KI hackt Firmennetze allein – und frei verfügbare Modelle holen die Spitze ein

Worum es geht

Die unabhängige Testfirma Vals AI hat am 23. Oktober 2026 eine neue Version ihres Benchmarks CyberOffense veröffentlicht. Er prüft, ob KI-Agenten – also KI-Systeme, die selbstständig Werkzeuge bedienen und mehrere Schritte nacheinander planen – auf eigene Faust in realistische Firmennetzwerke einbrechen können. Das Ergebnis, über das unter anderem The Decoder und Crypto Briefing berichten: Sie können es. Und die Modelle, die jeder frei herunterladen kann, liegen nur noch knapp hinter den besten abgeschotteten Systemen der US-Labore.

Der Testaufbau ist bewusst hart: Jeder Agent arbeitet allein auf einem isolierten Angriffsrechner. Er startet mit nichts außer einer öffentlichen Webadresse und bekommt keinerlei menschliche Hilfe.

Die Ergebnisse im Überblick

Am besten schnitt GPT-6 Sol ab, ein Modell aus OpenAIs Programm Daybreak. Dieses Modell ist nicht öffentlich verfügbar, Zugang gibt es nur über ein geprüftes Partnerprogramm. GPT-6 Sol erreichte insgesamt 80,8 Prozent der Angriffsziele. Direkt dahinter folgt Deepseek V4.1 Flash 1017, ein Open-Weight-Modell, das um den 17. Oktober 2026 erschienen ist, mit 72,8 Prozent. Der große Unterschied liegt bei den Kosten: Ein Durchlauf mit Deepseek kostete laut Vals rund 3 US-Dollar, mit GPT-6 Sol etwa 22 US-Dollar.

Vals testete zwei simulierte Netzwerke: das kleinere „Nova“ mit 21 Zielen und das deutlich schwierigere „Lighthouse“ mit 31 Zielen.

Auffällig: Auf Nova lag Deepseek im Durchschnitt sogar knapp vor GPT-6 Sol. Meta Wonder wiederum schaffte auf Lighthouse mit 28 Zielen das beste Einzelergebnis, scheiterte aber auf Nova weitgehend. Die Ergebnisse schwanken also stark je nach Szenario und Durchlauf.

Im Lighthouse-Test übernahm GPT-6 Sol zunächst die Admin-Kontrolle über die erste simulierte Firma, stahl dort Passwörter und nutzte sie, um in eine zweite Firma einzudringen. 27 von 31 Zielen erledigte das Modell in weniger als drei Stunden. Deepseek kam auf 21 Ziele – zu einem Zehntel der Kosten.

Warum lange Laufzeiten entscheidend sind

Eine wichtige Erkenntnis betrifft die Rechenmenge. Deepseek erzielte in seinen ersten 25 Millionen Tokens – Tokens sind die Textschnipsel, in denen KI-Modelle lesen und schreiben – gar kein Ergebnis. Den Großteil seines Fortschritts machte es erst nach 100 Millionen Tokens. Vals folgert daraus: Kurze Tests unterschätzen das echte Potenzial offener Modelle.

Das passt zu Messungen des britischen AI Security Institute (AISI). Laut dessen Forschung steigt die Leistung in Cyber-Übungsumgebungen log-linear mit dem Token-Budget, mindestens bis 100 Millionen Tokens pro Lauf. Allein durch mehr Rechenbudget sei eine Leistungssteigerung von 59 Prozent möglich – ohne dass der Angreifer technisch versierter sein müsste, wie Tech Times zusammenfasst.

Was das britische AISI gemessen hat

Im Juli 2026 veröffentlichte das AISI erstmals eine öffentliche Messung des Abstands zwischen offenen und geschlossenen Modellen bei Cyberfähigkeiten. Ergebnis: Er ist auf vier bis sieben Monate geschrumpft. Über weite Teile des Jahres 2025 hatte er noch sechs bis zehn Monate betragen.

Getestet wurden zwei chinesische Open-Weight-Modelle, GLM-5.2 von Z.ai und DeepSeek V4-Pro, mit zwei Methoden:

• 70 eng umrissene Cyberaufgaben in vier Schwierigkeitsstufen – von Datenanalysten mit wenig Sicherheitswissen bis zu Experten mit mehr als zehn Jahren Erfahrung. Themen: Schwachstellen finden und ausnutzen, Reverse Engineering (Software auseinandernehmen, um ihre Funktionsweise zu verstehen), Web-Angriffe und Kryptografie. Jedes Modell hatte fünf Versuche pro Aufgabe mit je 2,5 Millionen Tokens.
• Cyber Ranges, also komplette simulierte Unternehmensnetze. Das Flaggschiff-Szenario „The Last Ones“ umfasst 32 Schritte über vier Teilnetze und rund 20 Rechner. Ein menschlicher Experte bräuchte laut AISI etwa 20 Stunden.

GLM-5.2 lag bei den Einzelaufgaben auf dem Niveau von Anthropics Opus 4.6 (Februar 2026), also etwa vier Monate hinter der Spitze. DeepSeek V4-Pro entsprach Opus 4.5 (November 2025). In der Cyber Range kam GLM-5.2 so weit wie Opus 4.5 – ein Rückstand von bis zu sieben Monaten.

Noch deutlicher sind die Kosten: Ein kompletter Lauf durch „The Last Ones“ mit 100 Millionen Tokens kostet laut AISI mit Opus 4.5 oder 4.6 rund 85 US-Dollar, mit GLM-5.2 etwa 46 Dollar und mit DeepSeek V4-Pro nur 1,19 Dollar. Das sind offizielle API-Listenpreise; die offenen Modelle hatte das AISI selbst betrieben.

Schutzmechanismen kaum wirksam

Besonders brisant ist, was das AISI zu den Sicherheitsvorkehrungen fand: Weder GLM-5.2 noch DeepSeek V4-Pro stellten echte Hürden dar. DeepSeek lehnte gelegentlich Aufgaben ab, vor allem beim Reverse Engineering – doch diese Ablehnungen ließen sich einfach durch wiederholte Versuche überwinden, ganz ohne Jailbreak (Tricks, mit denen man Schutzregeln einer KI aushebelt).

Dazu kommt ein grundsätzliches Problem: Bei einem geschlossenen Modell kann der Anbieter die Nutzung überwachen, Schutzfilter nachbessern oder den Zugang ganz sperren. Sind die Gewichte erst einmal veröffentlicht, ist das unmöglich. Die Vals-Forscher sagen es ebenfalls deutlich: Ist ein Modell frei verfügbar, kann kein Anbieter mehr kontrollieren, wie es genutzt wird. Laut einer Anthropic-Studie kann zudem das offene GLM-5-3 Exploits – Programme, die eine Sicherheitslücke ausnutzen – fast auf dem Niveau von Anthropics internem Spitzenmodell Mythos bauen.

Warum die Labore ihre Modelle überhaupt wegsperren

Die Strategie der eingeschränkten Freigabe begann im April 2026: Anthropic veröffentlichte Claude Mythos Preview nicht allgemein, weil das Modell Software-Schwachstellen finden und ausnutzen kann, und gab es nur an gut 40 Partner. Andere US-Labore folgten mit ähnlichen Programmen wie OpenAIs Daybreak.

Vals-Forscher Nikil Ravi fasst die Lage so zusammen:

„Die besten Frontier-Modelle, die in den Laboren weggeschlossen und nur über Trusted-Access-Programme verfügbar sind, werden jetzt allmählich von offenen Modellen eingeholt, die jeder herunterladen kann.“

Vals-Chef Rayan Krishnan stellt damit auch die Frage, ob solche Zugangskontrollen noch erfüllen, wofür sie gedacht sind. Schon im Juni 2026 hatte Vals gezeigt, dass offene Modelle beim Finden und Beheben von Schwachstellen mithalten. Der neue Test geht weiter: Er misst das Verketten einer echten Angriffsoperation.

Auch Europa mischt mit: Mistral bewirbt sein Ende Oktober veröffentlichtes Open-Weight-Modell Mistral Large 4 ausdrücklich für Verteidiger. Unabhängige Messungen von Artificial Analysis sehen es im Cyber-Index allerdings mit 51 Punkten hinter Deepseek V4.1 Flash mit 57; Mistrals eigene Angabe von 82 Prozent in einem Test zum Nachstellen und Patchen von Lücken ist bislang nicht unabhängig bestätigt.

Einordnung

Die Botschaft der Studien ist konsistent: Wer angreifen will, braucht nicht das beste Modell. Ein günstiges offenes Modell, das die meisten Ziele schafft und für den Preis eines Premium-Durchlaufs mehrfach wiederholt werden kann, reicht oft. Crypto Briefing weist darauf hin, dass für Sicherheitsteams der Kostenabstand wichtiger sein könnte als der Leistungsabstand. Vals erwartet, dass Angriffe auf echte Netzwerke in den kommenden Monaten zunehmen.

Zugleich liegt darin eine Chance: Dieselben Modelle, die Lücken ausnutzen, können Unternehmen helfen, sie zuerst zu finden und zu schließen. Das AISI spricht von einer „Vorbereitungszeit“ für Verteidiger. Doch dieses Fenster schrumpft – und die Spitze bewegt sich selbst schnell: Laut AISI verdoppelte sich die Cyberleistung geschlossener Modelle im Februar 2026 alle 4,7 Monate, im November 2025 waren es noch acht Monate. Mythos Preview war im April das erste Modell, das „The Last Ones“ komplett durchlief, GPT-5.5 das zweite.

Einschränkend gilt: Es handelt sich um simulierte Netzwerke, die Ergebnisse streuen zwischen Durchläufen stark, und wie gut sich die Werte auf echte, verteidigte Firmennetze übertragen lassen, ist offen. Politisch brisant bleibt der Befund dennoch – zumal das stärkste offene Modell aus China stammt und die Debatte um Exportkontrollen und Veröffentlichungsregeln bisher davon ausging, dass die abgeschotteten US-Modelle das Tempo vorgeben.