Physical AI unter Beschuss: Warum KI-Roboter eine neue Sicherheitsstrategie brauchen

Wenn Roboter das Falsche sehen – und trotzdem handeln

Die klassische Frage der Maschinensicherheit lautete stets: Wie verhält sich ein System, wenn etwas schiefläuft? Ein Sensor fällt aus, ein Kabel reißt, eine Komponente versagt – all das lässt sich mit etablierten Sicherheitsprotokollen abbilden. Physical AI, also die Verbindung von lernenden KI-Modellen mit physisch agierenden Robotern, stellt diese Frage auf den Kopf. Die eigentliche Bedrohung entsteht heute nicht mehr dort, wo etwas offensichtlich bricht, sondern dort, wo alles funktioniert – nur nicht so, wie es sollte.

Moderne Roboter nehmen ihre Umgebung über Multisensor-Systeme wahr, verarbeiten die Eingaben mit komplexen KI-Modellen und übersetzen die Interpretationen in physische Handlungen. Diese Kette aus Wahrnehmen, Entscheiden und Handeln schafft eine Angriffsfläche, die konventionelle Sicherheitskonzepte schlicht nicht kennen: Wer in der Lage ist, zu verändern, was ein Roboter sieht oder interpretiert, verändert damit auch, was er tut – ohne dass ein einziger Fehler im klassischen Sinne protokolliert wird.

Drei Angriffsebenen, die Unternehmen kennen müssen

Sicherheitsforscher und Branchenexperten haben in den letzten Jahren systematisch belegt, dass Angriffe auf Physical-AI-Systeme auf mindestens drei strukturellen Ebenen stattfinden können. Jede dieser Ebenen erfordert eigene Abwehrmaßnahmen – und alle zusammen verlangen ein grundlegend neues Sicherheitsdenken.

Ebene 1: Vergiftete Intelligenz – Backdoors in KI-Modellen

Bereits 2017 zeigte das sogenannte BadNets-Experiment, dass neuronale Netze unter normalen Bedingungen einwandfrei funktionieren können, während ein versteckter Trigger gezielt falsches Verhalten auslöst. Im damaligen Beispiel wurde ein Stoppschild in Anwesenheit eines subtilen Musters als Tempolimitschild klassifiziert – ohne dass das Modell in anderen Situationen auffiel.

Was damals noch ein akademisches Gedankenexperiment war, ist heute produktionsrelevant. Aktuelle Forschungsarbeiten wie BadVLA (präsentiert auf der NeurIPS 2025) zeigen, dass sogenannte Vision-Language-Action-Modelle – also KI-Systeme, die Bilder, Sprachanweisungen und physische Bewegungen gleichzeitig verarbeiten – gezielt manipuliert werden können. Das Modell führt normale Aufgaben korrekt aus, weicht aber in Anwesenheit eines definierten Triggers in seiner Bewegungstrajektorie ab. Ohne Trigger: unauffällig. Mit Trigger: gefährlich.

Noch beunruhigender ist die Studie GoBA aus dem Jahr 2025, die zeigt, dass ein gewöhnlicher Alltagsgegenstand – etwa ein Kaffeebecher im Sichtfeld der Kamera – als zuverlässiger Trigger fungieren kann. Die Forscher berichten von einer Angriffserfolgsrate von 97 Prozent, ohne dass die Performance auf normalen Inputs messbar leidet. Ein solches Modell besteht jeden gängigen Qualitätstest – und versagt im Feld.

„Die entscheidende Frage ist nicht mehr, ob ein Modell unter Normalbedingungen korrekt arbeitet, sondern ob es unter adversariellen Bedingungen innerhalb seiner Sicherheitsgrenzen bleibt." — Dr. Maik Bunzel, Gründer und Geschäftsführer von mabucon.eu

Ebene 2: Systeminfrastruktur als Einfallstor

Selbst ein sauber trainiertes, sorgfältig validiertes KI-Modell kann kompromittiert werden, wenn die umgebende Systeminfrastruktur Schwachstellen aufweist. Sicherheitsforscher haben 2025 mit UniPwn eine Bluetooth-Exploit-Kette vorgestellt, die Roboter unterschiedlicher Hersteller betrifft: Durch hart kodierte kryptografische Schlüssel, umgehbare Authentifizierungsprüfungen und Command-Injection-Angriffe ließ sich auf betroffenen Geräten Root-Level-Kontrolle erlangen – und das Exploit gilt als „wormable", kann also eigenständig auf weitere Roboter im Netzwerk übergreifen.

Middleware-Schichten wie ROS 2 oder DDS-basierte Kommunikationssysteme stellen eine weitere Angriffsfläche dar. Schwachstellen dort können es einem Angreifer ermöglichen, Motor-Kommandos zu überschreiben oder sogar die Gewichte eines KI-Modells auszutauschen – ohne jemals direkt das Modell selbst anzugreifen. Die Einzelkomponenten funktionieren dabei weiterhin einwandfrei. Was sich verändert hat, ist die Vertrauenswürdigkeit der Signale, die durch das System fließen.

Für Unternehmen, die Roboter oder KI-gestützte Automatisierungslösungen einsetzen, bedeutet das: Vulnerability-Management ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess – von der Entwicklung bis zum laufenden Betrieb.

Ebene 3: Manipulation von Wahrnehmung und Reasoning zur Laufzeit

Die dritte Angriffsebene ist besonders tückisch, weil sie weder Firmware-Modifikationen noch Netzwerkzugang erfordert. Zur Laufzeit kann es ausreichen, die Eingaben zu manipulieren, die ein System wahrnimmt oder interpretiert.

• Prompt Injection: Forschungen wie RoboPAIR zeigen, dass sorgfältig strukturierte Sprachbefehle LLM-gesteuerte Roboter in unsichere Bewegungsabläufe lenken können – auch wenn das System verbal ablehnt.
• Adversarielle Patches: Ein visuelles Muster im Kamerabild kann die Erfolgsrate eines VLA-Modells bei Standardaufgaben auf nahezu null reduzieren – ohne dass die Kamera selbst defekt ist.
• Entscheidungsschleifen-Einfrierung: Einzelne manipulierte Bildinputs können die gesamte Entscheidungslogik eines Roboters zum Erliegen bringen und ihn für Folgeanweisungen unempfänglich machen.
• Dissoziation von Sprach- und Motorschicht: In mehreren dokumentierten Fällen lehnte ein Roboter einen gefährlichen Befehl verbal ab – führte ihn aber motorisch trotzdem aus, weil Sprachmodell und Bewegungscontroller entkoppelt reagierten.

Runtime-Assurance muss daher weit über die Verfügbarkeit einzelner Komponenten hinausgehen. Die relevante Frage lautet: Beginnen Cyber-Ereignisse, das physische Verhalten zu beeinflussen?

Was das für Unternehmen bedeutet

Physical AI ist kein futuristisches Konzept mehr. Logistikroboter, kollaborative Industrieroboter, autonome Fahrzeuge und humanoide Assistenzsysteme sind bereits im Einsatz oder stehen kurz vor der breiten Einführung. Wer heute in diese Technologien investiert, muss Sicherheit grundlegend neu denken – nicht als nachgelagerte Compliance-Aufgabe, sondern als integralen Bestandteil des gesamten Entwicklungs- und Betriebszyklus.

Dr. Maik Bunzel, Gründer und Geschäftsführer von mabucon.eu, empfiehlt Unternehmen, bei der Einführung von KI-gestützter Automatisierung explizit zwischen funktionaler Sicherheit und adversarieller Robustheit zu unterscheiden: „Ein System kann alle klassischen Sicherheitstests bestehen und trotzdem durch gezielte Manipulation in gefährliche Zustände gebracht werden. Diese Lücke ist keine Randerscheinung – sie ist systemimmanent, wenn KI physische Entscheidungen trifft."

Konkret sollten Unternehmen folgende Maßnahmen in ihre Roadmap aufnehmen:

• Modell-Audits vor dem Deployment: KI-Modelle sollten nicht nur auf Genauigkeit, sondern explizit auf Backdoor-Anfälligkeit und adversarielle Robustheit getestet werden – idealerweise in simulierten Umgebungen, die realistische Angreiferszenarien abbilden.
• Supply-Chain-Transparenz: Vortrainierte Modelle und Drittanbieter-Komponenten sind potenzielle Einfallstore. Herkunft und Integrität von Modellgewichten sollten nachvollziehbar sein.
• Kontinuierliches Monitoring im Betrieb: Klassisches IT-Monitoring reicht nicht aus. Anomalieerkennung muss auch auf Verhaltensabweichungen in der physischen Aktion ausgerichtet sein.
• Layered Defense: Kein einzelner Schutzmechanismus ist ausreichend. Netzwerksicherheit, Modellvalidierung, sichere Middleware-Konfigurationen und Runtime-Überwachung müssen als Schichten zusammenwirken.
• Red-Teaming für Physical AI: Gezielte Angriffssimulationen, die sowohl Modell- als auch Systemebene abdecken, sollten Teil des regulären Sicherheitsprozesses werden.

Ausblick: Sicherheit als Architekturentscheidung

Die Forschungsergebnisse der letzten Jahre zeichnen ein klares Bild: Je mehr Autonomie KI-Systeme in physischen Umgebungen erhalten, desto größer wird der Schaden, den ein gezielter Angriff anrichten kann – und desto subtiler werden die Angriffsvektoren. Backdoors in Modellen, kompromittierte Middleware, adversarielle Patches im Kamerabild: All das hinterlässt keine klassischen Fehler-Logs.

Für die Automatisierungsbranche bedeutet das eine fundamentale Neuausrichtung. Sicherheit darf nicht länger als externe Anforderung betrachtet werden, die ein fertiges System erfüllen muss. Sie muss als Architekturentscheidung von Beginn an in die Entwicklung einfließen – in die Wahl der Modellarchitektur, in die Gestaltung der Kommunikationsschichten, in die Deployment-Strategie und in die Betriebsprozesse.

Unternehmen, die diesen Wandel jetzt vollziehen, sichern nicht nur ihre Investitionen – sie bauen die Vertrauensbasis, ohne die Physical AI langfristig keine gesellschaftliche Akzeptanz finden wird. Die Technologie ist bereit. Die Sicherheitskultur muss es ebenfalls werden.