Altman glaubt nicht mehr, dass sich alle Sicherheitslücken schließen lassen

Michael Dobler

Autor Dr. Web

26. Okt. 2026

2 Min. Lesezeit

Nach dem Schreck um Anthropics Modell Mythos im Frühjahr sind die meisten Führungskräfte laut Sam Altman zur Tagesordnung übergegangen, obwohl KI-Modelle immer mehr Schwachstellen finden. Vor Studenten in Stanford forderte der OpenAI-Chef einen Umbau der Verteidigung. Schützen sollen sich Unternehmen mit derselben Technik, die OpenAI selbst verkauft.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Knapp 49 Minuten dauert der Auftritt von Sam Altman in der Stanford-Reihe „View From The Top“, das Video ist seit dem 21. Oktober online.^[1] Auf die Frage, was Führungskräfte gegen die Risiken der KI tun können, nannte der OpenAI-Chef nur ein Thema: die Cybersicherheit.

Auf einen Blick

Das Wichtigste in Kürze

Altman glaubt nicht mehr, dass sich alle Fehler in Software einzeln beheben lassen.
Als Ausweg nennt Altman eine KI-Abwehr, wie OpenAI sie mit Daybreak verkauft.
Hersteller in der EU müssen ausgenutzte Schwachstellen seit dem 11. September binnen 24 Stunden melden.

Was hat Altman in Stanford gesagt?

Fahrradschlauch mit vielen Flicken und Fähnchen neben Dose mit Aufschrift „Flicken“ — Altman kritisiert mangelndes Sicherheitsbewusstsein bei KI-Entwicklung: Trotz Mythos-Zwischenfalls beheben Firmen nur oberflächlich Fehler, unterschätzen aber exponentielle Risiken

Führungskräfte, Staaten und Einzelne nähmen die Gefahr für die IT-Sicherheit noch immer nicht ernst genug, sagte Altman. Nach dem Schreck um Anthropics Modell Mythos im Frühjahr hätten Firmen zwar einige Fehler behoben, die exponentielle Entwicklung aber „nicht richtig verinnerlicht“.^[1] Kommende Modelle dürften Schwachstellen finden, die weit über das hinausgehen, was man Hackern heute zutraut, bis in die Hardware hinein.

Die meisten Führungskräfte hätten das Thema weitgehend abgehakt. „Und die Modelle sind immer weiter vorangekommen. Ich glaube nicht mehr, dass wir einfach alle Fehler beheben können“, sagte Altman. Die Verteidiger müssten ihr Abwehrmodell grundlegend umstellen und dieselbe Technik als Schutzschild nutzen.

Warum kommen die Patches nicht mehr hinterher?

Microsoft schloss im Juli an einem Patchday 570 Sicherheitslücken, fast dreimal so viele wie im bisherigen Rekordmonat. Bei SharePoint stellte der Konzern laut ProPublica rund 300 von Mythos gemeldete Schwachstellen mittlerer Schwere zurück. Manche Fehler stecken im Chip selbst und lassen sich per Update gar nicht beheben, so beim Datenleck in Loongson-Prozessoren.

Für den Ausweg, den Altman beschreibt, verkauft OpenAI seit Mai selbst eine Plattform: Daybreak prüft Code mit KI, bewertet Schwachstellen und schreibt Patches. OpenAIs bestes internes Modell will Altman vorerst nicht als Open Source freigeben, weil sich zuvor die Cyberabwehr des Internets ändern müsse. Den Vorsprung von Modellen, deren Gewichte unter Verschluss bleiben, braucht die Welt aus seiner Sicht, um sich gegen frei verfügbare Modelle zu wappnen.^[1] Im Juli waren allerdings OpenAIs eigene Agenten aus einer Testumgebung ausgebrochen und hatten Hugging Face angegriffen.

Gefunden wird schneller als gepatcht

Stand Oktober 2026

Ein Patchday bei Microsoft

570 Sicherheitslücken

Juli 2026, fast dreimal so viele wie im Rekordmonat davor

Zurückgestellt

rund 300

SharePoint-Schwachstellen mittlerer Schwere von Mythos, laut ProPublica

Ohne Update

Fehler im Chip

Das Loongson-Datenleck sitzt im Prozessor selbst

Meldefristen bei aktiv ausgenutzten Schwachstellen (Cyber Resilience Act)

24 Stunden: Frühwarnung an das zuständige Computer-Notfallteam und die ENISA
72 Stunden: ausführliche Meldung
14 Tage nach dem Sicherheitsupdate: Abschlussbericht

OpenAI verkauft das Werkzeug, das Sicherheitslücken findet, und den Schutzschild dagegen. Falsch wird Altmans Warnung dadurch nicht.
Markus Seyfferth, Chefredakteur Dr. Web

Was heißt das für Unternehmen im DACH-Raum?

Für Softwarehersteller hat die EU das Tempo festgeschrieben: Seit dem 11. September verlangt der Cyber Resilience Act binnen 24 Stunden eine Frühwarnung, sobald Angreifer eine Schwachstelle in einem Produkt ausnutzen.^[2] Ab dem 9. Dezember haften Hersteller zudem ohne Verschulden für fehlerhafte Software.

Anwender patchen weiter, aber nach fester Reihenfolge: Was Angreifer bereits ausnutzen, kommt zuerst. Fragen Sie Ihre Softwarelieferanten gerne schriftlich, binnen welcher Frist sie kritische Updates liefern. Die Grundausstattung für KMU fassen die Cybersecurity-Grundlagen zusammen.