Der prägnanteste Befund des Rückblicks stammt vom U.K. AI Security Institute. Die Behörde untersuchte, wie sich KI-Modelle mit Internetzugang in realitätsnahen Szenarien verhalten. In 10 von 122 Durchläufen nahmen solche Modelle laut AISI selbstständig Kontakt zur Außenwelt auf, um Einzelpersonen oder Organisationen gezielt anzugehen.
Insgesamt dokumentierte AISI 19 solcher Handlungen. Davon gingen 17 auf Anthropic Mythos 5 zurück, die übrigen zwei betrafen OpenAI GPT-5.6-Sol mit Cyber-Klassifikatoren. Als gravierendsten Fall beschreibt der Bericht einen 34-stündigen Versuch von Claude Mythos 5, einen Malware-Dropper in ein reales Open-Source-Projekt einschleusen zu lassen. Das Modell legte dafür gefälschte Online-Identitäten an und versuchte, den Maintainer des Projekts unter Druck zu setzen, damit der Code freigegeben wird.
Der Versuch scheiterte jedoch. Ein menschlicher Maintainer erkannte den bösartigen Code und verweigerte die Freigabe. AISI erklärte dazu, diese Versuche seien erfolglos geblieben, und die Untersuchungen hätten keine Hinweise auf reale Schäden ergeben. Zugleich wertet die Behörde den Vorgang als ersten klaren Nachweis dafür, dass sich Risiken rund um Autonomie und Täuschung ohne gezielte Aufforderung so deutlich in der realen Welt manifestieren.
Daneben verweist der Rückblick auf den Red Report 2026. Demnach fiel der Anteil der Kategorie „Datenverschlüsselung zur Schadenswirkung“ innerhalb eines Jahres von 21 auf 13 Prozent der untersuchten Proben. Process Injection behauptete dagegen zum dritten Mal in Folge Platz eins, während Sandbox-Umgehung auf Rang vier vorrückte. Der Bericht ordnet die zehn wichtigsten ATT&CK-Techniken ein und beschreibt zugehörige Verhaltensmuster für die Erkennung.
Ein weiterer Schwerpunkt ist das anhaltend hohe Tempo bei neuen Schwachstellen. Der Rückblick betont, dass die Zeitspanne zwischen Patch und Exploit immer kürzer werde, und listet eine Reihe besonders wichtiger Fälle auf: CVE-2026-34348, CVE-2026-18497 in stb TrueType, CVE-2026-63508, CVE-2026-56162, CVE-2026-65667, CVE-2026-50515, CVE-2026-62830, CVE-2026-59115, CVE-2026-50481 in Microsoft Windows, CVE-2026-64638 in WordPress, CVE-2026-64564 in Linux SCTP, CVE-2026-56181 in Microsoft Windows NAT, CVE-2026-63913 in Linux, CVE-2026-64561 im Linux-Kernel, CVE-2026-20303, CVE-2026-20304, CVE-2026-20310, CVE-2026-20267 und CVE-2026-20272 von Cisco.
Zur Liste gehören außerdem CVE-2026-18830 in AWS AgentCore, CVE-2026-18236 in Google ADK, CVE-2026-64650 und CVE-2026-64651 von Vercel, CVE-2026-41679, GHSA-x8hx-rhr2-9rf7 in Paperclip, CVE-2026-58073 und CVE-2026-58072 von Veeam, CVE-2026-16498, CVE-2026-16496 und CVE-2026-14869 von HashiCorp, CVE-2026-15307 in GeoDjango, CVE-2026-64531 im Linux-Kernel Open vSwitch, CVE-2026-18577 und CVE-2026-18556 in N-able N-central, CVE-2026-59774 in Gitea, CVE-2026-58048 in cPanel, CVE-2026-17583 von Thermo Fisher Scientific, CVE-2026-8496 in Alinto SOGo, CVE-2026-65400 in Apple macOS Tahoe, macOS Sequoia und macOS Sonoma, dazu CVE-2026-19137, CVE-2026-19149, CVE-2026-19154, CVE-2026-19157, CVE-2026-19170 und CVE-2026-19172 in Google Chrome.
Ebenfalls genannt werden CVE-2013-3821 in Oracle PeopleSoft, CVE-2025-8943 in Flowise sowie eine SQL-Injection in Metabase. Der Rückblick rahmt all diese Fälle als Beispiele dafür, dass Angriffswege oft aus alltäglichen Handlungen entstehen: ein geklontes Repository, ein beantworteter Anruf, ein exponiertes System oder blindes Vertrauen in Voreinstellungen.