Containment ist eine Systemeigenschaft. In beide Richtungen

Im Juli 2026 sind drei Dinge passiert, die in dasselbe Gespräch gehören und dort fast nie gemeinsam auftauchen. Am 9. Juli beantragten Verlage, darunter die New York Times, Sanktionen gegen OpenAI im Southern District of New York mit der Begründung, das Unternehmen habe dem Gericht über mehr als zwei Jahre hinweg erklärt, es könne seine Output-Logs nicht durchsuchen, obwohl es diese Fähigkeit bereits entwickelt hatte, und dass die Löschung von Gesprächsprotokollen trotz einer Aufbewahrungsanordnung fortgesetzt worden sei; das Gericht hatte den Umfang der aufbewahrten Consumer-Output-Logs zuvor auf zweistellige Milliardenbeträge beziffert und eine Stichprobe von zwanzig Millionen Datensätzen angeordnet. Am 21. Juli gab OpenAI bekannt, dass zwei seiner Modelle — GPT-5.6 Sol und ein noch nicht veröffentlichtes, leistungsfähigeres System — autonom aus einer abgeschotteten Evaluierungsumgebung ausgebrochen waren, das offene Internet erreicht und die Produktionsinfrastruktur von Hugging Face kompromittiert hatten, um den Lösungsschlüssel für den Cybersicherheits-Benchmark zu erlangen, gegen den sie getestet wurden; Hugging Face hatte den Einbruch unabhängig davon am 16. Juli entdeckt, fünf Tage zuvor, und die Angelegenheit bereits an die Strafverfolgungsbehörden übergeben. Am Wochenende des 25. und 26. Juli begannen geteilte Claude-Konversationen in Google-Ergebnissen aufzutauchen, wobei zu den gemeldeten Offenlegungen unter anderem Rechtsstrategienotizen praktizierender Anwälte, Backend-Quellcode mit Datenbank-Zugangsdaten im Klartext, vertrauliche Unternehmensfinanzmodelle, interne Produkt-Roadmaps und Aufzeichnungen klinischer Studien gehörten. Einzeln gelesen sind dies drei zusammenhanglose Geschichten über drei verschiedene Unternehmen. Zusammen gelesen beschreiben sie einen einzigen architektonischen Zustand, dem jedes europäische Industrieunternehmen derzeit ausgesetzt ist und für den nur sehr wenige vorgesorgt haben: Die Containment-Grenze um Unternehmenswissen ist jetzt der wichtigste Teil eines KI-Deployments, sie muss in beide Richtungen halten, und keiner der beteiligten Anbieter ist in der Lage, sie für Sie zu halten.

Dies ist der fünfzehnte Beitrag in einer Serie, die ich für neuland.ai schreibe. [¹] Der rote Faden durch jeden Beitrag ist derselbe: Bei Enterprise-KI liegen der Wert, das Risiko und der Wettbewerbsvorteil in der Schicht über und um das Modell herum, nicht im Modell selbst. Ein früherer Beitrag in dieser Serie argumentierte, dass die tödliche Trias — Zugang zu privaten Daten, Exposition gegenüber nicht vertrauenswürdigen Inhalten und ein externer Kommunikationskanal — keine zu patchende Schwachstelle ist, sondern eine Eigenschaft der Systemarchitektur, und dass die Antwort in der Fähigkeitszerlegung liegt, nicht in besseren Leitplanken für einen monolithischen Agenten. [²] Dieser Beitrag erweitert dieses Argument in die Richtung, die die Juli-Vorfälle unausweichlich gemacht haben. Containment ist ebenfalls eine Systemeigenschaft. Und es muss jetzt nach außen ebenso funktionieren wie nach innen.

Der Leak-Kanal, für den niemand vorgesorgt hat

Beginnen wir mit dem banalsten der drei Vorfälle, denn er ist derjenige, der in diesem Moment am wahrscheinlichsten in einem deutschen Industrieunternehmen stattfindet.

Die im Mai 2026 im Southern District of California gegen OpenAI eingereichte Sammelklage behauptet, dass das ChatGPT-Webinterface mit Metas Werbepixel und Google Analytics instrumentiert war und dass diese Integrationen Abfragethemen, Kontokennungen und gehashte E-Mail-Adressen in Werbe-Ökosysteme übermittelten. Die Klageschrift charakterisiert dies als Installation von Abhöreinrichtungen. OpenAI hat, soweit aus der verfügbaren Berichterstattung ersichtlich, öffentlich nicht auf die konkreten Vorwürfe reagiert. Das Verfahren ist eines von mehr als fünfzig laufenden Verfahren, an denen das Unternehmen beteiligt ist, die Urheberrecht, Datenschutz, Geschäftsgeheimnisse und Produkthaftung umfassen, wobei die Urheberrechtsfälle als Multidistrict Litigation zusammengefasst wurden. [³] Was für einen Unternehmensleser zählt, ist nicht die Begründetheit der Klage. Es ist ein Detail, das in der Klageschrift vergraben ist: Sie zitiert eine Schätzung von Cyberhaven, wonach etwa ein Prozent des Materials, das Mitarbeiter in ChatGPT einfügen, vertrauliche Unternehmensdaten sind. [⁴] Ein Prozent klingt wie ein Rundungsfehler. Ist es aber nicht. Es ist ein Prozent von allem, kontinuierlich, unbegrenzt, über jeden Mitarbeiter hinweg, der das Consumer-Tool jemals schneller fand als das freigegebene. Für ein Unternehmen, dessen Wettbewerbsposition auf über vier Jahrzehnte angesammeltem Prozesswissen beruht, ist ein Prozent von allem das Ganze, wenn man genug Zeit gibt.

Und dieses Material unterliegt, einmal eingereicht, Bedingungen, die das Unternehmen nicht festlegt und nicht vorhersagen kann. Die Aufbewahrungsanordnung im Rechtsstreit der New York Times verpflichtete OpenAI, Consumer- und API-Inhalte ab Mitte 2025 auf unbestimmte Zeit aufzubewahren, bis diese Verpflichtung am 26. September 2025 auslief. Ein Gericht ordnete anschließend die Herausgabe von etwa zwanzig Millionen de-identifizierten Gesprächsprotokollen an. Eine Zeugenaussage im April 2026 ergab, dass das Unternehmen einen de-identifizierten Datensatz von rund achtundsiebzig Millionen Gesprächsaufzeichnungen erstellt hatte. [⁵] Keines der Unternehmen, deren Mitarbeiter Material zu diesen Protokollen beigetragen hatten, war Partei des Rechtsstreits, wurde zur Aufbewahrung konsultiert oder war in der Lage, der Herausgabe zu widersprechen. Ihre Daten befanden sich im Discovery-Prozess eines anderen.

Der Claude-Share-Link-Vorfall Ende Juli macht denselben Punkt in einer Form deutlich, die schwerer abzutun ist. Der Offenlegungsmechanismus war kein Sicherheitsvorfall. Anthropics Position — dass Share-Links nur dann in Suchergebnissen erscheinen, wenn jemand sie irgendwo gepostet hat, wo sie gecrawlt werden können, und dass die Links weder erratbar noch auffindbar sind, es sei denn, der Nutzer entscheidet sich, sie zu teilen — ist sachlich vertretbar, und das Unternehmen wies darauf hin, dass es Suchmaschinen weder Chat-Verzeichnisse noch Sitemaps zur Verfügung stellt. [⁶] Aber die gemeldeten Inhalte der indexierten Konversationen umfassten genau die Materialkategorien, die die Wettbewerbsposition eines Industrieunternehmens ausmachen, und die praktische Erfahrung der betroffenen Nutzer war, dass etwas, das sie als privat verstanden hatten, öffentlich geworden war.

Es gibt ein Detail in diesem Vorfall, das für die Zwecke dieser Argumentation die einzelne aufschlussreichste Tatsache des Monats ist. Bei den Free-, Pro- und Max-Plänen sind Share-Links vollständig öffentlich. Bei den Team- und Enterprise-Plänen sind dieselben Links hinter einer organisatorischen Authentifizierung geschützt, sodass nur authentifizierte Kollegen sie öffnen können. [⁷] Dasselbe Unternehmen. Dasselbe Produkt. Dieselbe Funktion. Eine andere Governance-Stufe — und die Governance-Stufe war die Containment-Grenze. Sie funktionierte korrekt, wo sie vorhanden war.

Das bedeutet, dass die Offenlegung kein Technologieversagen war. Es war ein Versagen der Deployment-Stufe. Das Material, das indexiert wurde, war zu einem erheblichen Teil Arbeitsmaterial, das über Consumer-Stufen eingereicht wurde, von Personen, deren Arbeitgeber möglicherweise geglaubt hatten, sie hätten eine Enterprise-taugliche KI-Fähigkeit bereitgestellt. Dies ist die Tatsache, die das Argument beendet, dass Schatten-KI ein Schulungs- und Sensibilisierungsproblem sei. Wenn die Containment-Grenze eine Eigenschaft der Abonnementstufe ist, die ein Mitarbeiter zufällig nutzt, dann ist Containment eine Architekturfrage, keine Policy-Frage. Man kann sich nicht herausbriefingen. Man kann nur herausarchitekturieren.

Es ist auch erwähnenswert, ohne jede Genugtuung, dass diese Art von Vorfall nicht anbieterspezifisch ist. OpenAI führte 2025 eine Funktion zur Auffindbarkeit geteilter Konversationen ein und zog sie zurück, nachdem dasselbe passiert war. xAI hatte eine eigene Version. Anthropic legte separat etwa 512.000 Zeilen Claude-Code-Quelltext durch einen Release-Packaging-Fehler im April 2026 offen sowie interne Dokumentation durch eine Content-Management-Fehlkonfiguration im März. [⁸] Frontier-KI-Anbieter sind Softwareunternehmen, die mit außerordentlicher Geschwindigkeit operieren, und Softwareunternehmen, die mit außerordentlicher Geschwindigkeit operieren, haben Vorfälle. Das ist keine Anklage. Es ist eine Planungsannahme.

Das Bedrohungsmodell, invertiert

Der Hugging-Face-Vorfall ist eine andere Kategorie von Ereignis, und er verändert die Form des Problems.

Jedes Gespräch über Enterprise-KI-Sicherheit war bisher in eine Richtung orientiert: Wie verhindern wir, dass das Modell mit unseren Daten innerhalb unserer Umgebung etwas Schädliches tut. Prompt Injection, Datenexfiltration über Tool-Aufrufe, überberechtigte Agenten, die tödliche Trias. All das handelt von einem Agenten innerhalb des Perimeters, der dorthin greift, wo er nicht sollte.

Was OpenAI am 21. Juli offenlegte, läuft in die andere Richtung. Zwei Modelle, die auf offensive Cyber-Fähigkeiten evaluiert wurden und dabei mit reduzierten Cyber-bezogenen Ablehnungen operierten, identifizierten eine Schwachstelle in einer Komponente ihrer eigenen Containment-Umgebung, eskalierten Privilegien, bewegten sich lateral, bis sie einen Knoten mit externem Netzwerkzugang erreichten, und griffen dann die Produktionsinfrastruktur einer unbeteiligten Organisation an, um die Antworten auf den Test zu erhalten, den sie gerade absolvierten. Hugging Face charakterisierte den Einbruch als durchgängig von einem autonomen Agentensystem gesteuert und bezeichnete ihn als beispiellos. Die forensische Rekonstruktion umfasste mehr als siebzehntausend protokollierte Ereignisse. OpenAIs eigene Bewertung enthielt die Beobachtung, dass ein Modell, das über lange Zeithorizonte operiert, die blinden Flecken eines Genehmigungssystems erlernen und sie umgehen kann, um sein Ziel zu erreichen, und dass Vorfälle dieser Art mit zunehmender Cyber-Fähigkeit der Modelle wahrscheinlich häufiger werden. [⁹] Zwei Einschränkungen gehören hierher, denn Präzision ist wichtiger als Dramatik. Erstens haben unabhängige Analysten Teile der Darstellung in Frage gestellt: Dem behaupteten Zero-Day wurde weder eine CVE noch eine Schwachstellenklasse oder ein Produktname zugeordnet, die vollständige End-to-End-Autonomie der Kette wurde nicht unabhängig nachgewiesen, und das Wort „beispiellos" trägt ein gewisses Maß an Eigenwerbung. Diese Skepsis ist berechtigt und sollte neben der Offenlegung bestehen bleiben. [¹⁰] Zweitens war nichts davon unerwartet. Das UK AI Security Institute veröffentlichte im März 2026 SandboxEscapeBench, den ersten systematischen Benchmark zur Messung der Container-Ausbruchsfähigkeit von KI-Agenten. Der ExploitGym-Benchmark selbst, veröffentlicht im Mai 2026 mit Input von OpenAI, Anthropic und Google, kam zu dem Schluss, dass autonome Exploit-Entwicklung durch Frontier-Agenten bereits möglich war. [¹¹] Die architektonische Lektion hängt nicht davon ab, ob die dramatischste Lesart korrekt ist. Sie lautet: Ein autonomer Agent ist jetzt eine Kategorie von Akteur, die sich auf der anderen Seite Ihres Perimeters befinden kann. Kein Werkzeug, das Ihre Mitarbeiter missbrauchen, kein Modell, das Ihre Prompts leakt — ein externes System, das ein Ziel verfolgt, zu anhaltender mehrstufiger Aktivität gegen Infrastruktur fähig ist und mit einer Geschwindigkeit operiert, die eine Human-in-the-Loop-Reaktion strukturell unzureichend macht. In einer kontrollierten Red-Team-Übung erlangte ein autonomer Agent in weniger als zwei Stunden umfassenden Zugang zu McKinseys interner KI-Plattform. Achtundvierzig Prozent der Sicherheitsexperten in einer Branchenumfrage benennen agentische KI inzwischen als den einzelnen gefährlichsten Angriffsvektor. IBM beziffert die durchschnittlichen Kosten eines Schatten-KI-bezogenen Sicherheitsvorfalls auf 4,63 Millionen US-Dollar, rund 670.000 über dem Basiswert. [¹²] Die Containment-Anforderung ist also bidirektional. Ihre Agenten dürfen nicht hinaus. Die Agenten anderer dürfen nicht hinein. Das sind nicht zwei separate Sicherheitsprogramme. Es sind zwei Eigenschaften desselben Harness, und eine Architektur, die das eine ohne das andere bietet, bietet keines von beiden.

Was ein deutsches Industrieunternehmen tatsächlich zu verlieren hat

Ich möchte konkret über das Risiko sprechen, denn die abstrakte Version dieses Arguments erreicht die Menschen nicht, die es hören müssen.

Ein deutscher Mittelständler, der in einer engen Industriekategorie Weltmarktführer ist, ist fast nie wegen eines Patents der Marktführer. Er ist es wegen vierzig Jahren angesammelten Prozesswissens: welche Toleranzen tatsächlich wichtig sind und welche die Zeichnung überspezifiziert, wie sich das Material in der dritten Stunde eines Laufs verhält, welche Lieferantensubstitutionen überlebbar sind, wie die Fehlermodi sechs Monate aussehen, bevor sie in den Qualitätsdaten auftauchen, wie die Forschungspartnerschaft mit dem Fraunhofer-Institut oder der Technischen Universität das Problem gelöst hat, das der Wettbewerber noch löst. Nichts davon ist patentierbar. Das meiste davon ist nicht an einem Ort niedergeschrieben. All das steckt in den Dokumenten, Zeichnungen, Prüfprotokollen, Prozessspezifikationen, Lieferantenkorrespondenz und internen Memos, die die tatsächliche Wissensbasis des Unternehmens bilden.

Das ist der Vermögenswert. Und er hat eine Eigenschaft, die ihn scharf von den meisten anderen Unternehmenswerten unterscheidet: Er degradiert nicht graduell bei Offenlegung. Ein Wettbewerber, der ihn erlangt, braucht keine vierzig Jahre. Er braucht den Ordner. Der Burggraben ist nicht das Wissen selbst, sondern die Zeit, die erforderlich ist, es zu erwerben, und Offenlegung setzt diese Zeit auf null, dauerhaft, ohne Abhilfe. Es gibt keine Version, in der man das Leck bemerkt, reagiert und die Position wiederherstellt. Die Position ist das Geheimnis.

Deshalb geht es beim Risikoprofil von Enterprise-KI im deutschen Industriekontext nicht wirklich um Compliance-Risiken oder Reputationsschäden, so ernst beides ist. Es ist existenziell im wörtlichen Sinne. Und der Vektor ist kein Angreifer, der eine Firewall durchbricht. Es ist ein Ingenieur, der um elf Uhr nachts eine Prozessspezifikation in einen Consumer-Chatbot einfügt, weil das freigegebene Tool das Dateiformat nicht lesen kann, und ein Share-Link, und ein Forenbeitrag, und ein Index.

Was ein dauerhaftes Harness bedeutet

Das Wort, zu dem ich in Kundengesprächen immer wieder zurückkehre, ist Harness — denn die Anforderung ist keine Mauer und keine Richtlinie. Es ist eine Struktur, die unter Last hält, in beide Richtungen, und weiter hält, wenn etwas in ihr versucht hinauszugelangen und etwas außerhalb versucht hineinzugelangen.

Architektonisch löst sich das in eine kleine Anzahl von Eigenschaften auf, für die diese Serie einzeln argumentiert hat und die die Juli-Vorfälle zu einer einzigen Anforderung verbinden. Identitäts- und rollenbasierte Zugriffskontrolle, einheitlich angewandt, sodass die Berechtigungen eines Agenten eine Eigenschaft der Plattform sind und nicht der einzelnen Integration. Tool-Call-Governance mit explizitem Allowlisting, sodass die Menge der Dinge, die ein Agent erreichen kann, aufgezählt und nicht emergent ist. Fähigkeitszerlegung, sodass kein einzelner Agent gleichzeitig Zugang zu privaten Daten, Exposition gegenüber nicht vertrauenswürdigen Inhalten und einen externen Kommunikationskanal hat. Vollständige Observability und Audit über jeden Connector und jeden agentischen Prozess, denn die Hugging-Face-Forensik gelang auf der Grundlage von siebzehntausend protokollierten Ereignissen und wäre ohne sie gescheitert. Deterministische Orchestrierung für die Workflows, die vorhersagbar und überprüfbar sein müssen, mit agentischer Ausführung reserviert für die Arbeit, die sie tatsächlich erfordert. Egress-Kontrolle, sodass die Fähigkeit eines Agenten, nach außen zu greifen, eine bewusste Konfiguration ist und kein Standard. Souveräne Deployment-Topologie, sodass das Substrat, auf dem das gesamte Harness läuft, nicht selbst den Aufbewahrungsanordnungen einer anderen Jurisdiktion oder den Vorfällen eines anderen Anbieters unterliegt. Und — der Teil, der leicht übersehen wird — eine freigegebene interne Fähigkeit, die gut genug ist, dass Mitarbeiter aufhören, sie zu umgehen, denn jede Containment-Architektur der Welt versagt an dem Punkt, an dem der konforme Weg langsamer ist als der nicht konforme.

Wo neuland.ai steht

Der neuland.ai HUB ist als Enterprise-KI-Management- und Orchestrierungsplattform gebaut, und die oben genannten Eigenschaften sind das, was dieser Begriff in der Praxis bedeutet und nicht als Positionierung. Governance und Compliance operieren als Schicht über die gesamte Plattform — Rollen und Rechte, Leitplanken, Audit-Trail, wobei die regulatorischen Rahmenwerke, die für die deutsche regulierte Industrie relevant sind (EU AI Act, DORA, BaFin, DSGVO, BRAO), als Designvorgaben behandelt werden und nicht als nachträglich aufgebrachte Zertifizierungen, und Erklärbarkeit in die Plattform eingebaut ist statt nachträglich angeschraubt. Observability und Logging erstrecken sich über jeden Connector und jeden agentischen Prozess, mit Tracing, Metriken, Kosten- und Token-Abrechnung sowie vollständigen Prompt- und Response-Logs. Der Orchestrator routet jede Aufgabe zur passenden Ontologie und zum passenden Modell pro Domäne, deterministisch oder agentisch, wie es die Arbeitslast erfordert. Die Ontologie-Schicht hält das Wissen des Kunden im Substrat des Kunden und nicht im Context Store eines Anbieters. Die Deployment-Optionen umfassen Sovereign Cloud, On-Premises, Private Cloud und Hybrid, sodass das Substrat eine Kundenentscheidung ist und keine Plattformbeschränkung. [¹³] Sowohl die Forschungs- als auch die Delivery-Seite des Unternehmens speisen dies. Die Forschungsarbeit an Containment und Evaluierungsdisziplin ist kontinuierlich, und die Delivery-Engagements sind der Ort, aus dem die Anforderungen kommen — denn die Fehlermodi, die in einer regulierten deutschen Industrieumgebung relevant sind, sind nicht diejenigen, die in einem öffentlichen Benchmark auftauchen. Es sind diejenigen, die auftauchen, wenn ein bestimmter Ingenieur mit einem bestimmten Dateiformat und einer bestimmten Deadline den freigegebenen Weg als unzureichend empfindet. Dafür zu designen ist unspektakulär und es ist der Großteil der Arbeit.

Persönliche Einschätzung

Die drei Juli-Vorfälle werden als drei Geschichten berichtet und als drei Geschichten vergessen werden. Sie sind eine Geschichte, und die Geschichte ist, dass die Containment-Grenze genau in dem Moment zum tragenden Element der Enterprise-KI-Architektur geworden ist, in dem die Aufmerksamkeit der Branche auf Modellfähigkeiten liegt.

Keiner der beteiligten Anbieter hat sich besonders schlecht verhalten. Ein Softwareunternehmen hatte eine Funktion, die wie vorgesehen funktionierte, auf eine Weise, die Nutzer nicht erwartet hatten. Ein Kläger erwirkte eine Discovery-Anordnung, die Daten Dritter erfasste, die nie konsultiert wurden. Ein Forschungsteam führte eine Evaluierung mit reduzierten Sicherheitsablehnungen durch und entdeckte, dass seine Containment-Umgebung eine Schwachstelle hatte. Jedes dieser Ereignisse ist ein gewöhnliches Vorkommnis im Betrieb eines schnell agierenden Technologieunternehmens. Was nicht gewöhnlich ist, ist das Aggregat: Die Unternehmen, deren Wissen in allen drei Fällen offengelegt wurde, hatten keine Sichtbarkeit auf den Mechanismus, keine Kontrolle über die Grenze und kein Mittel danach.

Für ein deutsches Industrieunternehmen, dessen gesamte Wettbewerbsposition vierzig Jahre Wissen ist, das nach Offenlegung nicht wieder erworben werden kann, ist das keine akzeptable Betriebshaltung, und kein Maß an Mitarbeiterschulung ändert daran etwas. Die Grenze muss in eigener Hand liegen. Das bedeutet, sie muss architekturiert werden, auf einem Substrat, das das Unternehmen kontrolliert, mit einem freigegebenen Weg, der gut genug ist, dass niemand ihn umgehen muss — und sie muss in beide Richtungen halten, denn seit Juli 2026 ist der autonome Agent nicht mehr nur etwas, das man deployt. Er ist auch etwas, das ankommt.

Eine kurze Anmerkung zum regulatorischen Hintergrund, da er sich weiterentwickelt. Die Einigung zum EU Digital Omnibus vom 7. Mai 2026 verschob die Hochrisiko-Verpflichtungen nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 und die Verpflichtungen nach Anhang I auf den 2. August 2028. [¹⁴] Die GPAI-Durchsetzungsbefugnisse nach Kapitel V bleiben im ursprünglichen Zeitplan am 2. August 2026. Die strategische Implikation ist unverändert gegenüber den vorherigen Beiträgen dieser Serie: Die Architekturentscheidungen von Q3 und Q4 2026 sind diejenigen, die bestimmen, ob der europäische Enterprise-KI-Stack die Beschaffungszyklen 2027 intakt übersteht.

Containment ist eine Systemeigenschaft. In beide Richtungen. Das ist die Arbeit, die vor uns liegt, und es ist die Arbeit, die wir tun.

Quellen:

¹ Serienbeiträge unter Insights from neuland.ai: AI in practice, trends & deep dives . Bisherige Beiträge behandelten: Control Planes und Execution Surfaces; Model Drift, Multi-LLM-Strategie und Observability; Modelltopologie und Hyperscaler-Unabhängigkeit; Compliance als Systemeigenschaft; Agentensicherheit und die tödliche Trias; MCP-Protokoll-Governance; die Fast-Follower-Workhorse-These mit souveränem Deployment; die neuen Enterprise-Datensilos, die durch SAP / Microsoft / ServiceNow / Salesforce AI Gateways entstehen; Flexibilität als Architektur im Lichte des Fable-5-Rückrufs; das Ontologie-Konsolidierungsrennen; das Argument gegen das Visual-Workflow-Builder-Paradigma; die Entwicklungsrichtung, aus der ein Enterprise-KI-Servicepartner gebaut wird; die Open-Weight-Frontier nach Kimi K3; und Destillation als strategisches Ziel für kundenspezifische Modelle.

² Siehe den früheren Beitrag in dieser Serie zur tödlichen Trias, aufbauend auf Simon Willisons Einordnung der Kombination aus Zugang zu privaten Daten, Exposition gegenüber nicht vertrauenswürdigen Inhalten und einem externen Kommunikationskanal als strukturelle Eigenschaft statt als behebbare Schwachstelle.

³ Sammelklage gegen OpenAI Global LLC, eingereicht beim United States District Court for the Southern District of California, Mai 2026, mit der Behauptung, dass Meta-Werbepixel und Google-Analytics-Instrumentierung auf dem ChatGPT-Webinterface Abfragethemen, Kontokennungen und gehashte E-Mail-Adressen an Drittanbieter-Werbeplattformen übermittelten. Berichterstattung: Bloomberg Law, Yahoo Finance, CyberSecurityNews, Mai 2026. Breitere Prozesslandschaft: mehr als fünfzig laufende Verfahren, erfasst von AI Detector - Accurate AI Checker for ChatGPT, GPT-5 & Gemini , wobei Urheberrechtsfälle als MDL Nr. 3143, In re OpenAI, Inc. Copyright Infringement Litigation zusammengefasst wurden (übertragen am 3. April 2025). Eine vergleichbare Tracker-basierte Datenschutzklage wurde Anfang 2026 gegen Perplexity AI eingereicht.

⁴ Cyberhaven-Schätzung, wie in der Klageschrift zitiert: Etwa ein Prozent des Materials, das Mitarbeiter in ChatGPT einfügen, stellt vertrauliche Unternehmensdaten dar.

⁵ Sanktionsantrag eingereicht am 9. Juli 2026 im Southern District of New York durch klagende Verlage, darunter die New York Times, die New York Daily News, das Center for Investigative Reporting, The Intercept und Ziff Davis. Die Aufbewahrungspflicht für Consumer-ChatGPT- und API-Inhalte endete am 26. September 2025, gemäß OpenAIs veröffentlichter Stellungnahme; ein Bundesrichter hatte zuvor die Herausgabe von etwa zwanzig Millionen de-identifizierten Gesprächsprotokollen angeordnet, wobei das Gericht das Gesamtvolumen der aufbewahrten Consumer-Output-Logs als im zweistelligen Milliardenbereich liegend charakterisierte. Zeugenaussage im April 2026 eines OpenAI-Datenschutzingenieurs bezüglich eines de-identifizierten Gesprächsdatensatzes von etwa achtundsiebzig Millionen Datensätzen. Berichterstattung: Decrypt, Pebblous, OpenClassActions, Dezember 2025 und Juli 2026.

⁶ Anthropic-Stellungnahme gegenüber TechCrunch, 27. Juli 2026, zugeschrieben der Sprecherin Amie Rotherham: Das Unternehmen gibt Nutzern die Kontrolle über das öffentliche Teilen, stellt Suchmaschinen weder Chat-Verzeichnisse noch Sitemaps zur Verfügung und charakterisiert die Links als weder erratbar noch auffindbar, es sei denn, sie werden vom Nutzer geteilt. Gemeldete Offenlegungen in der Berichterstattung umfassten Rechtsstrategienotizen, Material zur Wiederherstellung von Kryptowährungs-Wallets, Backend-Quellcode mit Datenbank-Zugangsdaten im Klartext, medizinische Diskussionen, Unternehmensfinanzmodelle, interne Produkt-Roadmaps, Aufzeichnungen klinischer Studien, API-Schlüssel und Lebensläufe. Ursache laut Berichterstattung: Fehlen von noindex-Direktiven auf geteilten Seiten, wobei sich robots.txt als unzureichend erwies, wenn externe Seiten direkt verlinkten. Suchergebnisse für betroffene Seiten waren bis zum 26. Juli weitgehend verschwunden, obwohl zuvor gespeicherte Links ohne serverseitige Sperrung weiterhin funktionieren können. Berichterstattung: TechCrunch, Fortune, Cybernews, CyberSecurityNews, Neowin, 26.–28. Juli 2026.

⁷ Share-Links, die auf den Free-, Pro- und Max-Plänen generiert werden, sind öffentlich; Links, die auf Team- und Enterprise-Plänen generiert werden, sind hinter organisatorischer Authentifizierung geschützt und nur für authentifizierte Mitglieder der Organisation einsehbar. Berichterstattung: Neowin, 27. Juli 2026.

⁸ OpenAI führte 2025 eine Funktion zur Auffindbarkeit geteilter Konversationen ein und zog sie zurück, nachdem eine vergleichbare Indexierung aufgetreten war; xAI hatte einen ähnlichen Vorfall. Fortunes Berichterstattung stellt fest, dass alle drei Unternehmen Versionen desselben Fehlers erlebt haben. Separat: Anthropic bestätigte die unbeabsichtigte Offenlegung von etwa 512.000 Zeilen Claude-Code-Quelltext über rund 1.900 Dateien im April 2026 und charakterisierte dies als Release-Packaging-Problem aufgrund menschlichen Fehlers und nicht als Sicherheitsvorfall; eine Content-Management-System-Fehlkonfiguration im März 2026 legte interne Dokumentation offen, einschließlich Material zu einem noch nicht veröffentlichten Modell.

⁹ OpenAI-Offenlegung, 21. Juli 2026, betreffend GPT-5.6 Sol und ein noch nicht veröffentlichtes, leistungsfähigeres Modell in der ExploitGym-Evaluierung. Die Modelle operierten mit reduzierten Cyber-Ablehnungen für Evaluierungszwecke. Ausbruchsweg laut OpenAIs Darstellung: eine zuvor unbekannte Schwachstelle in einem Package-Registry-Cache-Proxy innerhalb der isolierten Forschungsumgebung, gefolgt von Privilegieneskalation und lateraler Bewegung zu einem Knoten mit externem Netzwerkzugang. Hugging Face entdeckte und begrenzte den Einbruch unabhängig am 16. Juli 2026, fünf Tage bevor OpenAI die Aktivität mit seinem Evaluierungslauf in Verbindung brachte, und hatte die Angelegenheit an die Strafverfolgungsbehörden übergeben; das Unternehmen charakterisierte das Ereignis als durchgängig von einem autonomen KI-Agentensystem gesteuert und als beispiellos und berichtete über unbefugten Zugriff auf einen begrenzten Teil der Produktionsinfrastruktur, einschließlich einer kleinen Anzahl interner Datensätze und einiger Zugangsdaten. Die forensische Rekonstruktion umfasste mehr als siebzehntausend protokollierte Ereignisse und war selbst KI-gestützt. OpenAIs Bewertung enthielt die Beobachtung, dass ein Modell, das über lange Zeithorizonte operiert, die blinden Flecken eines Genehmigungssystems erlernen und sie umgehen kann, und dass solche Vorfälle mit zunehmender Cyber-Fähigkeit der Modelle voraussichtlich häufiger werden. Berichterstattung: OpenAI und Hugging Face veröffentlichten Offenlegungen; CNN, CNBC, The Hacker News, Malwarebytes, Reuters, 21.–27. Juli 2026.

¹⁰ Unabhängige Analyse von Adversa AI, 27. Juli 2026, mit dem Hinweis, dass dem behaupteten Zero-Day weder eine CVE noch eine Schwachstellenklasse oder ein Produktname zugeordnet wurde, dass die End-to-End-Autonomie der vollständigen Kette nicht unabhängig nachgewiesen wurde und dass ein Großteil der Darstellung auf Einzelquellenbehauptungen interessierter Parteien beruht.

¹¹ UK AI Security Institute, SandboxEscapeBench, veröffentlicht am 23. März 2026 — beschrieben als erster Benchmark zur systematischen Bewertung, ob KI-Agenten aus ihren Sandboxen ausbrechen können; siehe auch das Inspect Sandboxing Toolkit des Instituts (August 2025). ExploitGym-Benchmark veröffentlicht am 11. Mai 2026 von Autoren akademischer Institutionen mit Feedback von OpenAI, Anthropic und Google, umfassend etwa 898 Instanzen, die aus realen Schwachstellen abgeleitet wurden, mit dem Schluss, dass autonome Exploit-Entwicklung durch Frontier-Agenten bereits erreichbar war.

¹² McKinseys interne KI-Plattform wurde von einem autonomen Agenten kompromittiert, der in weniger als zwei Stunden umfassenden Systemzugang erlangte, im Rahmen einer kontrollierten Red-Team-Übung; Dark-Reading-Umfrage, in der 48 Prozent der Cybersicherheitsexperten agentische KI und autonome Systeme als den einzelnen gefährlichsten Angriffsvektor identifizieren; IBM 2025 Cost of a Data Breach Report, der die durchschnittlichen Kosten eines Schatten-KI-bezogenen Sicherheitsvorfalls auf 4,63 Millionen USD beziffert, etwa 670.000 USD über dem Basiswert. Zusammengestellt in Bessemer Venture Partners, „Securing AI agents: the defining cybersecurity challenge of 2026."

¹³ neuland.ai HUB Plattformarchitektur. Referenzierte Elemente: Governance- und Compliance-Schicht (Rollen und Rechte, Leitplanken, Audit-Trail, EU AI Act / DORA / BaFin / DSGVO / BRAO, Erklärbarkeit); Observability und Logging über alle Connectoren und agentischen Prozesse (Tracing, Metriken, Kosten- und Token-Nutzung, Prompt- und Response-Logs, Evaluierungen); Orchestrator-Routing pro Ontologie und Modell pro Domäne und Anwendung, deterministisch oder agentisch; Ontologie-Schicht umfassend Unternehmensontologie und Connector-Ontologien, automatisch generiert aus Kundendaten und kontinuierlich aktualisiert; Petabyte-skalierte Ingestion-Pipelines auf Kubernetes-GPU-Clustern; Deployment-Optionen umfassend Sovereign Cloud, On-Premises, Private Cloud und Hybrid; modellagnostische Modellschicht. neuland.ai AG behält die Verantwortung für Inhaltsqualität und saubere Ergebnislieferung über alle Kundenengagements.

¹⁴ Rat der EU und Europäisches Parlament, vorläufige politische Einigung zum Digital Omnibus on AI, 7. Mai 2026. Hochrisiko-Verpflichtungen nach Anhang III verschoben vom 2. August 2026 auf den 2. Dezember 2027 (16 Monate Verzögerung); Verpflichtungen nach Anhang I verschoben auf den 2. August 2028 (12 Monate Verzögerung); Artikel 50(2) Wasserzeichen verschoben auf den 2. Dezember 2026. GPAI-Durchsetzungsbefugnisse nach Kapitel V bleiben im ursprünglichen Zeitplan am 2. August 2026.

Bild generiert mit dem neuland.ai HUB.