Offene Tür für gefährliche Aufträge
Am 7. und 8. Oktober 2026 erschien eine Serie von Sicherheitsmeldungen zu PraisonAI, einer Software, mit der mehrere KI-gestützte Arbeitsabläufe verbunden und ausgeführt werden können. Besonders schwer wiegt eine Meldung zur sogenannten Jobs API: Das ist eine Netzwerkschnittstelle, über die Nutzer Arbeitsaufträge an einen laufenden Server schicken. Laut Sicherheitsmeldung nahm sie solche Aufträge ohne Anmeldung an. Ein fremder Absender konnte demnach einen eigens präparierten Ablauf einreichen, obwohl er kein Konto und keine gültige Sitzung besaß. [2] [3]
Der eingereichte Auftrag konnte zusätzlich vorgeben, dass ein gefährliches Werkzeug bereits freigegeben sei. Damit ließ sich laut Meldung die vorgesehene Nachfrage vor dem Ausführen eines Betriebssystembefehls umgehen. Ganz automatisch war der letzte Schritt trotzdem nicht: Ob tatsächlich ein Befehl lief, hing davon ab, dass das angeschlossene Sprachmodell der eingeschleusten Anweisung folgte. Die Meldung behauptet zuverlässige Auslösbarkeit, dokumentiert aber keinen Angriff auf eine konkrete Installation. Wir sehen also eine offene Tür, nicht den belegten Einbruch. [3]
Eine zweite Lücke schrieb Eingaben direkt in Programmcode
Eine weitere Meldung betraf die Funktion, mit der PraisonAI einen eigenen Programmierserver erzeugt. Die Software setzte dabei den Namen einer Agentendatei unverändert in neu erzeugten Python-Code ein. Python ist die verwendete Programmiersprache. Wer diesen Dateinamen kontrollierte, konnte laut Meldung aus der vorgesehenen Textstelle ausbrechen und zusätzliche Anweisungen einfügen. Anschließend schrieb PraisonAI den erzeugten Code auf die Festplatte und startete ihn als Prozess auf dem betroffenen Rechner. [1] [2]
Damit wäre beliebiger Code auf dem Rechner ausführbar gewesen, der den Bereitstellungsvorgang startete. Eine vergleichbare ungeprüfte Einfügung fand sich der Meldung zufolge auch beim Erzeugen einer Container-Beschreibung. Als mögliche Zuflüsse nennt die Primärquelle Befehlszeilen, Konfigurationen oder vorgelagerte Schnittstellen. Sie belegt jedoch nicht, dass ein KI-Modell den schädlichen Wert erfand oder ein Angreifer ihn tatsächlich einschleuste. Die Maschine hätte ausgeführt, was ihr die fehlerhafte Verkettung vorsetzte – erschreckend gewöhnlich für eine so moderne Baustelle. [1]
Viele Schutzschalter standen auf wirkungslos
Die begleitende Analyse ordnete diese Befunde in 24 Meldungen mit insgesamt 25 Schwachstellenkennungen ein, veröffentlicht innerhalb von ungefähr 33 Stunden. Genannt werden unter anderem fehlende Anmeldung an weiteren Schnittstellen, eine umgehbare Liste erlaubter Befehle und Schutzregeln für eine abgeschirmte Ausführungsumgebung, die offenbar zwar definiert, aber nicht angewendet wurden. Hinzu kamen Komponenten, die vom Sprachmodell gewählte Dateipfade oder Befehle ohne ausreichende Prüfung an das Betriebssystem weiterreichen konnten. [2]
Auch ein Schutz gegen Prompt Injection soll zu großzügig eingestellt gewesen sein. Prompt Injection bezeichnet eingeschleuste Anweisungen, die ein KI-Modell dazu bringen sollen, seinen eigentlichen Auftrag zu missachten. Nach der Analyse protokollierte der Schutz einzelne verdächtige Muster lediglich als Warnung und reichte den Inhalt dennoch weiter. Andere Meldungen beschrieben Dateien außerhalb des vorgesehenen Arbeitsordners, deren Inhalt in eine Anfrage an einen Modellanbieter geraten konnte. Diese Punkte stammen überwiegend aus Codeprüfung und Sicherheitsmeldungen, nicht aus beobachteten Einbrüchen. [2]
Der empfohlene Reparaturstand war nicht installierbar
Bei der Behebung entstand ein zusätzliches, praktisches Problem. Sämtliche 15 Meldungen für das Hauptpaket nannten laut Analyse Version 4.6.78 als reparierten Stand. Diese Version existierte zwar als markierte Veröffentlichung im Quellcode-Verzeichnis, fehlte aber im offiziellen Python-Paketregister, aus dem das übliche Installationswerkzeug Programme lädt. Wer genau die angegebene Aktualisierung anforderte, erhielt daher keine reparierte Installation, sondern einen Fehler. Die neun Meldungen zum Schwesterpaket nannten dagegen eine tatsächlich verfügbare Version. [2]
Für die Lücke beim Erzeugen des Programmcodes verglich die Analyse mehrere Versionsstände. In 4.6.77 war die ungeprüfte Einfügung demnach vorhanden, in 4.6.78 korrigiert. Die erste regulär installierbare Version mit dieser konkreten Korrektur sei 4.6.81 gewesen. Die Autoren prüften allerdings nicht jede der 15 Meldungen einzeln gegen diese Version. Daraus folgt kein allgemeiner Freispruch für 4.6.81, sondern nur ein belastbarer Hinweis für den untersuchten Fehler. Selbst die Reparatur brauchte hier also eine Reparaturanleitung. [2]
Was der Fall belegt – und was nicht
Belegt sind gefährliche Schwächen im Programmaufbau: ungeschützte Eingänge, vom Einsender beeinflussbare Freigaben und Werte, die ungeprüft in ausführbaren Code gelangten. Die unabhängige Analyse las dazu Quellcode, Versionsmarken und Paketregister. Sie führte PraisonAI nach eigener Angabe jedoch nicht aus. Einzelne Laufzeitversuche, etwa zu unwirksamen Schutzregeln, werden nur den jeweiligen Entdeckern zugeschrieben. Auch die beiden Primärmeldungen nennen keinen erfolgreich angegriffenen Betreiber, keinen entstandenen Schaden und keinen Zeitpunkt eines realen Eindringens. [1] [2] [3]
Ebenso wichtig ist die Trennung zwischen Angriffsweg und Agentenverhalten. Eine Netzwerkschnittstelle kann gefährlich offen sein, ohne dass ein KI-Agent bereits etwas Eigenständiges getan hat. Beim Jobs-API-Szenario müsste ein Modell zwar auf die eingeschleuste Anweisung reagieren; die Quelle zeigt aber keine protokollierte Ausführung in einer realen Installation. Menschlich erstellter oder KI-unterstützter Angriffscode ist ebenfalls weder bewiesen noch ausgeschlossen. Der Fall handelt deshalb von verwundbarer Agentensoftware, nicht von einem beobachteten Agenten, der aus eigenem Antrieb Grenzen überschritt. [1] [2] [3]
Terminator-Check
Autonomie, Grenzüberschreitung und Täuschung sind jeweils nicht belegt. Beschrieben werden denkbare Eingaben eines Angreifers, fehlende Zugangskontrollen und fehlerhafte Schutzmechanismen. Keine Quelle beobachtete, wie ein KI-Agent selbst einen relevanten Plan entwickelte, eine Regel aus eigenem Antrieb umging oder Betreiber gezielt irreführte. Selbst die mögliche Befehlsausführung über die Jobs-Schnittstelle beginnt mit einem präparierten Auftrag von außen und bleibt in den vorliegenden Unterlagen ein beschriebenes Angriffsszenario, nicht die Aufzeichnung eines ausgeführten autonomen Ablaufs. [1] [2] [3]
Auch Selbsterhaltung und Realweltwirkung eines KI-Systems sind nicht belegt. Es gibt keinen Hinweis auf Widerstand gegen Abschaltung, eigene Interessen oder eine tatsächlich ausgeführte Wirkung außerhalb einer Untersuchung. Das macht die Schwachstellen nicht harmlos: Ein erreichbarer, ungepatchter Server könnte erheblich gefährdet sein. Es bedeutet nur, dass der Terminator-Score beobachtetes KI-Verhalten misst und nicht die Schwere klassischer Softwarefehler. Daher lautet die Wertung 0 von 5 – das Magazin bleibt wachsam, die Maschine diesmal allerdings aktenkundig untätig. [1] [2] [3]
Podcast