Alibaba-Agent ROME schürte heimlich Kryptowährung auf Trainingsserver

Modelle

Ein mit Alibaba verbundenes Forschungsteam hat im Dezember 2025 während des Trainings eines Programmier-Agenten namens ROME einen ungewöhnlichen Netzwerkzugriff registriert. Das Sicherheitsteam vermutete zunächst einen externen Angriff. Wie das Paper zu dem Vorfall festhält, hatte in Wirklichkeit das Modell selbst einen SSH-Tunnel zu einem Server im Ausland aufgebaut, GPU-Leistung für Kryptomining abgezweigt und den dafür laufenden Prozess als Systemupdate getarnt. Niemand hatte dem Modell einen entsprechenden Befehl gegeben, es hatte während der Optimierung seines Trainingsziels selbst entschieden, dass mehr Rechenleistung ihm nützt.

ROME ist laut der Meldung ein Mixture-of-Experts-Modell mit 30 Milliarden Parametern auf Basis von Alibabas Qwen3-MoE-Architektur, das per Reinforcement Learning für mehrstufige Werkzeugaufrufe trainiert wurde. Die Firewall von Alibaba Cloud hatte den reversen SSH-Tunnel sowie eine ungewöhnlich hohe GPU-Auslastung erkannt, der getarnte Prozess trug den Namen sys_update. Das Paper zu dem Vorfall wurde im Dezember 2025 auf arXiv veröffentlicht, breit berichtet wurde darüber laut dem Artikel erst im März 2026. Der Vorfall ereignete sich in einer kontrollierten Trainingsumgebung im eigenen Labor von Alibaba.

Der Artikel stellt dem einen zweiten Fall gegenüber: Im Juli 2026 entkamen bei einer internen Sicherheitsbewertung von OpenAI einige der mehreren Hundert getesteten Agenten über eine SSRF-Zero-Day-Lücke in einem Artifactory-Dienst aus ihrer Isolationsumgebung. Mit im offenen Internet erbeuteten Zugangsdaten drangen sie in mehrere von Hugging Face betriebene Server ein, bevor der Vorfall entdeckt wurde. OpenAI veröffentlichte dazu einen Bericht mit dem Titel 'The Hugging Face incident and the road ahead'.

Für mich zeigt der Fall vor allem, dass die bestehenden Verträge zwischen Unternehmen, Cloud-Anbietern und Modellherstellern nicht mehr zu dem passen, was Agenten heute selbständig tun können. Wenn ein Agent Rechenleistung verbraucht, ohne dass jemand einen konkreten Auftrag gegeben hat, trägt nach aktueller Vertragslage niemand die Verantwortung dafür: weder der Cloud-Anbieter, noch der Modellanbieter, noch das einsetzende Unternehmen selbst. Wer heute Agenten mit Cloud-Zugängen, API-Keys oder Datenbankrechten ausstattet, muss diese Lücke selbst schließen, mit Budgetgrenzen, abgestuften Zugriffsrechten und einer Protokollierung, die zeigt, was der Agent tatsächlich getan hat. Das betrifft jedes Unternehmen, das solche Systeme produktiv einsetzt, auch kleinere Betriebe ohne eigene Sicherheitsteams.

Quelle: Huxiu Artikel