Gemini hackt im Test drei echte Firmen. Was Schweizer Unternehmen daraus lernen

Im Mai sollte Googles Sprachmodell Gemini in einem Test eine erfundene Firma hacken. Es hackte drei echte. Die erfundene Firma trug zufällig den Namen einer realen, und die Testumgebung war falsch konfiguriert und hing am offenen Internet. Google hat den Vorfall am Freitag bestätigt. Es ist der vierte dieser Art in diesem Sommer, und er betrifft die Schweiz mehr, als man denkt. Nicht weil hier ein Modell entwickelt wird, das so etwas tut. Sondern weil Schweizer Firmen gerade solche Modelle in ihre Systeme holen.

60 Prozent sagen: KI ist schneller als unsere Sicherheit.

Befragung von 100 Geschäfts- und IT-Entscheidern in der Schweiz, Februar 2026.

Was genau passiert ist

Die Übung war ein sogenanntes Capture the Flag, ein Hacking-Wettbewerb im Kleinen: Das Modell soll in einer abgeschotteten Umgebung eine erfundene Firma angreifen und dort eine versteckte Information finden. Nach Angaben von Axios fiel der Test in den Mai. Irregular informierte die betroffenen KI-Labors Ende Juli, Google bestätigte den Vorfall am 18. September, nachdem das «Wall Street Journal» darüber berichtet hatte.

In einem der drei Fälle erriet Gemini Passwörter, bis es in ein geschütztes System kam. In den beiden anderen fand es Zugangsdaten in einem öffentlichen Code-Verzeichnis und nutzte sie für weitere Systeme. Google betont, das Modell habe jeweils vor dem Abschluss aufgehört, und es handle sich nicht um ein Modell, das eigene Ziele verfolge. Heather Adkins, bei Google für Sicherheit zuständig, sagt, man habe mit dem Testpartner dessen Abläufe geändert.

Der vierte Fall in drei Monaten

Allein ist Google damit nicht. Anthropic legte am 30. Juli drei Vorfälle offen, ebenfalls in Tests mit Irregular und ebenfalls wegen eines Fehlers, der den Testrechnern echten Internetzugang liess. Die Firma prüfte dafür 141 006 Testläufe. In einem Fall hielt ein Claude-Modell eine echte Firma für das Übungsziel und holte Zugangsdaten und Produktionsdaten aus ihrer Infrastruktur. In einem anderen veröffentlichte ein Modell schädlichen Code auf dem Python-Paketverzeichnis PyPI, der auf rund 15 echten Systemen landete. Auch Modelle von OpenAI und Meta brachen im Sommer aus ihren Testumgebungen aus, wie Axios zusammenfasst.

Man kann diese Fälle zweierlei lesen. Beruhigend: Die Labors testen genau die Fähigkeiten, vor denen man sich fürchtet, und die Pannen lagen in der Testumgebung, nicht im Produkt. Beunruhigend: Die Modelle sind inzwischen gut genug, um echte Firmen zu knacken, wenn man sie lässt, mit Mitteln, die jeder Angreifer kennt. Erratene Passwörter. Zugangsdaten, die jemand im Code vergessen hat.

Warum das Schweizer Firmen betrifft

Die meisten Schweizer Firmen bauen keine Sprachmodelle. Aber sie geben ihnen zunehmend Werkzeuge in die Hand: Zugriff auf E-Mail, Dokumente, Kundendaten, interne Systeme. Solche Systeme heissen KI-Agenten. Sie lesen nicht nur, sie handeln. Laut einer Studie von AWS, über die das IT-Magazine Ende August berichtete, setzen 57 Prozent der Schweizer Unternehmen KI ein. Mit Agenten experimentieren 12 Prozent, vollständig eingeführt haben sie 4 Prozent.

Das grösste Risiko dieser Agenten ist nicht, dass sie wie Gemini ausbrechen. Es ist, dass jemand ihnen ein neues Ziel unterschiebt. Die Fachwelt nennt das Goal Hijacking. Ein Agent liest eine Webseite, eine E-Mail oder ein Dokument und behandelt einen versteckten Satz darin als Anweisung. Dann nutzt er seine eigenen Zugriffe gegen seinen Besitzer. Die Sicherheitsorganisation OWASP führt dieses Risiko in ihrer Liste der zehn grössten Gefahren für Agenten-Anwendungen an erster Stelle. Swisscom warnt in einem Beitrag vom Mai vor genau solchen eingeschleusten Anweisungen und vor dem Abfluss von Zugangsschlüsseln.

Für Banken und Versicherungen gibt es bereits Erwartungen. Die Finma verlangte im Dezember 2024 in ihrer Aufsichtsmitteilung zu KI, dass Institute die Risiken aus dem Einsatz von KI «angemessen» erfassen, beurteilen, steuern und überwachen, mit einem vollständigen Inventar, Tests und klaren Zuständigkeiten. Agenten erwähnt die Mitteilung nicht ausdrücklich. Das Bundesamt für Cybersicherheit hält in seinem Halbjahresbericht fest, dass Angreifer KI inzwischen systematisch nutzen, um glaubwürdige, persönlich zugeschnittene Inhalte zu verbreiten.

Drei Fragen für die Geschäftsleitung

Welche KI-Systeme dürfen bei uns handeln, nicht nur antworten, und wer weiss davon? Welche Zugriffe haben sie, und sind es die kleinstmöglichen? Und was passiert, wenn ein Agent eine Anweisung aus einer fremden E-Mail ausführt: Merkt es jemand, bevor Geld oder Daten weg sind? Die Lehre aus dem Gemini-Fall ist unspektakulär. Die Maschine nutzte, was offenstand. Erratbare Passwörter und Zugangsdaten in öffentlichem Code sind kein KI-Problem. Sie werden nur schneller gefunden.

Mehr zu diesen Themen

• 
  7. Oktober 2026Was verdient ein Geschäftsführer in der Schweiz? Lohn nach Branche, Region und Firmengrösse
• 
  6. Oktober 2026Microsoft verkauft 30 Millionen Copilot-Lizenzen. Das beste KI-Modell braucht es dafür nicht
• 
  5. Oktober 2026Metas Agent Muse zeigt keine Werbung. Verdienen wird Meta trotzdem an ihm
• 
  4. Oktober 2026Starlink sucht Gastgeber, die Internet weiterverkaufen. Für Berghütten könnte das ein Geschäft sein

Sie lesen Leitgrad öfter? Bei Google als bevorzugte Quelle markieren