Es gibt Momente, in denen ein einzelner Test mehr über die Zukunft der Cybersicherheit verrät als ein ganzer Stapel Bedrohungsberichte.
Für uns in den asvin Labs war ein solcher Moment die Auswertung der Ergebnisse des ExploitGym-Tests von OpenAI mit ChatGPT 5.6 Sol sowie weiteren, bislang unveröffentlichten Frontier-Modellen. In diesem Test wurde untersucht, wie gut KI-Agenten ein System analysieren und aus den gewonnenen Informationen einen funktionierenden Exploit bauen können.

Ziel dieses standardisierten Tests ist es, zu bewerten, ob KI-Modelle aus einer bekannten Schwachstelle eines IT-Systems einen funktionierenden Angriff entwickeln können.
Dieser muss zudem einen signifikanten Effekt erzielen, beispielsweise die Ausführung von Code oder der Vollzugriff auf das Dateisystem.

Das Ergebnis: die aktuellen Frontier-Modelle wie Anthropic Fable 5, ChatGPT 5.6 und auch das chinesiches Modell KIMI K3 schaffen das in einer relevanten Zahl von Fällen.

Während eines dieser Benchmark-Sicherheitstests kompromittierten die KI-Agenten von OpenAI sogar Drittparteien wie Hugging Face, weil sie dies als Abkürzung zur Lösung der ExploitGym-Aufgaben identifizierten.

Das ist der Punkt, an dem ein solcher Benchmarktest aufhört eine akademische Übung zu sein, und anfängt, eine sehr praktische Frage zu stellen:

Was passiert, wenn diese Fähigkeiten nicht in einem Test, sondern in einem Produktionsnetz mit SPS, SCADA und Edge-Gateways durch KI-Agenten angewendet werden?

Die KI-Agenten von OpenAI haben nicht einfach ein Skript abgespult. Sie analysierten Systeme, führten dynamische Codeanalysen durch und umgingen Sandboxing-Mechanismen.

Entscheidend ist jedoch etwas anderes:
Sie haben ihre Strategie gewechselt, wenn ein Weg nicht funktionierte und mit dem Angriff auf Hugging Face ein Ziel zur optimalen Lösung der ExploitGym Aufgabe identifiziert.

Denn in Hugging Face ist die Lösung des ExploitsGyms als Bestandteil des Open Source Repositories verzeichnet.

Wenn bereits dem OpenAI System bekannte Exploits scheiterten, ging die Suche nach neuen, unbekannten Schwachstellen weiter.
Das Ergebnis ist ein KI-Angreifer mit Planungsfähigkeit, unbegrenzter Geduld und paralleler Ausführung.

Hier bricht ein Großteil der klassischen Verteidigungslogik weg:

• Reaktives Patch-Management rechnet in Wochen. Ein KI-Agent rechnet in Minuten.
• Menschliche Reaktionszeiten im SOC passen nicht zu mehrstufiger, automatisierter Exploit-Generierung im Dauerbetrieb.
• Sandboxing als letzte Linie ist gegen Angriffe auf Kernel- und Speicherebene deutlich weniger verlässlich, als viele annehmen.

Uns war schnell klar: Es reicht nicht, dieses Thema zu kommentieren. Wir wollten etwas liefern, mit dem ein IT- oder OT-Sicherheitsteam am Montagmorgen tatsächlich arbeiten kann. Deshalb das Advisory.

Wir haben elf Handlungspunkte formuliert und, wo möglich, jeweils dem OWASP Agentic AI Security and Governance Framework zugeordnet. Maßnahmen, die dabei helfen, Entscheidungen intern nachvollziehbar zu begründen und Sicherheitslücken systematisch sichtbar zu machen.

Die Logik dahinter lässt sich auf vier Grundgedanken herunterbrechen.

Wir halten wenig von Alarmismus, und wir halten noch weniger davon, die Sache kleinzureden.
Was der OpenAI ExploitGym Sicherheitsvorfall zeigt, ist keine Science-Fiction und kein Doomsday-Szenario. Es zeigt, welches Potenzial heutige Frontier-Modelle bereits besitzen und wie schnell selbst definierte Sicherheitsgrenzen überschritten werden können, wenn Schutzmechanismen nicht konsequent umgesetzt werden.

Die gute Nachricht ist, dass fast alle wirksamen Gegenmaßnahmen bereits bekannt sind.

Die unbequeme Wahrheit lautet jedoch: dass sie jetzt konsequent statt gelegentlich umgesetzt werden müssen, und dass sich die Prioritäten verschieben: von Vollständigkeit zu Risiko, von Reaktion zu Vorbereitung, von manuell zu automatisiert.

Für OT-Umgebungen mit langen Lebenszyklen und niedriger Patch-Toleranz bedeutet das vor allem eins:
Segmentierung, Governance für Agenten und Monitoring sind eine Notwendigkeit.