An einem Juni-Abend prüfte eine KI für mich Änderungen an einer Website. Dafür wollte sie kurz einen lokalen Testserver starten – Routinearbeit. Damit kein Konsolenfenster über den Bildschirm flackert, wählte sie die aus ihrer Sicht ordentliche Variante: den Server als Prozess mit verstecktem Fenster starten, per Skript.
Sekunden später schlug Microsoft Defender an. Einstufung: Trojaner, Schweregrad „Schwerwiegend“. Begründung, wörtlich: „Dieses Programm ist gefährlich. Es führt Befehle eines Angreifers aus.“ Der Prozess wurde entfernt, der Auftrag der KI scheiterte – aus ihrer Sicht spurlos: Befehl abgesetzt, nichts kam zurück. Und auf meinem Bildschirm stand eine Viren-Warnung, ausgelöst durch mein eigenes Werkzeug.
[BILD: Screenshot der Defender-Meldung (Bedrohung entfernt, Schweregrad schwerwiegend), falls aus dem Verlauf rekonstruierbar. Zielpfad /images/articles/defender-falle/.]
Kein Fehlalarm im engeren Sinn
Das Reizvolle an diesem Vorfall: Der Virenschutz hat nicht gesponnen. Er hat genau das getan, wofür er da ist.
Moderne Schutzsoftware erkennt Schädlinge nicht nur an bekannten Signaturen, sondern an Verhalten. Und das Verhalten hier – eine Skript-Umgebung, gestartet mit gelockerten Richtlinien, erzeugt einen unsichtbaren Unterprozess – ist nun einmal das Lehrbuchmuster eines Schädlings, der heimlich Werkzeuge nachlädt. Genau so sähe es aus, wenn ein echter Angreifer auf meinem Rechner Fuß fassen wollte. Der interne Erkennungsname sagte es überdeutlich: sinngemäß „PowerShell versteckt gestarteter Unterprozess“.
Die KI hatte nichts Böses vor. Aber Absicht steht nicht im Prozessspeicher. Eine Heuristik bewertet, was geschieht, nicht wozu – und nach allem Beobachtbaren war dieses Verhalten von einem Angriff nicht zu unterscheiden. Die Meldung „führt Befehle eines Angreifers aus“ war übrigens nicht einmal ganz daneben: Der Prozess führte tatsächlich Befehle eines Dritten aus. Nur war der Dritte von mir beauftragt.
Warum KIs in solche Muster laufen
Eine KI wählt ihre Mittel nach Zweckmäßigkeit: Fenster stört? Fenster verstecken. Sie weiß dabei durchaus viel über Schadsoftware-Techniken – aber im Eifer einer konkreten Aufgabe optimiert sie auf „funktioniert“, nicht auf „sieht für einen Wächter vertrauenswürdig aus“. Menschen mit Systemerfahrung haben diese zweite Prüfung eingebaut; sie wissen, welche Tricks man meidet, nicht weil sie nicht funktionieren, sondern weil sie verdächtig sind.
Die Lösung war entsprechend unspektakulär: Der Weg über das versteckte Fenster flog raus. Stattdessen nutzt die KI seither die dafür vorgesehene, sichtbare Funktion ihrer eigenen Werkzeugumgebung, um Prozesse im Hintergrund laufen zu lassen – gleicher Effekt, kein Alarm, im selben Einsatz sofort problemlos gelaufen. Und der Vorfall steht als Regel in ihren Notizen: keine versteckten Prozesse, keine Trick-Umgehungen – die offiziellen Wege nehmen. Das ist dieselbe Grundhaltung wie bei unseren Agenten-Leitplanken: Ein Umweg, der wie ein Angriff aussieht, ist kein guter Umweg.
Was Du daraus mitnehmen kannst
Erstens, beruhigend: Wenn Dein Virenschutz bei KI-generierten Skripten oder Programmen anschlägt, heißt das nicht automatisch, dass die KI Dir etwas Bösartiges untergejubelt hat. Verhaltens-Erkennung flaggt Muster – und KI-Code landet gelegentlich in verdächtigen Mustern, weil er zweckmäßig statt konventionell gebaut ist.
Zweitens, ernüchternd: Verlassen darf man sich darauf nicht. Dieselbe Meldung könnte beim nächsten Mal echt sein. KI-generierter Code verdient Review, bevor er läuft – gerade weil man ihm die Absicht von außen nicht ansieht. Der Virenschutz bleibt an, seine Warnungen werden gelesen statt weggeklickt, und im Zweifel gilt: erst verstehen, was da lief, dann freigeben. Der Wächter, der meine KI für einen Einbrecher hielt, hat seinen Job gemacht. Genau solche Wächter will ich behalten.
/compact – das Wichtigste, wenn der Kontext knapp ist:
Eine KI startete einen lokalen Testserver als Prozess mit verstecktem Fenster – Microsoft Defender stufte das als Trojaner ein und entfernte den Prozess. Kein Fehlalarm im engeren Sinn: Verhaltens-Erkennung bewertet, was geschieht, nicht wozu, und ein unsichtbarer Unterprozess ist das Lehrbuchmuster eines Schädlings – KI-Code landet gelegentlich in verdächtigen Mustern, weil er zweckmäßig statt konventionell gebaut ist. Die Konsequenz: keine versteckten Prozesse und Trick-Umgehungen, sondern die offiziellen, sichtbaren Wege – und weil dieselbe Meldung beim nächsten Mal echt sein könnte, verdient KI-generierter Code Review, bevor er läuft.