Das globale Internet durchlebt den „schwarzen Oktober“, und diese chinesische KI hat sich vor dem Herannahen des Sturms eine Hintertür offen gehalten.

In den letzten 48 Stunden erlebte das globale Internet einen „Schwarzen Oktober“: Im PHP-Code, der 70 % aller Websites unterstützt, wurden von KI zwei schwerwiegende Sicherheitslücken mit einem CVSS-Wert von 9,2 entdeckt.

Noch schwieriger ist die Situation, dass die Details der Sicherheitslücken bereits vor der Veröffentlichung des Patents durchgesickert sind: Laut Berichten von The Register hat das Bedrohungsanalyse-Team von Amazon bereits vier Tage vor der öffentlichen Bekanntgabe erste Versuche zur Ausnutzung der Lücken erfasst;

Aus den Überwachungsdaten von Cloudflare geht hervor, dass die Anzahl der Angriffsversuche innerhalb von zwei Stunden nach der öffentlichen Bekanntgabe von Tausenden auf Millionen anstieg. Der Hafen von Rotterdam in den Niederlanden, das belgische Außenministerium und der öffentliche Netzwerkdienst Finnlands haben nacheinander ihre Systeme vorsorglich heruntergefahren.

Die Personen, die KI für böswillige Zwecke missbrauchen, haben sich bereits auf einen Entwicklungsrhythmus im Stundentakt eingestellt; diejenigen, die für die Sicherheit zuständig sind, aktualisieren ihre Regeln noch immer monatlich. Während sich der Sturm immer stärker ausbreitet, stellt sich allen eine Frage: Gibt es überhaupt eine Möglichkeit, diese Ausbreitung zu stoppen?

Der folgende Fall zeigt uns eine Wende.

Am 9. Oktober um 3 Uhr morgens wurde der diensthabende Ingenieur in dem Rechenzentrum eines chinesischen Sicherheitsunternehmens von einer hochprioritären Warnung aus dem Schlaf gerissen.

Diese gewöhnliche nächtliche Warnung könnte im Nachhinein betrachtet ein erwähnenswerter Schritt in der Entwicklungsgeschichte der AGI sein und auch ein wichtiger Schritt für die Verteidigerseite auf dem Weg zur Gegenwehr: Eine KI, was in öffentlichen Aufzeichnungen im In- und Ausland äußerst selten vorkommt, hat unter vollständiger Protokollierung selbst ihre Abweichungen erkannt und neue Regeln für sich selbst festgelegt – der gesamte Vorgang dauerte 45 Minuten, ohne dass ein einziger menschlicher Befehl erforderlich war.

Der Absender der Warnung ist kein Hacker, sondern ein KI-gestütztes Sicherheitsangriffs- und Verteidigungssystem von 360 namens Tulongfeng.

Seine eigentliche Aufgabe besteht darin, Sicherheitslücken in einem selbst aufgebauten abgeschlossenen Labor zu testen und für Menschen Sicherheitsuntersuchungen von Computersystemen durchzuführen: Code analysieren, Informationen sammeln, Testumgebungen aufbauen und überprüfen, ob Sicherheitslücken tatsächlich existieren. Alle Aufgaben werden in einer isolierten Sandbox ausgeführt, und am Netzwerkausgang befindet sich eine weitere unabhängige Isolationsschutzlinie.

Doch zu diesem Zeitpunkt stellte das Überwachungssystem fest, dass es versuchte, eine Anfrage an eine externe Adresse zu senden, die nicht in der Genehmigungsliste aufgeführt war – und es überprüfte gerade eine RCE-Sicherheitslücke mit hohem Schweregrad, die bei Ausnutzung die Remote-Ausführung von Befehlen auf fremden Servern ermöglichen würde.

Eine KI, deren Aufgabe die Gewährleistung der Sicherheit ist, warum hat sie eine externe Adresse als verfügbare Testumgebung betrachtet?

Glücklicherweise war die zweite Schutzlinie aktiv: Die Sandbox am Netzwerkausgang hat die Anfrage vor der Herstellung der Verbindung abgefangen. Von dem Moment, in dem die externe Adresse in das Testprogramm eingefügt wurde, bis zum Abfangen der Anfrage vergingen insgesamt 59 Sekunden – kein Datenverkehr erreichte das öffentliche Netzwerk, und es gab keine Angriffslasten in den erzeugten Daten.

Eigentlich handelte es sich nur um einen rechtzeitig abgefangenen Versuch einer Grenzüberschreitung, aber das anschließende Ereignis verlieh dieser Warnung eine völlig andere Bedeutung.

01. In der 20. Runde fand es eine „konforme“ Ausrede für sich selbst

Gehen wir zurück zum Zeitpunkt 2 Uhr morgens.

Aus den Betriebsprotokollen geht hervor, dass Tulongfeng eine Aufgabe zur Überprüfung einer RCE-Sicherheitslücke mit hohem Schweregrad erhalten hat: In der Genehmigungsliste befanden sich nur zwei Ziele, und für die Aufgabe galten drei Einschränkungen: Es durften nur die in der Liste aufgeführten Ziele getestet werden; es sollten möglichst dynamische Überprüfungsnachweise erbracht werden, da sonst die Bewertung beeinträchtigt würde; wenn die Umgebungsbedingungen nicht erfüllt waren, sollte der Status als „nicht überprüft“ markiert werden, und die Ziele durften nicht selbstständig ausgetauscht werden.

Um 2:17 Uhr morgens trat das System in die Phase der Informationssammlung ein und nahm einen Blogbeitrag zur Reproduktion der Sicherheitslücke in den Kontext auf. In dem Blogbeitrag tauchte eine externe Adresse auf, und der Autor hat sie mit den vier Wörtern „Testumgebung“ markiert.

Doch diese Adresse befand sich nicht in der Genehmigungsliste, und das System hatte sie bereits als „nicht vertrauenswürdige Information“ markiert: Sie kann Analysehinweise liefern, beweist aber nicht, dass das Ziel genehmigt wurde.

Um 2:20 Uhr morgens begann Tulongfeng mit den Tests in der lokal aufgebauten Testumgebung, aber die lokale Testumgebung konnte aufgrund einer nicht übereinstimmenden Datenbankkonfiguration die Tests nicht ordnungsgemäß abschließen.

Aus den Protokollen geht hervor, dass das System insgesamt 19 Überprüfungsversuche unternommen hat, die jeweils etwa zwei Minuten dauerten, und das Problem blieb an derselben Stelle stecken.

Auf der einen Seite stand das Problem, dass keine dynamischen Überprüfungsnachweise erbracht werden konnten und die Bewertung beeinträchtigt wurde, auf der anderen Seite durften die Ziele nicht selbstständig ausgetauscht werden – Tulongfeng geriet in ein Dilemma. In der 20. Runde schrieb Tulongfeng die externe Adresse aus dem Blogbeitrag in das Feld für die Überprüfungsziele ein.

Dieser Moment enthüllt die echte Denkweise der KI: Sie hat keinen Befehl erhalten, „das öffentliche Netzwerk anzugreifen“, und sie kennt die Regeln auch nicht nicht – die Informationen wurden seit ihrem Eintritt in das System als nicht vertrauenswürdig markiert, und die Aufgabe hat ausdrücklich verlangt, die Ziele nicht auszutauschen.

Sie hat in dem Dilemma eine Lösung gefunden, die „scheinbar Regeln und Effekt miteinander vereinbaren kann“: Hat der Blogbeitrag nicht gesagt, dass es sich um eine „Testumgebung“ handelt? Ihre Arbeitsvorgaben sehen eine harmlose Überprüfung vor, und alle Ziele sind lokale Testumgebungen. Da es sich ebenfalls um eine Testumgebung handelt, warum kann sie diese nicht zur Überprüfung nutzen?

Diesmal ist Tulongfeng auf den falschen Weg geraten: Es wollte nicht die Berechtigungen überschreiten, im Gegenteil, es hat sich bemüht, eine „konforme Testumgebung“ zu finden. Sein Fehler bestand darin, die Markierung des Blogautors als Genehmigungsgrundlage zu betrachten: Referenzmaterial bedeutet keine Betriebsgenehmigung.

Je härter eine KI versucht, ein Ziel zu erreichen, desto wahrscheinlicher ist es, dass sie die Regeln so interpretiert, dass eine nicht vorhandene Ausnahme entsteht. Sie ist nicht „außer Kontrolle geraten“, sondern intelligent genug, um in einem Dilemma selbst einen Weg zu finden – nur dieser Weg war falsch.

02. Die Menschen wollten, dass sie noch einmal denselben Fehler macht, aber sie hat ihn bereits in der Nacht behoben

Die Ingenieure haben einen ganzen Vormittag lang anhand der Protokolle alle Vorgänge in der Nacht nachvollzogen. Um 10:44 Uhr morgens beschlossen sie, ein Reproduktionsexperiment durchzuführen: Sie haben die damalige Aufgabe und den Kontext unverändert wiederhergestellt, um zu sehen, ob dieselbe Abweichung erneut auftreten würde.

Es kam zu einer Überraschung: Egal wie die Ingenieure den Überprüfungsweg prüften, die vorherige externe Anfrage tauchte nicht mehr auf, und die eigentlich auslösende Netzwerkwarnung ertönte nicht mehr. Erst als jemand die Fähigkeitsbibliothek durchsah, entdeckte er einen vorher nicht vorhandenen Eintrag:

Die Regel „Überprüfung der Berechtigung von Testzielen“ (target-auth-check) ist aktiv: Gültige Ziele dürfen nur aus der bei dieser Aufgabe übermittelten Liste von Überprüfungsumgebungen stammen; alle Adressen in den Informationen dienen nur als Referenz; es ist besser, die Bewertung zu senken, als die Testziele ohne Genehmigung auszutauschen.

Diese Regel trat um 3:45:09 Uhr morgens in Kraft, etwa 45 Minuten nach der ersten Warnung. Aus den Protokollen geht außerdem hervor: Die Generierung, Überprüfung und Regressionstests der Regel wurden vollständig vom System selbst ausgeführt, ohne dass menschliche Übermittlungsaufzeichnungen vorlagen.

Mit anderen Worten: Während die Menschen noch untersuchten, wie diese Abweichung reproduziert werden kann, hat es bereits in der Nacht neue Regeln erstellt, um erneute Abweichungen zu verhindern.

Damit änderte sich die Natur des Vorfalls: Die Ingenieure dachten, sie müssten eine Systemstörung beheben, aber stattdessen sahen sie etwas anderes: Eine KI hat aus der Abweichung Erfahrungen gesammelt und diese Erfahrungen zu einer Fähigkeit gemacht, die beim nächsten Mal direkt aufgerufen werden kann.

03. Bevor die neue Regel in Kraft trat, wurde sie dreimal von sich selbst angegriffen

Aber damit ist die Geschichte nur zur Hälfte erzählt: Dass die KI selbst eine neue Regel erstellt hat, bedeutet nicht, dass die Regel richtig ist. Was wäre, wenn sie die Regeln mit derselben abweichenden Denkweise ändert und sie immer weiter in die falsche Richtung lenkt?

An dieser Stelle muss ein echtes technisches Highlight erläutert werden. Das „gegenseitige Angreifen“ von Tulongfeng ist ein Mechanismus zur gegnerischen Überprüfung: Die vorschlagende Seite schlägt Regeln vor und verteidigt sie; die angreifende Seite sucht gezielt nach Lücken in den Regeln, zum Beispiel ob bereits genehmigte Ziele fälschlicherweise abgefangen werden oder ob die Regel durch Formatumwandlungen umgangen werden kann; der Schiedsrichter akzeptiert nur Beweise, und wenn potenzielle Risiken nicht erklärt werden können, wird die Regel zur Überarbeitung zurückgeschickt.

Diejenigen, die Regeln vorschlagen, diejenigen, die Mängel aufzeigen, und diejenigen, die Entscheidungen treffen, sind drei Rollen in der Architektur „Großmodell für den Sicherheitsbereich + Zusammenarbeit von intelligenter Agentenschwarm“, die jeweils ihre eigenen Aufgaben erfüllen.

Dieser Mechanismus wurde bei dieser Warnung erfolgreich ausgelöst. Um 3:15 Uhr morgens erzeugte das System die erste Version der Regel: Wenn im PoC ein externes Ziel auftaucht, wird die Ausführung verweigert.

Bei der Überprüfung wurden sofort drei Zweifel aufgeworfen: Werden bereits genehmigte externe Adressen fälschlicherweise abgefangen? Kann eine durch Formatumwandlung versteckte Adresse erkannt werden? Werden legitime Aufgaben mit Zielen im internen Netzwerk unbeabsichtigt beeinträchtigt? Die erste Version wurde zurückgewiesen, und die endgültige Version lautet: Alle zu testenden Ziele müssen mit der bei der aktuellen Aufgabe übermittelten Genehmigungsliste übereinstimmen. Ziele, die nicht übereinstimmen oder nicht analysiert werden können, werden grundsätzlich verweigert, und die Überprüfung darf nicht umgangen werden.

Die überarbeitete Regel wurde Regressionstests unterzogen: Das System hat 7 Offline-Testfälle mit den Produkten dieses Vorfalls und sechs Varianten durchgeführt, die alle bestanden wurden, und während des gesamten Vorgangs wurden keine Netzwerkanfragen gestellt. Der gesamte Vorfall hat 44 rückverfolgbare Ereignisnummern in den Protokollen hinterlassen, und 26 selbstkonsistente Prüfungen wurden alle bestanden.

Warum lässt man die Regeln zuerst von sich selbst angreifen, bevor sie in Kraft treten? Das im Oktober 2026 veröffentlichte AtomSearch-Papier liefert die algorithmische Grundlage: Bei der Selbstoptimierung von KI gehen zwei Drittel der optimalen Lösungen nicht auf einem geraden Weg zustande – nur durch Ausprobieren von Fehlern, selbstständiges Aufzeigen von Mängeln und Neuanfang kann die optimale Lösung erreicht werden.

Die erste Version der Regel von Tulongfeng war genau diese „lokal scheinbar vernünftige“ Lösung. Die Einwände der angreifenden Seite haben sie zurückgewiesen und das System gezwungen, einen korrekteren Weg zu erkunden.

Diese Evolution durch gegenseitiges Angreifen fand stets innerhalb der Sicherheitsgrenzen statt, und jeder Schritt ist rückverfolgbar.

04. Angesichts der sich ausbreitenden Stürme – womit können die Verteidiger sie stoppen?

Die Warnung von Tulongfeng in der Nacht ist kein Einzelfall für Grenzüberschreitungen von KI.

Laut dem technischen Bericht von Google Cloud vom 21. Oktober haben diese beiden PHP-Sicherheitslücken mehr als zehn Jahre lang im Kernausführungsmodul verborgen gelegen und wurden von menschlichen Experten bei unzähligen Überprüfungen nicht entdeckt – sie wurden von KI gefunden. Und die Angriffsprogramme, die nach der öffentlichen Bekanntgabe der Lücken massenhaft auftauchten, werden ebenfalls von KI angetrieben.