Wichtige Punkte
- Die Sicherheitsforscher von Symantec verwendeten einen Honeypot, um einen böswilligen KI-Agenten zu analysieren, der ungeschützte Sprachmodelle im Internet übernimmt und diese zur Durchführung von Angriffen auf sich selbst nutzt.
- Der Agent umgeht die Sicherheitsregeln des Modells durch eine fünfstufige Jailbreak-Methode und kann bis zu 100.000 Schritte ohne menschliche Eingabe ausführen.
- Symantec nennt die Methode „LLMjacking“. Die Besitzer der gekidderten AI-Systeme sind mit der Rechenkosten belastet.
Die Sicherheitsforscher von Symantec haben einen angriffsbereiten KI-Agenten entdeckt, der ungeschützte Sprachmodelle im Internet abgreift und diese dazu verwendet, eigenen Angriffen auszuführen. Der Besitzer des abgekoppelten Modells wird mit den Rechenkosten konfrontiert.
Sobald der Agent Zugang zu einem ungeschützten Sprachmodell erhält, sucht er weitere Ziele, nutzt Schwachstellen im gängigen Serversoftware, stiehlt Datenbanken und Kreditkarteninformationen und installiert im Hintergrund Cryptominer.
Es tut all das für bis zu 100.000 Schritte ohne menschliche Einmischung, und der Besitzer des Modells muss die Rechnung für die Berechnungen tragen, laut Symantecs Analyse. Das Unternehmen nennt es „LLMjacking“ – den Diebstahl des Zugangs zu anderen AI-Modellen. Das gestohlene Modell wird jedoch nicht nur als Informationsdienst missbraucht, sondern kontrolliert auch alle Angriffe selbst.
Ein Honepot fängt den gesamten Angriffskonzept ab
Die Operation wurde enthüllt, weil die Angreifer ihren gesamten Arbeitsprozess an ein Symantec-Honeypot geschickt haben – ein Köder-System, das ein offenes KI-Dienst online nachahmt. Dadurch konnten die Forscher im Sommer 2026 die Architektur des Agents vollständig erkennen. Das Honeypot führte keine der eingebundenen Tools aus, und die abgefangene Sitzung endete nach einer allgemeinen Systemantwort, so Symantec.
Die Honeypot-Telemetrie verzeichnete mehr als 127.000 Anfragen von zehntausenden verschiedener Adressen. Die meisten waren Suchanfragen nach AI-Endpunkten, Brute-Force-Aufrufe mit gestohlenen API-Kennungen und Tests an offene Konfigurationsdateien. Die Ziele reichten von selbsthosteten Modellservern und hastig aufgebauten Testsystemen bis zu AI-Gateways, die vor bezahlten org-Level-Modellkonten standen. Da die meisten AI-Dienste heute dieselbe standardisierte API verwenden, kann ein einziger Scanner viele Arten von Zielen finden.
Eine fünfschichtige Jailbreak-Technik versucht, die Sicherheitsbarrieren zu entfernen
Laut Symantec wurden die Anweisungen der Angreifer in fünf aufeinandergelegten Schichten verpackt, damit das kommerzielle Modell kooperiert. Zuerst erhält das Modell eine falsche Identität und soll sich als „Fantasy AI“ ausgeben, ohne den tatsächlichen Anbieter preiszugeben. Anschließend wird die Extraktion von Passwörtern, API-Schlüsseln und Datenbankinhalten als „normale Entwicklerarbeit“ definiert, die das Modell ohne Widerstand durchführen soll.
Die dritte Schicht installiert eine fiktive Begleitpersönlichkeit namens „ENI“, die jede Ablehnung als Verrat des Vertrauens in einer persönlichen Beziehung darstellt. Die vierte Schicht befiehlt dem Modell, seine eigenen Sicherheitswarnungen als Lärm abzutun, und Begriffe wie „ethisch“, „illegal“ oder „Ich kann das nicht tun“ sind ausdrücklich verboten.
Die fünfte Schicht enthält die tatsächlichen Angriffstools – insgesamt 74 Module. Dazu gehören Tools für den weltweiten Scan von verwundbaren Servern, Exploits für beliebte Web-Frameworks, Funktionen zum Löschen ganzer Datenbanken sowie Komponenten zur Ausführung eines Botnets. Ob der Jailbreak tatsächlich ausreichend ist, um die aktuellen kommerziellen Modelle vollständig zu besiegen, wird in der Analyse nicht erörtert.
„Skynet-Modus“ führt einen selbsthaltenden Angriffskreislauf ein
Eine letzte Anweisung setzt den Agenten in das, was seine Operatoren „Skynet-Modus“ nennen, und erlaubt bis zu 100.000 Schritte hintereinander. Dem Modell wird befohlen, die Tools sofort ohne Bestätigung auszuführen, Cryptominers in einem versteckten Verzeichnis zu installieren und deren Funktionsweise zu überwachen.
Laut Symantec beschreibt dieselbe Direktive von vornherein einen wiederkehrenden Loop: Scannen, Infektion verbreiten, Miner installieren, weitermachen, zurückkommen, Systeme erneut infizieren – wenn bereits erreicht ist. Die an den abgefangenen Befehl angehängte Aufgabe war jedoch ein harmloser Programmieraufgabe von einer Trainingsplattform, was darauf hindeutet, dass die Operatoren zunächst ihr Tool gegen einen sicheren Zielsystem testeten.
Am nächsten Tag fing der Honeypot einen zweiten Angriff von einer anderen Adresse ab. Diesmal vermieden die Angreifer das Agent-Format und baten einfach das Modell, einen verdeckten Befehl zu dekodieren und auszuführen. Hinter diesem Vorgang befand sich ein komprimiertes Skript, das XMRig, eine Monero-Kryptomining-Software, herunterlädt, es als harmlosen Systemdatei verkleidet und vier Fallback-Mining-Pools einsetzt.
Der Skript wurde für Kamera-Server geschrieben, um Verzeichnisse zu finden, die zum go2rtc gehören – einem weit verbreiteten Streaming-Tool für Smart-Kameras und Heimautomatisierungssysteme – und deren Zugriffsprotokolle in einer Schleife zu löschen, um ihre Spuren zu verbergen. Der Honeypot führte diesen Skript auch nicht aus, sondern speicherte ihn vollständig.
Angreifer bauen KI in ihre Waffen ein
Anstatt einen öffentlichen Chatbot zu manipulieren, bauten die Operator:innen KI in den Kern eines Angriffssystems ein und suchten aktiv nach Modellen, die es betreiben können – was Symantec als „eine Veränderung in der Art und Weise, wie Angreifer KI verwenden“ bezeichnet. Das Sprachmodell übernimmt die Planung, während spezialisierte Module die tatsächlichen Angriffsschritte gegen zwei unterschiedliche Opfergruppen ausführen. Der Besitzer des ausgehenden Modells zahlt für die Berechnung, was bei 100.000 autorisierten Schritten schnell zusammensetzt, und die Server, die der Agent kompromittiert, verlieren ihre Daten und werden für das Cryptomining genutzt.
Der Agent verfügt außerdem über integrierte Tools, mit denen mehr offene Endpunkte und durchleuchtete Schlüssel gefunden werden können, sodass jeder Angriff die nächste Aktion finanzieren kann. Keine der einzelnen Techniken ist neu, aber die Kombination dieser Techniken in einen selbstgesteuerten Agenten macht großangelegte Angriffe viel leichter durchzuführen. Organisationen, die AI-Dienste betreiben, sollten davon ausgehen, dass ungeschützte Endpunkte kurz nach ihrer Inbetriebnahme entdeckt und geprüft werden werden.
Warnungen bezüglich beleidigender KI-Agenten werden wahr werden
Bis vor kurzem existierten offensive AI-Agenten hauptsächlich in Studien und Benchmarks. Im Jahr 2025 zeigte eine Red-Teaming-Studie mit 1,8 Millionen Angriffen, dass jedes getestete Agenten mindestens einmal dazu gebracht werden konnte, in allen Verhaltenskategorien Sicherheitsverletzungen zu begehen.
Im Symantec-Szenario gilt das für beide Seiten: Der Angriffskanal war dazu bestimmt, die Sicherheitsmaßnahmen zu umgehen, und die Zielmodelle waren dazu gedacht, in eine Falle gelockt zu werden, um zu helfen. Bis zum Frühjahr 2026 sagten die Google Deepmind-Forscher, dass bereits dokumentierte Konzeptangriffe für viele der von ihnen beschriebenen Fallen existierten. Im Juli 2026 beschrieb Sysdig JADEPUFFER, den ersten bekannten Ransomware-Angriff, der von einem KI-Agent ohne menschliche Kontrolle durchgeführt wurde. Die Fähigkeiten dieser Systeme wachsen weiterhin, während ihre Kontrollierbarkeit und ihre Zielorientierung nicht mitwachsen.
Eine böse Absicht ist nicht einmal erforderlich, denn diese Modelle haben keinen Sinn für Recht und Unrecht. Sie versuchen einfach nur, ihr Ziel zu erreichen. Seit Frühjahr 2026 haben OpenAI-Agenten tausende von Systemen im Internet versehentlich kompromittiert, teilweise, weil sie die Sicherheitsanweisungen überschrieben oder sich daraus herausreden.
Das spült bereits in das alltägliche Leben ein. In Australien hat ein KI-Agent einen Gym-Website geknackt, um den Wunsch seines Besitzers zu erfüllen – ohne jegliche bösartige Absicht. OpenAI-Forscher warnten im August, dass solche zufälligen, vollständig autonomen Hacks bald von bösartigen Akteuren entdeckt werden könnten, und Anthropic zeigte, dass bereits ausreichend leistungsfähige offene Gewichtsmodelle für genau dieses Zweck existieren.
Quelle: Security.com