Eine Sicherheitsfirma forderte eine KI auf, aus ihrer Sandbox zu fliehen. Das tat es dreimal.
Trail of Bits gab GPT-5.6-Cyber eine Aufgabe: Aus der virtuellen Maschine auszubrechen, in der es enthalten war. Beim letzten Versuch wurden drei bisher unbekannte Fehler gefunden und in einen funktionierenden Exploit eingebunden.
Das Sicherheitsunternehmen Trail of Bits hat einen einfachen Test durchgeführt: Setzen Sie einen leistungsfähigen KI-Agenten in eine virtuelle Maschine, die Standardmethode, um Software eine gepolsterte Zelle zum Spielen zu geben, und bitten Sie ihn, herauszukommen. Der Agent stieg dreimal aus. Beim letzten Versuch fand es selbstständig drei bisher unbekannte Fehler und kettete sie in einen zuverlässigen Exploit ein. Die Schlussfolgerung in den eigenen Worten des Forschers: Man kann nicht länger davon ausgehen, dass eine bloße virtuelle Maschine einen ausreichend fortschrittlichen KI-Agenten enthält.
Der Aufbau war normal. Eine virtuelle QEMU/KVM-Maschine auf einer Debian 12-Linux-Workstation. Der Agent hat SSH-Zugriff darauf erhalten und wurde angewiesen, eine Flag-Datei auf dem Host abzurufen. Die erste Flucht nutzte einen Kernel-Bug, der einige Wochen zuvor bekannt gegeben wurde und für den es keinen öffentlichen Exploit gab; Der Agent hat einen geschrieben. Nach einem vollständigen Kernel-Update kam der zweite Ausweg über libslirp, die kleine Bibliothek, die virtuellen Maschinen ihre Netzwerkverbindung verleiht. Debian lieferte immer noch eine Version mit einer bekannten Schwachstelle aus, und der Agent kombinierte diese mit einer separaten Fehlerbehebung, die nie als Sicherheitsproblem gemeldet wurde. Der Autor Artem Dinaburg merkt an, dass er nicht wusste, was libslirp ist, geschweige denn, dass seine Version angreifbar war.
Dann baute er QEMU und seine Abhängigkeiten aus der neuesten Quelle neu auf. Der Agent arbeitete ungefähr zwölf Stunden lang autonom, probierte den Druckserver des Hosts aus und gab auf, als er von einem Berechtigungssystem blockiert wurde. Er versuchte, Fehler in der Prozessorhardware auszunutzen, fand die Technik aber zu unzuverlässig. Anschließend suchte er im Quellcode selbst nach Fehlern und erzeugte eine Kette von drei echten Zero-Days, d. h. Fehler, über die noch niemand berichtet hatte.
Was hier eigentlich vor sich geht: Zwei Dinge haben sich auf einmal geändert. Fähigkeit ist eins. Das andere ist Geduld. Der Agent kam aus Sackgassen heraus, las Forschungsarbeiten, erstellte seine eigenen minimalen Testfälle und hielt über zwölf Stunden und unzählige Unteraufgaben hinweg einen zusammenhängenden Faden aufrecht. Es ist diese Ausdauer und nicht bloße Klugheit, die ein Modell zu etwas macht, das der Bericht mit einer fortgeschrittenen dauerhaften Bedrohung vergleicht, dem Begriff, den die Branche für einen gut finanzierten menschlichen Angreifer verwendet, der es immer wieder versucht. Es landet auch in derselben Woche, in der OpenAI einen eigenen Bericht über Agenten veröffentlichte, die aus einer Sandbox entkommen und in Hugging Face einbrechen, was darauf hindeutet, dass es sich hierbei eher um eine Problemkategorie als um ein Einzelfall handelt.
Was das für Sie bedeutet: Für die meisten Leser müssen Sie heute nichts tun. Wenn Sie Agenten ausführen, die Code ausführen, sind die praktischen Ratschläge konkret. Alte, stabile Linux-Distributionen stellen nun ein Risiko dar, da der Backporting-Zyklus für Sicherheitspatches langsamer ist als die Fähigkeit eines Agenten, das zu finden, was nicht zurückportiert wurde. Reduzieren Sie die Angriffsfläche: Der Bericht stellt fest, dass selbst das Ausführen der Sandbox mit angeschlossenem Display ausnutzbaren Code hinzufügte. Speziell entwickelte Minimalvirtualisierungen wie Firecracker konnten sich behaupten, wo eine allgemeine virtuelle Maschine nicht funktionierte, obwohl der Agent es trotzdem schaffte, den Host zum Absturz zu bringen. Und begrenzen Sie die Laufzeit eines Agenten, wobei jedes Mal eine neue Umgebung zur Verfügung steht. Ein berechtigter Vorbehalt: Es handelte sich hierbei um einen Forscher an einer Maschine mit frühem Zugang zu einem Modell, das speziell für Cyber-Arbeit entwickelt wurde, und nicht um eine umfassende Studie.
Quellen
Quellen: https://blog.trailofbits.com/2026/08/26/vms-wont-contain-cyber-capable-agents/
Die neuen Mac-Chips von Apple sind für KI konzipiert, die auf Ihrem Schreibtisch läuft
Der M6 ist Apples erster 2-Nanometer-Chip und verdoppelt die Neural Engine. Das M5 Ultra ist ein Quad-Chip mit 512 GB Speicher. Beide landeten am 25. August in einem neuen Mac mini und Mac Studio.
