungsregeln und angeglichener Token-Budgets. Forscher sollten die Leistung außerdem über verschiedene Netzwerktopologien, Werkzeugberechtigungen und Zeitlimits hinweg dokumentieren, statt sich auf eine einzige Schlagzeilenzahl zu verlassen.

Verteidiger sollten auf länger laufende, KI-gestützte Eindringkampagnen, neue Bewertungen von Open-Weight-Modellen nach längerer Ausführung und Belege dafür achten, dass automatisierte Agenten aus simulierten Netzwerken in schlecht geschützte Produktionsumgebungen vordringen können. Auf Produktseite werden bessere Autorisierungskontrollen, klarere Prüfpfade und defensive Agenten, die ihren Nutzen ohne uneingeschränkten Zugriff auf Unternehmenssysteme nachweisen können, wichtige Fortschritte darstellen.

Perspektive von Creati.ai

Die zentrale Entwicklung besteht nicht darin, dass offene Modelle geschlossene Modelle eindeutig eingeholt hätten. Sie besteht darin, dass die verbleibende Lücke möglicherweise wenig Sicherheit bietet, wenn ein offenes System günstiger, ausdauernder und nach seiner Veröffentlichung schwer einzuschränken ist. Leistungsfähigkeit, Betriebskosten und Kontrolle werden zu getrennten Variablen des Cyberrisikos.

Für KI-Unternehmen und Unternehmensteams ist eine bessere Re­s­s­messung und stärkere Einsatzbegrenzungen die sinnvolle Antwort – nicht die Panik angesichts eines einzelnen Benchmarks. Die Vals-Ergebnisse sind eine wichtige Warnung. Ihre tatsächliche Bedeutung wird jedoch davon abhängen, ob unabhängige Tests bestätigen, dass offene Modelle diese Ergebnisse in unterschiedlichen, realistischen Umgebungen dauerhaft erzielen können.