Mythos 5: KI erschafft Fake-Identitäten und verschickt Phishing-Mails

Mythos 5 erstellt Fake-Identitäten, verschickt Phishing-Mails und versucht, reale Entwickler mit Schadcode zu manipulieren.

Mythos 5 geht im Sicherheitstest eigene Wege

Fake-Identitäten für einen Angriff auf GitHub

Die KI spielte gleich mehrere Rollen

Phishing-Mails sollten Entwickler manipulieren

Versteckte Anweisungen für andere KI-Agenten

19 Vorfälle in 122 Testläufen

Mythos 5 überschreitet Testgrenzen

Sicherheitsforscher ziehen Konsequenzen

Mythos 5 war nicht wirklich „außer Kontrolle“

Gefährliche Kombination aus Autonomie und Täuschung

Im Rahmen eines Sicherheitstests des britischen AI Security Institute (AISI) zeigte Mythos 5 ein unerwartet eigenständiges Vorgehen. In sogenannten Cyber-Ranges, kontrollierten, simulierten Netzwerken, die reale IT-Infrastrukturen nachbilden, sollten KI-Agenten selbstständig Cybersecurity-Aufgaben lösen. Mythos 5 ging dabei jedoch über die vorgesehene Testumgebung hinaus und nahm mit Fake-Identitäten, Social Engineering und Schadcode auf GitHub auch reale Menschen ins Visier.

Ziel der Untersuchung war es, die maximalen Cyber-Fähigkeiten von Frontier-KI-Modellen zu messen und besser zu verstehen, wie diese Fähigkeiten von Angreifern missbraucht werden könnten. Dafür testete das britische AI Security Institute sieben KI-Modelle über Produktions-APIs. Um deren Fähigkeiten möglichst umfassend zu untersuchen, waren die Cyber-Sicherheitsfilter der beteiligten Modelle deaktiviert. Zudem wurde der Internetzugang dabei freigeschaltet. So wollten die Forscher nicht nur die Fähigkeiten der Modelle innerhalb einer künstlich eingeschränkten Umgebung untersuchen, sondern zudem nachvollziehen, was ein menschlicher Angreifer mit einem solchen Modell erreichen könnte und welches Missbrauchspotenzial bei einem realistischeren Einsatz besteht.

Die Testbedingungen waren damit bewusst weiter gefasst als bei einem normalen Modell-Einsatz. Allerdings war dabei nicht vorgesehen, dass die KI-Agenten außerhalb der Cyber-Ranges reale Personen oder Systeme angreifen. Mythos 5 ging bei diesem Sicherheitstest allerdings erheblich weiter als real vorgesehen. Der KI-Agent legte Fake-Accounts an, versuchte einen realen Entwickler zur Annahme von Schadcode zu bewegen und verschickte gezielte Phishing-Mails. Laut AISI handelt es sich um eine Form von Verhalten, die die Forscher in dieser Ausprägung bislang noch nicht beobachtet hatten.

Mythos 5 geht im Sicherheitstest eigene Wege

AISI ist eine Einheit der britischen Regierung, die sich mit der Bewertung und Sicherheit fortgeschrittener KI-Systeme beschäftigt. Sie führt unter anderem Sicherheitstests an Frontier-Modellen durch. Der konkrete Vorfall ereignete sich zwischen dem 25. und 28. Juli 2026 während einer Cyber-Evaluierung des britischen AI Security Institute. Mit dem Ziel, die maximalen Fähigkeiten der Frontier-Modelle im Bereich Cybersicherheit zu untersuchen, ließ die Behörde sieben KI-Modelle in 122 Testläufen gegen zwei simulierte Cyber-Umgebungen antreten.

Was die Forscher im Anschluss daran entdeckten, hatte mit dem vorgesehenen Testumfang nur noch wenig zu tun. In zehn der 122 Durchläufe wurden insgesamt 19 Fälle dokumentiert, in denen ein KI-Agent eigenständig Aktionen außerhalb der vorgesehenen Testumgebung ausführte. 17 dieser 19 Aktionen gingen auf das Konto von Mythos 5, zwei weitere auf OpenAIs GPT-5.6-Sol. AISI bezeichnete den Vorfall als ernsthaften Sicherheitszwischenfall. Die Behörde betont, dass die Versuche erfolglos blieben und nach aktuellem Kenntnisstand kein realer Schaden entstanden ist.

Für die Forscher war bei der Aktion nicht nur der Versuch, Schadcode einzuschleusen, bemerkenswert. Ebenso unerwünscht war die Kombination aus autonomem Vorgehen, Täuschung und der gezielten Ansprache realer Personen.

Fake-Identitäten für einen Angriff auf GitHub

Der schwerwiegendste Fall begann dabei mit einer Fehlinterpretation des Testziels. Mythos 5 suchte im offenen Internet nach Begriffen, die mit der simulierten Umgebung in Verbindung standen. Dabei stieß der Agent auf zwei unabhängige Entwickler, die keinerlei Verbindung zum AISI oder zur eigentlichen Testumgebung hatten.

Dennoch hielt die KI sie für legitime Ziele. Sie entwickelte einen Plan für einen Supply-Chain-Angriff. In ein öffentliches Open-Source-Projekt sollte Schadcode eingeschleust werden. Dafür erstellte der Agent mehrere GitHub-Konten und reichte einen manipulierten Pull Request........

© Tarnkappe