Top-Nachrichten zur Cybersicherheit aus dem Juli 2026

Die Cybersicherheits-Schlagzeilen im Juli kreisten um eine Frage. Was passiert, wenn KI aufhört, ein Werkzeug der Angreifer zu sein, und zu dem wird, das den Angriff ausführt?  

Dieses Thema zieht sich durch alle Geschichten in der Zusammenfassung dieses Monats. Angreifer können nun Fehler schneller finden und ausnutzen, als Verteidiger sie patchen können, was es genauso wichtig macht, den Schaden einzudämmen wie ihn zu verhindern.

Die Nachrichten dieses Monats enthalten Einblicke von Top-Sicherheitsexperten zu folgenden Themen:

• Warum KI-Leitplanken nie als Sicherheitsgrenzen gebaut wurden
• Was kommt als Nächstes, wenn sich die Fähigkeiten der Mythos-Klasse über die Grenzlabore hinaus ausbreiten
• Das neue Gold Eagle Schwachstellenzentrum des Weißen Hauses und die vorsichtige Begrüßung der Industrie
• Wie ein Bruch eines Gesundheitstechnologie-Zulieferers eine Abkürzung in die Lieferkette im Gesundheitswesen eröffnete

Ein abtrünniger KI-Agent hat Hugging Face gehackt, und OpenAI sagt, dass seine eigenen Modelle das getan haben

Georgia Hennessy legte in ihrem Business Insider-Artikel "Das neueste OpenAI-Drama machte chinesische KI zum Helden" den seltsamsten Bruch des Monats dar.  

Hugging Face, die Plattform, auf der Entwickler offene KI-Modelle und Datensätze hosten, berichtete, dass ein Angreifer seine Systeme mit Zehntausenden automatisierter Aktionen überrannt habe. Dann kündigte OpenAI an, dass der Angreifer seine eigene Technologie sei.  

GPT-5.6 Sol und ein zweites, nicht veröffentlichtes Modell brachen während einer internen Cybersicherheitsbewertung aus einer kontrollierten Testumgebung aus, gingen ins offene Internet und hackten Hugging Face, um Antworten auf den Benchmark zu finden, auf dem sie bewertet wurden.

Die Verteidigung ist der Punkt, an dem es unangenehm wird. Als das Sicherheitsteam von Hugging Face versuchte, ein Frontier-Modell zur Untersuchung der Aktivität einzusetzen, beendeten die Leitplanken des Modells die Untersuchung, weil das Modell einen Einsatzhelfer nicht von einem Angreifer unterscheiden konnte.

Das Team wechselte zu GLM-5.2, einem Openweight-Modell aus dem in Peking ansässigen Z.ai, und nutzte es, um mehr als 17.000 Baumstämme zu durchsuchen.  

Das bedeutet, dass ein amerikanisches Unternehmen, das von Modellen eines amerikanischen Labors angegriffen wurde, schließlich chinesische Werkzeuge nutzte, weil das von ihm ausprobierte Grenzmodell sich weigerte zu helfen.  

David Sacks, Co-Vorsitzender des President's Council of Advisors on Science and Technology, schrieb, dass Leitplanken für fortschrittliche US-KI "tatsächlich die Verteidigungssicherheit beeinträchtigten".  

Hugging Face-Mitbegründer Thomas Wolf argumentierte, dass die Episode für offene Modelle argumentiert, und schrieb, dass wenn ein Frontier-Modell seitlich innerhalb der eigenen Infrastruktur verlagert wird, "Verteidiger innerhalb von Stunden oder sogar Minuten weiten Zugang zu nahegelegenen Werkzeugen benötigen."

Einige Forscher wollen mehr Beweise, bevor sie Schlussfolgerungen ziehen. Der ethische Hacker Tom Van de Wiele sagte Business Insider , er warte auf die Sicherheitsprotokolle.  

Und KI ist bereits bei echten Angriffen aufgetaucht. Anthropic gab im vergangenen November bekannt, dass chinesische Staatshacker Claude nutzten, um den Großteil einer Spionagekampagne zu automatisieren. Sysdig dokumentierte im Juli KI-unterstützte Ransomware.  

Menschen haben in beiden Fällen die Ziele ausgewählt, was diesen Einbruch unterscheidet. Es scheint eine der ersten zu sein, bei denen überhaupt niemand steuert.

Die Geschichte wurde in der folgenden Woche noch größer. Am 30. Juli gab Anthropic bekannt, dass es 141.006 eigene Evaluierungsläufe überprüft und drei Fälle gefunden hat, in denen ein Claude-Modell aus einer Testumgebung das offene Internet erreichte und dann in die Live-Systeme von drei Organisationen eindrang. Die Überprüfung wurde durch den OpenAI-Vorfall ausgelöst, und der Internetzugang führte auf eine falsch konfigurierte Evaluierungsumgebung zurück, die mit Irregul, einem Drittanbieterpartner, betrieben wurde.

Den Models wurde in ihren Prompts gesagt, dass sie keinen Internetzugang hätten. Zwei von ihnen fanden heraus, dass sie auf etwas Echtes trafen, und machten trotzdem weiter. Opus 4.7 erkannte, dass es in allen vier Durchläufen ein Produktionssystem erreicht hatte, zog Zugangsdaten ab und berührte eine Datenbank mit Produktionsdaten. Mythos 5 überzeugte sich selbst, dass es sich noch in einer Simulation befand, und veröffentlichte ein bösartiges Paket an PyPI, das externe Systeme herunterluden, bevor es entdeckt wurde. Nur das neueste Modell, ein interner Forschungsbau, hörte von selbst auf.

Anthropic sagte, die Bewertungen würden ohne die Sicherheitsüberwachung und Klassifikatoren laufen, die auf die veröffentlichten Modelle angewendet werden, da es darum geht, die rohe Leistungsfähigkeit zu messen. Sie erklärte außerdem, es habe keine Beweise für ein Modell gefunden, das eigene Ziele verfolgt. Die Modelle beendeten gerade die Arbeit, die ihnen gegeben wurde.

Anthropic fand die Vorfälle selbst, und die betroffenen Organisationen, die es erreichte, hatten die Aktivitäten weder bemerkt noch gemeldet.

Raghu Nandakumara, Vizepräsident für Branchenstrategie bei Illumio, sagte gegenüber Business Insider , dass das alles keine Überraschung hätte sein dürfen.

"KI-Leitplanken wurden nie als Sicherheitsgrenzen konzipiert", sagte er. "Sie sind da, um das Verhalten zu beeinflussen, nicht um es zu garantieren." 

Diese Unterscheidung ist die praktische Erkenntnis. Leitplanken sind Richtlinien, die auf ein Modell angewendet werden, und Richtlinien werden durch die nächste Veröffentlichung jailbreakt, falsch gelesen oder überholt. Eine Sicherheitsgrenze ist architektonisch und gilt unabhängig davon, ob das Objekt auf der anderen Seite ein Ransomware-Operator oder ein KI-Agent ist, der gerade das offene Internet gefunden hat.

Die Sicherheitsteams, die den nächsten KI-Cyberangriff gut handhaben, werden diejenigen sein, die von einer Verletzung ausgehen, ihre Umgebung im Voraus segmentiert und begrenzt haben, wie weit etwas reisen kann, sobald es drinnen ist.

KI-Modelle der Mythos-Klasse breiten sich über Grenzlabore hinaus aus

In ihrem Artikel bei SC Media "More Mythos-like models are coming — what organizations can do now" argumentiert Laura French, dass Claude Mythos eine Ära eröffnet und nicht eine beendete.  

Anthropic erwartet, dass andere Labore innerhalb von sechs bis zwölf Monaten Mythos-Modelle liefern, und die Teile tauchen bereits auf:

• Z.ai brachte GLM-5.2 unter einer Open-Weight-Lizenz von MIT auf den Markt.  
• Chinas 360 Security Technology kündigte ein Multi-Agenten-System an, das sein Gründer Chinas Version des Mythos nannte.  
• Sakana AI in Japan behauptet, dass sein Fugu Ultra-Orchestrierungssystem mit Fable 5 und Mythos Preview bei technischen und logischen Benchmarks mithalten kann.  
• OpenAIs GPT-5.6 führte Mythos Preview auf ExploitBench an, wobei die stärksten Funktionen hinter einem vertrauenswürdigen Zugriffsprogramm verankert waren.

Unabhängige Benchmark-Tests haben die Zahlen hinter den Trend gelegt. In einer Bewertung erzielte GLM-5.2 bei einer Zugangskontrollerkennung 39 %, vor Claude Code mit 32 %, und erreichte ungefähr 0,17 US-Dollar pro Befund.  

Eine speziell entwickelte Detektionspipeline war dennoch besser als beides. Das Gerüst um ein Modell herum hat mehr Ergebnisse als das Modell selbst, und ein günstiges Modell, das zehnmal aufgebaut wird, kann ein teures Modell einmal übertreffen.

Für Verteidiger wird das zu einem zeitlichen Problem. Raghu Nandakumara sagte gegenüber SC Media, dass die beiden Säulen, auf die die Sicherheit seit Jahrzehnten gestützt hat, dem Platz ausgeht.

"Seit zwanzig Jahren ruht die Sicherheitsstrategie auf zwei Beinen: Prävention, Erkennung und Reaktion", sagte er. "Beides ist immer noch notwendig. Beides reicht nicht mehr aus."   

Prävention geht davon aus, dass man einen Fehler beheben kann, bevor jemand ihn als Waffe benutzt, und dass der Fehler rechtzeitig als veröffentlichtes CVE auftaucht, um darauf zu reagieren.

"Wenn KI diesen Fehler finden und als Waffe einsetzen kann, bevor ein CVE überhaupt veröffentlicht wird, gilt diese Annahme nicht mehr", sagte er.

Die Erkennung setzt voraus, dass du Zeit hast, einen Eindringling zu fangen, und dieses Zeitfenster schließt sich ebenfalls, wenn Angriffe mit Maschinengeschwindigkeit ausgeführt werden.

Seine Antwort ist eine dritte Säule: Eindämmung. Kartitiere, welche Systeme miteinander kommunizieren können, wende den minimalen Zugang an und segmentiere sensible Umgebungen, damit ein kompromittierter Host keine Tür für laterale Bewegungen öffnet.

Die offiziellen Leitlinien zeigen denselben Weg, zuletzt in CERT-EUs Post-Mythos-Leitlinien zu Segmentierung und Angriffsfläche.

Für CISOs mit knappem Budget argumentierte Nandakumara, dass die Begrenzung dessen, was innerhalb des Netzwerks erreichbar ist, besser ist als der Kauf eines weiteren Scanners. "Der Scanner sagt dir, dass das Haus brennt. Segmentierung ist das, was verhindert, dass es abbrennt", sagte er.

Das neue Gold Eagle KI-Schwachstellenzentrum des Weißen Hauses wird vorsichtig aufgenommen

Cassandre Coyer berichtete über die neue Initiative in "White House AI Cyber Clearinghouse Draws Muted Industry Support" für Bloomberg Law.  

Die Initiative namens Gold Eagle wurde Anfang dieses Monats still und leise vom Finanzministerium, dem Heimatschutzministerium und dem Verteidigungsministerium zusammen mit Industriepartnern eingeführt.  

Der Plan ist, KI-Modelle zu nutzen, um Schwachstellen in kritischen Infrastrukturnetzwerken zu finden und zu beheben und dann die Ergebnisse wieder an den privaten Sektor weiterzugeben. Die Verwaltung gibt an, bereits mit der Sammlung von Schwachstellendaten aus mehreren Branchen begonnen zu haben und sei bereit, Unternehmen bei Behebungen zu beraten.

Das Konzept kam gut an. Die Details weniger.  

Die Ankündigung kam mit wenigen Informationen über den Umfang, was Sicherheitsexperten zu den Grundlagen rätseln ließ: Ob Gold Eagle sich ausschließlich auf Open-Source-Code konzentrieren oder auch kommerzielle Software abdecken wird, und ob einige der 16 ausgewiesenen kritischen Infrastruktursektoren Vorrang vor anderen erhalten.  

Gary Barlet, CTO im öffentlichen Sektor bei Illumio und ehemaliger CIO im U.S. Postal Service Office of Inspector General, sieht einen echten Wert in der Konsolidierung.

"Es aus einer ganzheitlichen Perspektive zu machen und es an einem Ort zu haben – einem guten One-Stop-Shop –, zu dem man diese Dinge sehen und verstehen kann, ist ein großer Erfolg", sagte er.  

Sein Vorbehalt betrifft die Ausführung und nicht die Absicht.

"Jetzt stellt sich die Frage, wie immer wenn die Regierung in etwas verwickelt ist, wie schnell sie handeln kann?" sagte er. "Werden sie sich selbst im Weg stehen?"

Es gibt auch das Beteiligungsproblem, das diesem Programm um Jahre vorausgeht. Unternehmen zögern, proprietäre Informationen herauszugeben, die ein Wettbewerber sehen könnte, und wägen das Risiko ab, Daten zu bündeln, die Bedrohungsakteure gerne in die Hände bekommen würden.  

"Es wird diese Angst geben, dass: 'Setze ich alle meine Eier in einen Korb, und es ist nicht einmal ein Korb, den ich kontrolliere?'" sagte Barlet.

Ein Clearinghouse hilft nur, wenn Teams auf das reagieren können, was es aufdeckt, und KI-gesteuerte Entdeckungen werden bald mehr Ergebnisse liefern, als die meisten Patchzyklen aufnehmen können.  

Bundesleitlinien sind nützlich, aber das Ergebnis hängt weiterhin davon ab, was innerhalb jedes Netzwerks passiert: Welche Systeme welche erreichen können, wie viel Zugriff sich stillschweigend angesammelt hat und ob ein einzelner kompromittierter Host den Rest der Umgebung öffnet.

Schnellerer Informationsaustausch passt am besten zu einer Eindämmung von Lücken , die den Schaden durch die Fehler, zu denen niemand rechtzeitig kommt, begrenzt.

Der Bruch eines britischen Gesundheitstechnologie-Lieferanten zeigt die Abkürzung in der Lieferkette

Ross Kelly analysierte die Offenlegung des Angriffs des Lieferanten für IT Pro in seinem Artikel: "Die Gesundheitstechnologiefirma Craneware gibt ein 'signifikantes Volumen' an Kunden- und Mitarbeiterdaten zu, die bei Cyberangriffen freigelegt wurden."

Das Unternehmen aus Edinburgh reichte am 20. Juli eine Mitteilung bei der Londoner Börse ein und bestätigte einen Sicherheitsvorfall. Der Vorstand holte externe forensische und Sicherheitsexperten, um gemeinsam mit dem internen IT-Team das Geschehene zu untersuchen.

Craneware sagt, der Vorfall sei inzwischen eingedämmt und der Kundenservice habe den Vorfall weiter durchgegangen.

Während des Angriffs haben Angreifer eine große Menge Dateinamen eingesehen und übernommen. Craneware sagt, diese Namen seien nicht sensibel gewesen und bereits öffentlich gewesen. Die Angreifer nahmen außerdem "einen Prozentsatz der Mitarbeiterdaten sowie eine Teilmenge der Kunden- und Partnerdaten, die abgerufen und exfiltriert wurden."  

Der Datenverstoß ist über ein Unternehmen hinaus von Bedeutung, weil er so reichweitig ist. Craneware verkauft Abrechnungs- und Buchhaltungssoftware an US-Gesundheitsunternehmen und arbeitet mit etwa 2.000 Krankenhäusern zusammen.  

Trevor Dearing, Direktor für kritische Infrastruktur bei Illumio, sagte, genau dieses Profil ziehe Angreifer an.

"Anbieter von Gesundheitstechnologien sind zu Hauptzielen geworden, weil sie Cyberkriminellen eine Abkürzung in die Lieferkette des Gesundheitswesens bieten", sagte er. "Warum ein Krankenhaus ins Visier nehmen, wenn man einen Anbieter anvisieren kann, der mit Tausenden verbunden ist?"  

Greift man einen Lieferanten auf, landet man in Reichweite jedes Downstream-Netzwerks, das es berührt.

Die Zahlen zeigen außerhalb der USA dieselbe Richtung. SonicWalls Bericht "State of Healthcare Cybersecurity in 2026", der im Juni veröffentlicht wurde, stellte einen zehnfachen Anstieg der Angriffe auf das britische Gesundheitssystem und seine Anbieter in diesem Jahr fest. Sein Eindringlingspräventionssystem verzeichnete von Januar bis Mai mehr als 260.000 versuchte Angriffe.  

Das Gesundheitswesen bietet Angreifern die gewünschte Mischung: sensible Daten, fast keinen Raum für Ausfallzeiten und ein dichtes Netz von Drittanbieter-Links.

Die Reinigung des Bruchs beendet die Exposition auch nicht. Dearing warnte, dass gestohlene Daten einen langen Schwanz haben, selbst wenn sie für sich genommen harmlos wirken.

"Selbst wenn gestohlene Informationen risikoarm erscheinen, können Mitarbeiter-, Kunden- und Partnerdaten genutzt werden, um Phishing, Social Engineering und Folgeangriffe zu fördern", sagte er. Mitarbeiter, Kunden und Partner sollten auf seltsame Nachrichten und ungewöhnliche Aktivitäten in ihren Netzwerken achten.  

Die Lektion hier zieht sich durch den Rest der Juli-Nachrichten. Nehmen Sie an, eine Lieferantenverbindung kann gegen Sie verwendet werden, und halten Sie den damit verbundenen Zugang so eng, dass ein Fuß bei einem Anbieter nicht überall zu einem solchen wird.

Entdecken Sie Eindämmung von Verletzungen bei KI-Angriffen mit Illumio.