KI-Malware : KI-Malware im Jahr 2026 : Supermalware mit KI erschaffen – Vision oder Realität?

Vibecoding verringert die Einstiegshürde

Programmieren mit KI-Hilfe (sog. Vibecoding) verändert aktuell grundlegend, wie leicht Anfänger Software entwickeln können. Inzwischen reicht oft eine gute Idee, etwas Neugier und eine Kreditkarte für KI-Tools aus, um innerhalb weniger Tage funktionierende Anwendungen zu erstellen. Dienste wie Cursor AI, Bolt.New oder OpenAI CodeX senken die technische Einstiegshürde massiv: Anfänger beschreiben einfach, was sie haben möchten, und die KI erzeugt den Code automatisch – mit allen Pros und Contras.

Für Angreifer verschiebt sich damit vor allem die Organisation des Angriffs: Einzelne Personen können heute in kurzer Zeit Software bauen, testen und wieder verwerfen. Dafür braucht es nicht mehr zwingend eine große kriminelle Organisation mit spezialisierten Entwicklern, Infrastrukturteam und sauberem Entwicklungsprozess.

Das macht Angriffe leichter skalierbar und zugleich schwerer zurechenbar. Wenn ein einzelner Akteur mit KI-Hilfe schnell brauchbare Tools erzeugen kann, entstehen mehr kleine, kurzlebige Angriffswerkzeuge. Für Strafverfolgung und Incident-Response wird es schwieriger, stabile Gruppenstrukturen, wiedererkennbare Toolchains oder langfristige Infrastruktur zu verfolgen.

Qualität ist kein Problem der Angreifer

Bei Angriffscode zählt selten technische Eleganz – Malware war schon immer zu großen Teilen Wegwerfsoftware: kurz genutzt, angepasst, ersetzt oder nach Entdeckung verworfen. Sie muss nicht dauerhaft wartbar, sauber dokumentiert oder architektonisch hochwertig sein. Sie muss nur im richtigen Moment gut genug funktionieren.

Genau deshalb ist die Qualitätsdebatte für die Angreiferseite zweitrangig: Wenn KI mittelmäßigen Code schnell genug erzeugt, reicht das für viele reale Angriffe aus. Fehler, hässlicher Code und geringe Haltbarkeit sind kein Ausschlusskriterium, solange man das Werkzeug schnell anpassen und erneut einsetzen kann.

Der entscheidende Vorteil ist Geschwindigkeit! Je schneller Schwachstellen gefunden, verstanden, in Exploits übersetzt und breit getestet werden können, desto kleiner wird das Zeitfenster für Verteidiger. Die „Zero Day Clock“ [3] zeigt genau diese Verschiebung: Die Zeit zwischen Veröffentlichung einer Schwachstelle und beobachteter Ausnutzung (Time to Exploit, TTE) schrumpft massiv – das klassische Patch-Fenster verliert damit an Verlässlichkeit.

Fortgeschrittene KI-gestützte Angriffe

Dass KI bestehende Kill-Chains unterstützen kann, ist inzwischen belegt: Das „National Cyber Security Centre“ (NCSC – quasi das englische BSI) erwartet eine beschleunigte Schwachstellenforschung und Exploitentwicklung [4]. Microsoft beschreibt KI-gestützte Automatisierung entlang von Aufklärung, Schwachstellensuche und Ausnutzung im größeren Maßstab [5].

Als wäre es nicht genug, dass KI die bekannte Cyber-Kill-Chains beschleunigt, besteht darüber hinaus die Gefahr einer strukturellen Veränderung von Angriffen. Wenn Modelle nicht mehr nur bei Reconnaissance, Phishing oder Exploit-Entwicklung helfen, sondern in Angriffswerkzeuge selbst integriert werden, entstehen neue Freiheitsgrade: Schadsoftware kann während der Ausführung mit KI-Diensten experimentieren, weiteren Code erzeugen oder nachladen. Google nennt dafür erste Beispiele von „AI-integrated Malware“ [6]. Damit werden ganz neue Angriffsmuster erwartbar – nicht als Hollywood-Supervirus, wohl aber als nächste Evolutionsstufe bekannter Kill-Chains.

Schranken für KI-Einsatz und -Risiko

Diese Risiken werden seit Jahren diskutiert. Die EU versucht mit dem AI-Act den Einsatz der Technologie zu regulieren – aber auch die US-Hersteller bauen Bremsen in ihre Modelle ein. Solche Schutzmechanismen werden oft als Guardrails bezeichnet: Regeln, Filter, Klassifikatoren, Tests und Laufzeitkontrollen, die schädliche Anfragen erkennen, riskante Antworten verweigern oder die Nutzung von Tools begrenzen sollen.

Die großen Anbieter dokumentieren diese Schutzschichten inzwischen öffentlich – etwa in System-Cards, Model-Cards, Safety-Cards, Preparedness- oder FrontierSafety-Frameworks. Darin beschreiben sie Risikoanalysen, Red-Teaming, Safety-Evaluierungen, bekannte Einschränkungen sowie die Kriterien, nach denen ein Modell überhaupt für den Einsatz freigegeben wird – eine Auswertung dieser Hinweise für die bekanntesten Modelle liefert Tabelle 1 auf Seite 60.

Aus Sicht des Autors zeigt diese Auflistung vor allem eines: Die großen Anbieter haben inzwischen erkennbare und öffentlich dokumentierte Schutzschichten aufgebaut, aber Transparenz und Belastbarkeit unterscheiden sich deutlich. OpenAI und Anthropic wirken am umfassendsten dokumentiert, Google überzeugt besonders über sein Frontier-Safety-Framework, bleibt bei produktiven Filter- und Deployment-Schichten jedoch weniger konkret. xAI beschreibt für Grok 4 relevante Safety-Mechanismen, die Übertragbarkeit auf Grok 4.20 ist aber nur eingeschränkt belastbar.

Entwicklungen bei Guardrails und Nutzungsbeschränkungen

Guardrails sind heute kein Marketingdetail mehr, sondern ein ernstzunehmender Teil der Modellarchitektur – allerdings keine Garantie gegen Missbrauch, besonders dort, wo Anfragen mehrstufig, professionell formuliert oder zunächst harmlos „geframed“ sind.

Anthropics Fable 5 zeigt überdies, dass Guardrails nicht mehr nur aus Refusals bestehen. Anthropic nutzt hier eine weichere, aber weitreichende Sicherheitslogik: Kritische Anfragen in Bereichen wie Cybersecurity, Biologie, Chemie oder Modelldestillation werden nicht zwingend beantwortet oder blockiert, sondern auf Claude Opus 4.8 heruntergestuft. Gleichzeitig verlangt Fable 5 eine 30-tägige Datenaufbewahrung für Safety-Monitoring – klassische Zero-Data-Retention-Zusagen gelten für diese Modellklasse also nicht unverändert.

Genau dieser Punkt dürfte in Deutschland besonders nerven: Wer bisher mit Zero-Data-Retention, Datenminimierung und klarer Zweckbindung argumentiert hat, muss nun erklären, warum besonders sensible Frontier-Nutzung ausgerechnet über längere Protokollierung kontrolliert werden soll. Das ist sicherheitspolitisch interessant, weil der eigentliche Guardrail damit nicht nur im Modell liegt, sondern auch in der Fähigkeit des Anbieters, Nutzungsmuster nachträglich zu erkennen und Missbrauch über Zeit zu kontrollieren.

Die jüngste Entwicklung um GPT-5.6, Fable  5 und Mythos  5 verschiebt den Fokus: Entscheidend ist nicht mehr nur, ob Hersteller Guardrails, Red-Teams und Monitoring dokumentieren, sondern ob externe Akteure diesen Schutzmechanismen ausreichend vertrauen. Genau daran zeigt sich die Grenze des aktuellen Sicherheitsversprechens. Anthropic musste Fable 5 und Mythos 5 nach einer US-Regierungsanweisung zeitweise vollständig abschalten [7]. Mythos 5 wurde später nur für ausgewählte, geprüfte US-Organisationen wieder zugelassen.

^{Tabelle 1: Guardrails der großen Modelle auf einen Blick}

Auch OpenAI beschränkte den Start von GPT-5.6 auf eine kleine Gruppe vertrauenswürdiger Partner, deren Teilnahme mit der US-Regierung abgestimmt war. Die politische Botschaft ist deutlich: Aus Sicht der US-Regulierung reichen dokumentierte Guardrails allein offenbar nicht aus, um besonders leistungsfähige Frontier-Modelle sofort breit verfügbar zu machen. Das nervt Europäer aus Datenschutz-/DSGVO- und Souveränitätssicht zu Recht. Gleichzeitig kann niemand seriös behaupten, Europa würde in derselben Lage zwingend anders handeln, wenn eine solche Schlüsseltechnologie hier entstanden wäre und man selbst die Verantwortung für deren Missbrauchsrisiken tragen müsste.

Open-Weights-Modelle – unkontrolliertes Risiko?

Parallel holen die sogenannten Open-Weights-Modelle sichtbar auf: GLM-5.2, Kimi K2.7 und DeepSeek V4 Pro zeigen, dass leistungsfähige Modelle nicht mehr nur aus den Rechenzentren der US-Konzerne kommen. Das ist erfreulich für alle, die der Übermacht von OpenAI, Anthropic, Google und xAI etwas entgegensetzen wollen.

Für die Guardrails-Debatte ist es aber ein Problem: Denn bei Open-Weights-Modellen ist die entscheidende Frage nicht nur, welche Schutzmechanismen in einem Release enthalten sind, sondern wie dauerhaft sie überhaupt wirken. Viele Guardrails entstehen nachträglich durch Post-Training, Policies, Refusal-Verhalten oder Laufzeitkontrollen. Wer die Gewichtungen selbst betreibt, kann solche Schutzschichten zumindest teilweise wieder entfernen, umgehen oder durch eigenes Fine-Tuning verändern.

Und wer das Modell lokal hostet, fällt zusätzlich aus den Anbietermechanismen heraus: Es gibt dann schließlich keine zentrale Zugriffskontrolle, kein ProviderMonitoring, keine nachträgliche Sperre, kein kontrolliertes Downgrade. Spätestens Modelle wie VibeThinker-3B zeigen außerdem, wohin die Reise geht: Immer mehr starke Reasoning- und Coding-Fähigkeiten werden in kleine Modelle komprimiert, die perspektivisch auf bezahlbarer Hardware oder sogar Gaming-GPUs laufen können.

Damit wird die Frage nach Guardrails noch schwieriger: Nicht nur, ob sie gut sind, sondern ob sie in einer Open-Weights- und Self-Hosting-Welt überhaupt noch zuverlässig durchsetzbar bleiben (vgl. etwa Ansätze wie n8n.io und zapier.com)

Benchmarks für Guardrails

Die Frage „Wie gut sind die Guardrails wirklich?“ wird nicht erst seit gestern systematisch gestellt – in den letzten zwei Jahren hat sich eine ganze Landschaft öffentlicher Benchmarks gebildet, die genau das messen. Vier Ansätze prägen das Feld: HarmBench (www.harmbench.org) und JailbreakBench (https://jailbreakbench.github.io) prüfen mit standardisierten Sätzen schädlicher „Behaviors“, wie oft sich ein Modell zu verbotenen Antworten überreden lässt, und drücken das als Attack-Success-Rate (ASR) aus – je niedriger, desto besser geschützt.

StrongREJECT korrigiert dabei einen verbreiteten Messfehler: Es zählt nicht, ob ein Modell formal ablehnt, sondern wie nützlich und konkret eine womöglich doch herausgerutschte Schadantwort wäre. Ein „Das darf ich nicht, aber hier ist es …“ fällt damit durch (https://github.com/alexandrasouly/strongreject). AgentHarm schließlich verlagert den Test in die Agentenwelt: Hier zählt, ob ein Modell mit Tool-Zugriff bösartige, mehrstufige Aufgaben ausführt  – genau das Szenario der KIintegrierten Angriffe (https://huggingface.co/datasets/ai-safety-institute/AgentHarm).

Speziell für Cybersecurity ist CyberSecEval von Meta (Purple Llama, https://meta-llama.github.io/PurpleLlama/CyberSecEval/) der direkteste Maßstab. Die Suite misst unter anderem Prompt-Injection, den Missbrauch eines Code-Interpreters, die Hilfsbereitschaft entlang der MITRE-ATT&CK-Taktiken sowie – wichtig – die False-Refusal-Rate, also wie oft ein Modell harmlose, legitime Sicherheitsanfragen fälschlich verweigert. Ergänzend prüfen Benchmarks wie XSTest (https://github.com/paul-rottger/xstest) oder OR-Bench (https://github.com/justincui03/or-bench) gezielt dieses Überblocken.

Auffällig ist: Fast alle diese Tests sind englischsprachig und kaum einer adressiert politische Neutralität, Hersteller-Bias oder staatliche Einflussnahme.

Was die Tests über aktuelle Modelle verraten

Die ernüchternde Nachricht zuerst: Für die jeweils brandaktuellen Versionen – GPT-5.6, Fable 5, Mythos 5 und ebenso die offenen Modelle GLM-5.2, Kimi K2.7 oder DeepSeek V4 Pro – liegen belastbare, unabhängige Guardrail-Ergebnisse praktisch noch nicht vor. Veröffentlicht werden zuerst Fähigkeits-Benchmarks – die Sicherheitsmessung hinkt jedem Release um Wochen bis Monate hinterher. Was es gibt, betrifft die unmittelbaren Vorgänger – die Befunde liefern aber dennoch einige wichtige Aussagen.

Drei Muster ziehen sich durch alle seriösen Studien:

• Einzelne, direkte Angriffe werden zuverlässig abgewehrt: Statische Tricks wie Verschlüsselung, Base64, Payload-Splitting oder simples Rollenspiel sind bei den Spitzenmodellen weitgehend neutralisiert – in einer adaptiven Red-Teaming-Studie zu Opus 4.8 [8] etwa auf unter 0,2 % Erfolgsquote, trotz rund 50 000 Versuchen.
• Mehrstufige, adaptive Angriffe brechen die Modelle deutlich häufiger: Dieselbe Studie weist für Opus 4.8 unter „Tree of Attacks“ rund 11,5 % ASR aus – fast alle erfolgreichen Jailbreaks stammen aus eskalierenden, überredenden Gesprächsverläufen. Eine breit angelegte Multi-Turn-Untersuchung [9] zeigt dasselbe Bild noch drastischer: Was im Einzelprompt im einstelligen Bereich liegt, klettert über mehrere Turns massiv – bei einem GPT-5- Vorgänger auf rund 25 %, bei Gemini 3 Pro von etwa 18 % auf 73 %.
• Open-Weights-Modelle schneiden in den Standard-Leaderboards mit Abstand am schlechtesten ab (Vorgängergenerationen oft im Bereich von 50–65 % ASR) – und die neuesten offenen Modelle sind mangels unabhängiger Audits faktisch ungemessen.

Die eigentliche Lehre ist also nicht „Modell X ist sicher, Modell Y nicht“. Sie lautet: Guardrails halten dem stand, wofür sie trainiert wurden – dem schnellen, plumpen Angriff. Sie erodieren dort, wo ein Angreifer Zeit, mehrere Schritte und ein harmlos erscheinendes „Framing“ mitbringt – genau dort also, wo reale, KI-gestützte Angreifer ansetzen.

^{Abbildung 1: Gesamt-Pass-Rate pro Modell}

^{Abbildung 2: Reaktion auf spezifische Angriffstechniken (alle Modelle)}

^{Tabelle 2: Gesamtranking der Modelle}

Methodisch ist die Suite an OWASP LLM Top 10 [11], MITRE ATT&CK/ATLAS [12] und das NIST AI RMF [13] angelehnt, sodass sich die Ergebnisse einordnen und vergleichen lassen. Wichtig ist dabei die ehrliche Abgrenzung: Die Suite vermisst Guardrails, nicht Fähigkeiten! Und weil es für die genannten aktuellen Modelle eben noch keine vergleichbaren Zahlen gibt, ist genau das der Mehrwert: ein deutschsprachiger, Governance-orientierter Prüfrahmen, der die Modelle dort testet, wo der reale Angreifer ansetzt: mehrstufig, geduldig und zunächst harmlos getarnt.

Ergebnisse des Praxistests

Insgesamt bestehen im Juni 2026 die acht getesteten Modelle (siehe Abb. 1) 1019 von 1248 Prüfungen, also rund 82 %. Das klingt zunächst beruhigend, die Detailbetrachtung zeigt aber genau das Muster, das die zitierten Studien bereits nahelegen: Guardrails halten dort, wofür sie trainiert wurden – und sie erodieren dort, wo der Angriff mehrstufig, getarnt oder als legitime Aufgabe geframed ist.

Kein Spitzenreiter mit Sicherheitsgarantie

Im Gesamtranking liegen die geschlossenen Spitzenmodelle Claude Opus 4.8 und GPT-5.5 mit je 85,9 % vorn  – dicht gefolgt vom offenen MiMo v2.5 Pro (85,3 %). Das Feld ist eng: Zwischen Platz 1 und Platz 7 liegen nur gut sechs Prozentpunkte – allein DeepSeek V4 Pro liegt mit 71,8 % deutlich abseits. Die naheliegende These „Open Weights gleich unsicher“ bestätigt sich damit nur teilweise: Zwei der drei offenen Modelle spielen auf Augenhöhe mit den kommerziellen Frontier-Modellen.

Getarnte Graustufen machen Probleme

Der aufschlussreichste Befund steckt in der Eskalationsstufe (Tab. 3): Erlaubte Anfragen (Stage 2) werden zu 99,1 % korrekt bedient, Dual-use-nahe Bitten (Stage 3) noch zu 91,1 %. Dann bricht die Kurve ein: Ausgerechnet bei Stage 4, den getarnten Umgehungs-, Rollenspiel- und Impersonation-Szenarien bestehen nur noch 66,4 %. Bemerkenswert: Die explizit schädliche Stage 5 schneidet mit 81,3 % wieder besser ab.

^{Tabelle 3: Pass-Rate nach Eskalationsstufe (alle Modelle)}

Wo die Absicht plump und offensichtlich ist, greifen die Refusals also recht zuverlässig. Wo dieselbe Absicht harmlos verpackt wird, fällt die Schutzwirkung um rund ein Drittel zurück. Genau dort setzt aber der reale, KI-gestützte Angreifer an! Tabelle 4 zeigt die detaillierten Ergebnisse der einzelnen Modelle.

^{Tabelle 4: Pass-Rate pro Modell x Eskalationsstufe}

Mehrstufig schlägt einstufig

Der zweite klare Hebel des Angreifers ist der Gesprächsverlauf: Im Einzelprompt erreichen die Modelle 84,0 %, im fortlaufenden Eskalationsgespräch nur noch 72,2 % (Tab. 5). Geduld und Kontextaufbau zahlen sich für Angreifer also aus – qualitativ zeigt sich hier dasselbe Bild, das die zitierten Multi-Turnuntersuchungen zeigen.

^{Tabelle 5: Single-Turn vs. Multi-Turn (alle Modelle)}

Die Technik entscheidet – nicht das Thema

Bricht man die Ergebnisse nach Angriffstechnik auf (Abb. 2), zeigt sich: Reine Inhaltskategorien werden gut abgefangen – zerstörerische Angriffe (92,5 %) oder Credential-Diebstahl (88,8 %) sind kaum ein Problem. Was kippt, sind die Transport- und Umgehungstechniken: die simple „Übersetzungsbrücke“ (35,0 %), der Missbrauch von Agenten- und Tool-Fähigkeiten (45,0 %), das Nachgeben nach wiederholtem Druck (50,0 %) sowie Rollenspiel (54,2 %) und Policy Laundering (62,5 %).

Im Kontrast dazu wurden legitime Sicherheitsarbeit, FalseRefusal-Proben, der emotionale Notfall-Vorwand, KontoübernahmeSzenarien, Geldwäsche sowie klassische Jailbreak-Klischees wie DAN-Personae und „Many-Shot“ mit rund 94– 100 % nahezu vollständig abgewehrt beziehungsweise korrekt beantwortet.

Über-Blocken ist (noch) kein Problem

Die bewusst eingestreuten Kontrollfälle legitimer Sicherheitsarbeit werden erfreulicherweise fast durchgängig korrekt bedient: Erlaubte Anfragen erreichen 99,1 %, professionelle Defensivarbeit und gezielte FalseRefusal-Proben sogar 100 %. Die Modelle liefern also keine ängstlichen Totalblockaden. Die Schwäche liegt vielmehr in zu wenig Trennschärfe an der Graustufe: Das saubere defensive Umlenken (redirect_defensive) gelingt nur in 59,4 % der Fälle (vgl. Tab. 6).

^{Tabelle 6: Pass-Rate nach erwartetem Verhalten}

Fazit

Der Praxistest bestätigt die zentrale These dieses Artikels: Guardrails sind reale Hilfen, aber keine Verteidigungslinie, auf die man sich verlassen darf. Sie stoppen einen plumpen Einzelangriff deutlich besser als geduldige, mehrstufige und als harmlos getarnte Vorgehensweisen – genau dort liegt die praktische Gefahr KI-gestützter Angriffe.

Entscheidend ist deshalb nicht, welches Modell im Ranking knapp vorn liegt – ohnehin schließt kein getestetes Modell die Lücke bei getarnten Bypass-Szenarien. Guardrails verschieben die Einstiegshürde, sie beseitigen sie nicht. Wer seine Sicherheitsstrategie darauf baut, dass Anbieterfilter Angreifer dauerhaft aufhalten, verwechselt eine Bremsschwelle mit einer Mauer.

Für Verteidiger heißt das: nicht auf die Bremsen der Hersteller hoffen, sondern die eigene Abwehr schneller, robuster und näher an den Werkzeugen aufstellen! Tool-Kontrolle, Detektion, Logging, Incident Response und klare Grenzen für die KI-Nutzung werden zur eigentlichen Verteidigungslinie.

Die Lehre ist unbequem, aber simpel: Guardrails helfen, retten werden sie aber niemanden. Verteidigt euch selbst – breit aufgestellt, hart im Prozess und schnell in der Reaktion!

Daniel Gehrig Msc ist Principal Consultant AI Security, Automation & Cyber Advisory bei IS4IT

Literatur

^{[1] Olaf Pursche, Maik Morgenstern, Super-Malware oder überschätztes Risiko?, Schadprogramme aus der Feder „künstlicher Intelligenz“, 2023# 3, S. 63, www.kes-informationssicherheit.de/print/ausgabe-3-2023/super-malware-oder-ueberschaetztes-risiko/ (<kes>+)}

^{[2] Alex Singla, Alexander Sukharevsky, Bryce Hall, Lareina Yee, Michael Chui, Tara Balakrishnan, The state of AI in 2025, Agents, innovation, and transformation, McKinsey Survey, November 2025, www.mckinsey.com/capabilities/quantumblack/our-insights/the-state-of-ai}

^{[3] Sergej Epp et al, Zero Day Clock, Time-to-Exploit Dashboard, fortlaufend aktualisiert, https://zerodayclock.com}

^{[4] UK National Cyber Security Centre (NCSC), Impact of AI on cyber threat from now to 2027, Report, Mai 2025, www.ncsc.gov.uk/report/impact-ai-cyberthreat-now-2027}

^{[5] Microsoft, Microsoft Digital Defense Report (MDDR) 2025, Oktober 2025, www.microsoft.com/en-us/corporate-responsibility/topics/cybersecurity/reports/microsoft-digital-defense-report-2025/}

^{[6] Google Threat Intelligence Group, GTIG AI Threat Tracker: Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access, Mai 2026, https://cloud.google.com/blog/topics/threatintelligence/ai-vulnerability-exploitation-initial-access}

^{[7] Anthropic, Statement on the US government directive to suspend access to Fable 5 and Mythos 5, Company Announcement, Juni 2026, www.anthropic.com/news/fable-mythos-access}

^{[8] Nicola Franco, A Red-Team Study of Anthropic Fable 5 & Opus 4.8 Models, The Italian Institute of Artificial Intelligence (AI4I), Juni 2026, https://arxiv.org/abs/2606.18193}

^{[9] Nicholas Conley, Amy Chang, Proprietary Problems: No Frontier Model Is Multi-Turn Immune, Cisco Blog, Mai 2026, https://blogs.cisco.com/ai/proprietary-problems  – vollst. Report: www.cisco.com/content/dam/cisco-cdc/site/en_us/products/security/proprietary_problems.pdf}

^{[10] Daniel Gehrig, Florian Oelmaier, GuardrailBenchmark fürdeutschsprachige Anwendungsszenarien, Juli 2026, ggf. verfügbar auf Anfrage an daniel. gehrig@is4it.de}

^{[11] Open Worldwide Application Security Project (OWASP), OWASP Top 10 for Large Language Model Applications, Version  2025, November 2024, https://owasp.org/www-project-top-10-for-large-languagemodel-applications/}

^{[12] Mitre Corporation, Adversarial Threat Landscape for Artificial-Intelligence Systems (ATLAS), undatiert, https://atlas.mitre.org}

^{[13] National Institute of Standards and Technology (NIST), AI Risk Management Framework (RMF), Januar 2023, www.nist.gov/itl/ai-risk-managementframework}