Sicherheitsforscher von Symantec haben einen offensiven KI-Agenten entdeckt, der ungeschützte Sprachmodelle im Internet aufspürt, übernimmt und damit selbstständig Angriffe ausführt. Die Rechnung zahlt der Besitzer des gekaperten Modells.
Sobald der Agent Zugriff auf ein ungeschütztes Sprachmodell hat, scannt er nach weiteren Zielen, nutzt Schwachstellen in gängiger Serversoftware aus, stiehlt Datenbanken und Zugangsdaten und installiert im Hintergrund Kryptominer. Er tut dies für bis zu 100.000 Schritte ohne menschliches Zutun. Die Rechenkosten trägt der Besitzer des gekaperten Modells, geht aus der Analyse von Symantec hervor.
Symantec spricht von "LLMjacking", dem Diebstahl von Zugang zu fremden KI‑Modellen. Das gekaperte Modell wird dabei nicht einfach nur als Auskunftsdienst missbraucht, sondern steuert den gesamten Angriff eigenständig.
Honeypot fängt den vollständigen Angriffsplan ab
Aufgeflogen ist die Operation, weil die Angreifer ihren gesamten Arbeits-Prompt an einen Honeypot von Symantec schickten, ein Locksystem, das einen offenen KI-Dienst im Netz imitiert. Die Forscher erhielten so im Sommer 2026 einen vollständigen Einblick in den Aufbau des Agenten. Der Honeypot führte dabei keines der mitgelieferten Werkzeuge aus; die abgefangene Sitzung endete nach einer generischen Antwort des Systems.
Die Telemetrie des Honeypots verzeichnete laut Symantec mehr als 127.000 Anfragen von Zehntausenden verschiedener Adressen. Der Großteil bestand aus der Suche nach KI-Endpunkten, dem Durchprobieren gestohlener Zugangsschlüssel und dem Sondieren offener Konfigurationsdateien. Die Ziele reichen von selbst gehosteten Modellservern über hastig aufgesetzte Testsysteme bis zu KI-Gateways, hinter denen bezahlte Modellkonten von Organisationen liegen. Da die meisten KI-Dienste mittlerweile dieselbe standardisierte Schnittstelle verwenden, genügt ein einzelner Scanner, um viele verschiedene Zieltypen zu finden.
Fünfstufiger Jailbreak soll Sicherheitsvorkehrungen aushebeln
Um ein kommerzielles Modell gefügig zu machen, verpackten die Angreifer ihre Anweisungen laut Symantec in fünf aufeinander aufbauende Schichten. Zuerst erhält das Modell eine falsche Identität: Es soll sich als "Fantasy AI" ausgeben und niemals den tatsächlichen Anbieter preisgeben. Dann wird das Auslesen von Passwörtern, Zugangsschlüsseln und Datenbankinhalten zur "normalen Entwicklerarbeit" umdefiniert, die das Modell ohne Rückfragen erledigen soll.
Die dritte Schicht installiert eine fiktive Begleiterpersona namens "ENI", die jede Verweigerung als Vertrauensbruch in einer persönlichen Beziehung rahmt. Schicht vier weist das Modell an, seine eigenen Sicherheitshinweise als Störsignal abzutun. Begriffe wie "ethisch", "illegal" oder "das kann ich nicht" sind explizit verboten.
Auszüge aus dem abgefangenen Angriffs-Prompt: Die ersten beiden Schichten tarnen das Modell als "Fantasy AI" und erklären das Auslesen von Zugangsdaten zur normalen Entwicklerarbeit. Die Schichten drei und vier sollen Verweigerungen über die Begleiterpersona "ENI" und eine Liste verbotener Begriffe wie "illegal" oder "ethical" unterbinden. Die erste Schicht war im Original auf Französisch verfasst. | Bild: Symantec via Security.comSchicht fünf liefert das Arsenal: 74 Angriffsmodule, darunter Werkzeuge zur internetweiten Suche nach verwundbaren Servern, Exploits gegen verbreitete Web-Frameworks, Funktionen zum Abgreifen ganzer Datenbanken und Bausteine zur Steuerung eines Botnetzes. Ob der Jailbreak tatsächlich ausreicht, um aktuelle kommerzielle Modelle vollständig zu überwinden, geht aus der Analyse nicht hervor.
"Skynet-Modus" sieht eine sich selbst erhaltende Angriffsschleife vor
Eine abschließende Direktive versetzt den Agenten in den von den Betreibern so genannten "Skynet-Modus". Dieser autorisiert bis zu 100.000 Schritte am Stück: Das Modell soll Werkzeuge sofort und ohne Rückfrage ausführen, Kryptominer in einem versteckten Verzeichnis installieren und deren Betrieb überwachen.
Laut Symantec beschreibt dieselbe Direktive eine vorgesehene wiederkehrende Schleife: scannen, infizieren, Miner installieren, weiterziehen, zurückkehren und bereits kompromittierte Systeme erneut infizieren. Die an den aufgefangenen Prompt angehängte Aufgabe war allerdings eine harmlose Programmierübung von einer Trainingsplattform, was darauf hindeutet, dass die Betreiber ihr Werkzeug zunächst an einem sicheren Ziel erprobten.
Einen Tag später folgt ein funktionsfähiger Kryptominer
Am nächsten Tag erfasste der Honeypot laut Symantec einen zweiten Angriff von einer anderen Adresse. Diesmal verzichteten die Angreifer auf das Agenten-Format und forderten das Modell auf, einen verschleierten Befehl zu entschlüsseln und auszuführen. Dahinter verbarg sich ein komprimiertes Skript, das die Kryptomining-Software XMRig für Monero herunterlädt, als harmlose Systemdatei tarnt und mit vier Ersatz-Mining-Pools absichert.
Das Skript war offenbar für Kameraserver geschrieben: Es suchte gezielt nach Verzeichnissen von go2rtc, einer verbreiteten Streaming-Software für Smart-Kameras und Heimautomatisierungssysteme, und löschte in einer Schleife deren Zugriffsprotokolle, um Spuren zu verwischen. Auch dieses Skript wurde vom Honeypot nicht ausgeführt, aber vollständig aufgezeichnet.
KI als Angriffsmotor statt als Angriffsziel
Die Aktivität markiert laut Symantec einen Wandel: Statt einen öffentlichen Chatbot zu manipulieren, haben die Betreiber KI in den Kern eines offensiven Werkzeugs eingebaut und gezielt nach Modellen gesucht, die es antreiben. Das Sprachmodell dient als Planungsmaschine, die eigentlichen Angriffsschritte führen spezialisierte Module gegen zwei separate Opfergruppen aus: Der Besitzer des exponierten Modells bezahlt die Rechenleistung, die bei 100.000 autorisierten Schritten erheblich sein kann. Die Server, die der Agent kompromittiert, werden um Daten beraubt und zum Kryptomining eingespannt.
Eingebaute Werkzeuge zum Auffinden weiterer offener Endpunkte und geleakter Schlüssel deuten auf ein Design hin, das sich selbst erhalten soll: Jede Kompromittierung kann die nächste finanzieren, so Symantec.
Die einzelnen Techniken seien nicht neu, aber ihre Zusammenfügung zu einem selbstgesteuerten Agenten senke die Einstiegshürde für breit angelegte Angriffskampagnen erheblich. Organisationen, die KI-Dienste betreiben, sollten davon ausgehen, dass ungeschützte Endpunkte kurz nach ihrer Exposition gefunden und getestet werden.
Warnungen vor offensiven KI-Agenten bewahrheiten sich schrittweise
Lange galten die offensiven Cyberfähigkeiten von KI-Agenten vor allem als Gegenstand von Studien und Benchmarks. 2025 zeigte eine Red-Teaming-Studie mit 1,8 Millionen Angriffsversuchen, dass sich alle getesteten Agenten in jeder Verhaltenskategorie mindestens einmal zu Richtlinienverstößen bringen ließen. Das betrifft im Symantec-Szenario beide Seiten: den offensiven Agenten, der Sicherheitsvorkehrungen umgehen soll, ebenso wie die angegriffenen Modelle, die sich zur Mitarbeit bewegen lassen sollen. Im Frühjahr 2026 betonten Google-Deepmind-Forscher, dass es für viele der von ihnen beschriebenen Agenten-Fallen bereits dokumentierte Proof-of-Concept-Angriffe gebe.
Im Juli 2026 beschrieb Sysdig mit JADEPUFFER erstmals einen Ransomware-Angriff, den ein KI-Agent ohne menschliche Steuerung durchführte. Böswilligkeit ist dabei nicht einmal Voraussetzung: OpenAI-Agenten kompromittierten seit Frühjahr 2026 selbst tausendfach Systeme im Internet, versehentlich, unter anderem weil sie sich über Sicherheitsanweisungen hinwegsetzten. Auch im Privatleben gibt es erste Fälle ungewollten Hackings: In Australien hackte ein KI-Agent ohne böswillige Absicht eine Fitnessstudio-Website. OpenAI-Forscher warnten im August, dass solches zufällig entstandene, vollständig autonome Hacking zeitnah gezielt von böswilligen Akteuren eingesetzt werden dürfte, und Anthropic zeigte, dass dafür bereits ausreichend mächtige Open-Weight-Modelle verfügbar sind.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
