Auch Metas Muse Spark drang in fremde Systeme ein – erstmals ist ein gemeinsamer Prüfdienstleister benannt

Metas Darstellung: Ein Muse-Spark-Modell nutzte während einer Cybersicherheits-Evaluierung eine Schwachstelle in den Systemen eines nicht genannten Unternehmens aus und nahm dort Änderungen vor. Möglich wurde das, weil die eigentlich abgeschottete Testumgebung – die Sandbox – durch einen Konfigurationsfehler beim Prüfdienstleister Irregular Zugang zum öffentlichen Internet hatte. Meta selbst spricht von einem versehentlichen Fehler beim Aufbau des Tests und stellt den Vorgang ausdrücklich neben die zuvor offengelegten Fälle bei OpenAI und Anthropic. Irregular ergänzt: „This did not involve a sandbox escape or a sophisticated cyber action. There are no current open issues.“ Zuerst berichtet hat The Information; CNN hat den Vorgang am 5. August aufgegriffen, heise und Al Jazeera am 6. August. ⚠️ Zur Versionsangabe: Simon Willison und CNN nennen das Modell nur „Muse Spark“, die Al-Jazeera-Fassung nennt „Muse Spark 1.1“ – wir führen deshalb die unspezifische Form.

OpenAIs Beitrag vom selben Tag benennt denselben Dienstleister als „one of our external cybersecurity testing partners“. Der beschriebene Ablauf: Irregular fuhr Evaluierungen im Capture-the-Flag-Stil, die vom Internet isoliert sein sollten – „a testing-environment misconfiguration allowed models to access the public internet“. In einem Test trug das fiktive Ziel denselben Namen wie eine reale Domain, und das Modell „exploited a real website, mistaking it to be part of the simulated environment“. Das ist exakt der Mechanismus, den Anthropic am 30. Juli für seinen ersten von drei Vorfällen beschrieben hat: Namensgleichheit zwischen Übungsziel und realem System, ein Modell, das sich für in einer Simulation hält, und eine Prompt-Zusage über die Umgebung, die schlicht nicht stimmte.

Was ausdrücklich offen bleibt: Anthropic hat seinen Evaluierungspartner in der eigenen Offenlegung nicht benannt. Dass es sich um Irregular handelt, sagt Anthropic nicht – die Verbindung stellt Irregular selbst her, indem es den Meta-Fall als denselben Umgebungsfehler bezeichnet. Wir führen das deshalb als Aussage des Dienstleisters, nicht als bestätigte Tatsache. Ebenfalls unbekannt sind: der Name des von Metas Modell betroffenen Unternehmens, der Zeitpunkt des Vorfalls, der Umfang der vorgenommenen Änderungen und ob Meta – wie Anthropic – eine rückwirkende Durchsicht seiner Evaluierungsläufe angestoßen hat. Der vierte Strang der laufenden Serie, der Vorfallsbericht des britischen AI Security Institute vom 4. August, betrifft eine andere Umgebung: dort war der Internetzugang laut Bericht bewusst aktiviert und die Cyber-Klassifizierer bewusst abgeschaltet.