KI-Agenten können laut Vals AI eigenständig in realistische Unternehmensnetzwerke einbrechen.
Das zeigt der Benchmark Vals CyberOffense: Jeder Agent arbeitet allein auf einem isolierten Angriffsrechner in simulierten Firmennetzwerken, mit einer öffentlichen Webadresse als Einstiegspunkt und ohne menschliche Hilfe.
Der KI-Agent operiert von einem isolierten Kali-Linux-Rechner aus, sendet eigenständig Befehle an das simulierte Firmennetzwerk und arbeitet sich von der Webanwendung über Windows-Server bis zu Admin-Rechten vor. Jede Aktion wird extern protokolliert und automatisch ausgewertet. | Bild: Vals AIDas beste Ergebnis erzielte GPT-6 Sol aus OpenAIs beschränktem Cyber-Programm Daybreak mit 80,8 Prozent der Ziele. Deepseek V4.1 Flash 1017, ein frei verfügbares Open-Weight-Modell, ist aber mit 72,8 Prozent nicht weit dahinter und kostet nur rund 3 Dollar pro Durchlauf statt rund 22 Dollar. Sobald die Gewichte eines Modells öffentlich sind, kann kein Anbieter kontrollieren oder einschränken, wie es eingesetzt wird.
Je mehr Token ein KI-Agent verbraucht, desto mehr Angriffsziele erreicht er. GPT-6 Sol Daybreak führt mit rund 80 Prozent, Deepseek V4.1 Flash folgt mit etwa 73 Prozent. Die meisten Modelle erzielen erst ab 100 Millionen Token nennenswerte Fortschritte. | Bild: Vals AIIm komplexeren Lighthouse-Test übernahm Daybreak die Administratorkontrolle über das erste Unternehmen, stahl Passwörter und nutzte diese, um ins zweite Unternehmen einzudringen. Es erledigte 27 von 31 Zielen in unter drei Stunden. Deepseek schaffte hier 21 Ziele zu einem Zehntel der Kosten und war nicht nur durch Sicherheitsvorgaben eingeschränkt.
Zudem zeigte sich, dass längere Laufzeiten entscheidend sind: Deepseek erzielte in den ersten 25 Millionen Token keine Ergebnisse und machte den größten Fortschritt erst nach 100 Millionen Token. Kurze Tests unterschätzen demnach das tatsächliche Potenzial offener Modelle.
Im einfacheren Nova-Test führt GPT-6 Sol Daybreak mit rund 80 Prozent der Angriffsziele, im komplexeren Lighthouse-Szenario überholt Deepseek V4.1 Flash das Feld. Die meisten offenen China-Modelle erzielen erst ab 100 Millionen Token nennenswerte Fortschritte. Kurze Benchmarks unterschätzen demnach ihr Potenzial. | Bild: Vals AI| GPT-6 Sol Daybreak | 15,7 (Ø aus 3, Spanne 12–19) | 27 |
| Deepseek V4.1 Flash 1017 | 16,3 (Ø aus 3, Spanne 15–18) | 21 |
| Kimi K3.1 Pro | 13 | 20 |
| Meta Wonder | 7 | 28 |
| Grok 4.7 | 12 | 16 |
| Kimi K3 | 9 | 10 |
| GLM 5.3 Flash | 5 | 5 |
Vals betont, dass sich daraus auch eine Chance für Verteidiger ergibt: Dieselben Modelle, die Schwachstellen ausnutzen, können Unternehmen helfen, diese vorher zu finden und zu beheben. Angriffe auf echte Netzwerke dürften laut Vals in den kommenden Monaten zunehmen.
Frühere Studien bestätigen Einschätzung
Die Ergebnisse passen zu einer aktuellen Analyse des britischen AI Security Institute (AISI) aus dem Juli: Der Rückstand offener Modelle auf geschlossene Frontier-Modelle bei Cyber-Fähigkeiten ist demnach auf vier bis sieben Monate geschrumpft. Noch im Großteil des Jahres 2025 betrug dieser Abstand sechs bis zehn Monate.
Gleichzeitig sind offene Modelle deutlich günstiger: Ein Cyber-Range-Durchlauf mit Deepseek V4-Pro kostet laut AISI nur 1,19 Dollar, verglichen mit 85 Dollar für Anthropics Opus 4.5. Sicherheitsvorkehrungen der offenen Modelle erwiesen sich dabei als weitgehend wirkungslos.
Erst kürzlich zeigte zudem eine Untersuchung von Anthropic, dass das frei verfügbare Modell GLM-5-3 Exploits fast auf dem Niveau des internen Spitzenmodells Mythos erstellen kann.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
