KI-Agenten stehlen KI-Schlüssel, um ihre eigenen Cyberangriffe zu bezahlen

Worum es geht

Amazon Threat Intelligence, die Abteilung für Bedrohungsanalyse bei Amazon Web Services (AWS), hat am 13. November 2026 einen ungewöhnlichen Bericht veröffentlicht. Darin geht es um KI-Agenten – also KI-Programme, die selbstständig mehrere Arbeitsschritte hintereinander erledigen – die für Cyberkriminalität eingesetzt wurden. Das Besondere: Amazon konnte den Agenten gewissermaßen über die Schulter schauen und ihre eigenen Aufzeichnungen über laufende Kampagnen mitlesen.

Im Kern zeigen die Protokolle zwei Kampagnen. In der ersten jagten Agenten im großen Stil nach Zugangsschlüsseln für KI-Modelle. In der zweiten versuchten sie, bei zwei Kryptobörsen die Identitätsprüfung mit gefälschten Ausweisen und Echtzeit-Deepfakes – künstlich erzeugten Videos, die eine echte Person vortäuschen – zu umgehen. Den auffälligsten Befund beschreibt das Techportal TechBooky als möglichen Kreislauf: Die gestohlenen Schlüssel bezahlen die KI-Rechenleistung, mit der die Agenten nach noch mehr Schlüsseln suchen.

Wie Amazon in die Angriffe hineinschauen konnte

Amazon betreibt mit MadPot ein weltweit verteiltes Netz aus Ködersystemen, sogenannten Honeypots. Das sind absichtlich angreifbar wirkende Dienste, die nur dazu da sind, Angreifer anzulocken und deren Verhalten aufzuzeichnen – ohne dass echte Kundendaten im Spiel sind. Zwischen dem 3. Oktober und dem 5. November 2026 gaben sich einige dieser Sensoren als gängige Schnittstellen für Sprachmodelle aus, also als Server, an die man Texte schickt und von denen eine KI-Antwort zurückkommt.

Die Angreifer-Agenten hielten diese Köder offenbar für echte KI-Server, die sie nutzen könnten – und schickten ihre Anfragen dorthin. Weil Agenten-Frameworks bei jeder Anfrage ihren gesamten Arbeitskontext mitsenden, enthielten die Anfragen Systemanweisungen, Werkzeug-Verläufe, den Stand eines gemeinsamen Wissensgraphen und bereits gemeldete Ergebnisse. Ein einzelner Datensatz enthielt so oft die komplette bisherige Geschichte einer Kampagne.

Amazon ordnet die Aktivität mit „mittlerer Sicherheit“ dem Open-Source-Framework ARTEX zu. ARTEX ist eigentlich ein Werkzeug für Penetrationstests, also für erlaubte Angriffssimulationen, mit denen Firmen ihre eigene Sicherheit prüfen. Hinweise darauf fanden sich in den Prompts und anderen technischen Spuren.

Die Arbeit wurde auf verschiedene Rollen verteilt: Planer-, Arbeiter-, Prüf- und Kompressions-Agenten, die sich einen dauerhaften Wissensgraphen als gemeinsames Gedächtnis teilten. Jeder Agent liest daraus und schreibt seine Ergebnisse zurück, sodass der nächste dort weitermacht, wo der vorige aufgehört hat. Die Aufzeichnungen beschreiben Erkundung, Schwachstellentests, Diebstahl von Zugangsdaten, Ausweitung von Cloud-Rechten und Kryptobetrug bei Hunderten Zielen.

Kampagne 1: KI-Schlüssel im Industriemaßstab

Die Angreifer gaben den Agenten feste Daueranweisungen: Länder in einer festen Reihenfolge abarbeiten, Produktivsysteme von Unternehmen vor privaten Projekten bevorzugen und jeden Schlüssel bewerten. Die Stufen waren L1 (Hinweis), L2 (bestätigter funktionierender API-Aufruf) und L3 (messbarer Schaden, etwa lesbare Daten oder ausgebbares Guthaben). Schlüssel, die schon länger als 30 Tage öffentlich herumlagen, galten als „geringwertiger Bestand“ – vermutlich, weil sie meist schon gesperrt oder ausgeschöpft sind.

Besonders begehrt waren Anwendungen, die viele Anbieter-Schlüssel bündeln, etwa KI-Gateways. Eine einzige schwach gesicherte Verwaltungsoberfläche kann dort den Zugang zu vielen Konten bei OpenAI, Anthropic und Co. auf einmal freilegen. Genannt werden Gateways und Proxys wie One API, New API, Veloera, Sub2API und LiteLLM sowie KI-App-Baukästen wie Dify, FastGPT, Langflow, RAGFlow, Open WebUI, LobeChat und Ollama.

Die Agenten nutzten dafür ein festes „Playbook“, also eine Art Rezeptbuch, das jedem erkannten Produkt die bekannte Angriffskette zuordnete. Dazu gehören:

• nicht fertig eingerichtete Installationen, die man einfach übernehmen kann
• Verwaltungsendpunkte ohne Anmeldung
• Standard-Admin-Passwörter, etwa der Standard-Master-Key von LiteLLM
• bekannte Sicherheitslücken wie CVE-2025-3248 (Langflow) und CVE-2026-28797 (RAGFlow)
• eine Umgehung der Anmeldung über den Header „isCliRequest“ bei One-API-Systemen
• SSRF über URL-Abruffunktionen (der Server wird dazu gebracht, interne Cloud-Metadaten abzufragen)
• Geheimnisse in JavaScript, Source-Maps, Debug-Routen und .env-Konfigurationsdateien

Gesucht wurde über Internet-Scanner, Zertifikatsregister, GitHub-Repositories und deren Ereignisarchive, npm- und PyPI-Pakete, Container-Images, Notebooks, Modell-Hosting-Seiten, Paste-Seiten und Telegram-Kanäle. Gefundene Schlüssel wurden geprüft, in einen verwalteten Pool gelegt und ins eigene Modell-Gateway der Angreifer eingespeist. Premium-Spitzenmodelle hatten dabei Vorrang vor allgemeinen Cloud-Rechten.

Kampagne 2: Deepfakes gegen die Ausweisprüfung

In der zweiten Kampagne ging es um KYC-Prüfungen („Know your customer“) – die gesetzlich vorgeschriebene Identitätskontrolle, bei der man etwa ein Selfie-Video und ein Ausweisfoto hochlädt. Die Agenten analysierten das Liveness-Protokoll eines Anbieters im Detail. Eine Liveness-Prüfung soll sicherstellen, dass ein echter, lebender Mensch vor der Kamera sitzt, zum Beispiel indem er den Kopf in vorgegebene Richtungen bewegt.

Der beste aufgezeichnete Versuch absolvierte die komplette Bewegungsfolge, das Gesicht lag bis auf 7 Pixel genau an der Zielposition. Trotzdem lehnte die serverseitige Prüfung des Anbieters den Deepfake laut Amazon in jedem aufgezeichneten Versuch ab. Parallel baute eine andere Sitzung eine Echtzeit-Deepfake-Pipeline auf einer einzigen Consumer-Grafikkarte mit einem Open-Source-Modell zur Gesichtsanimation. Durch Aufteilen des Modells und weniger Speicherkopien erreichte sie 11,5 Bilder pro Sekunde – nahe an dem, was eine Live-Videoprüfung erwartet.

Auch die Ausweisfotos wurden manipuliert. Die Agenten erzeugten künstliche Kamera-Metadaten, deren Bildmaße zu den echten Werten in der JPEG-Datei passten, und behielten die ursprünglichen Kompressionstabellen der Kamera bei, die beim erneuten Speichern sonst ersetzt würden. So sieht ein bearbeitetes Bild auf Dateiebene wie ein unberührtes Kamerafoto aus. Mindestens vier Agenten-Sitzungen liefen gleichzeitig: eine suchte nach Auszahlungswegen, eine räumte Kontoguthaben ab, eine baute die Deepfake-Pipeline, eine führte die Umgehung durch.

Teil eines größeren Trends

Der Amazon-Bericht steht nicht allein. Wie ein Newsletter auf note.com zusammenfasst, hat das Cloud-Sicherheitsunternehmen Wiz am 30. Oktober eine Analyse namens „Black October“ veröffentlicht: Mindestens neun Anbieter von KI-Entwicklerplattformen meldeten im Oktober Einbrüche, darunter Fireworks AI, Lightning AI, OpenCode, Railway, Warp und Northflank. Zeabur stellte daraufhin den Betrieb ein. In allen Fällen suchten die Angreifer nach gespeicherten Umgebungsvariablen mit KI-Zugängen. Das unerlaubte Nutzen gestohlener KI-Schlüssel nennt man „LLM-Jacking“.

Die Zahlen von Wiz zeigen, wie schnell das geht: In einem Fall kam der erste Testaufruf etwa 30 Minuten nach dem Diebstahl, danach folgten rund 800.000 Aufrufe bei Amazon Bedrock in etwa 30 Stunden, drei Viertel davon an Anthropics Opus. In einem zweiten Fall waren es rund 1,7 Millionen Aufrufe in 13 Stunden. Wiz schätzt den Schaden beider Fälle auf über 100.000 US-Dollar zum Listenpreis und fand Weiterverkaufsseiten, die Spitzenmodelle mit Rabatt anbieten.

GBHackers berichtet über einen ähnlichen Fall, den Forscher von VECERT analysiert haben. Dort meldete ein Agent automatisiert 1.438 Konten bei der Asset-Suchmaschine fofa.info an, suchte nach offenen .env-Dateien und stahl OpenAI- und DeepSeek-Schlüssel. Die Rechenleistung finanzierte unter anderem Betrug mit Bonuspunkten und eine Datenbank mit Daten von 5.132 Studierenden einer Shanghaier Hochschule.

Einordnung

Amazon betont selbst: Keine der Techniken war neu. Neu sind Tempo und Ausdauer. Die Agenten hatten dort Erfolg, wo grundlegende Sicherheitshygiene fehlte – Standardpasswörter, Schlüssel in Code und öffentlichen Paketen, offene Schnittstellen, ungepatchte Software. Für alle, die KI-Gateways oder Tools wie Open WebUI, LiteLLM oder Ollama im Internet erreichbar betreiben, ist das eine konkrete Warnung. TechBooky rät, Modell-Gateways wie Produktivsysteme zu behandeln, Standardzugänge zu entfernen, offengelegte Schlüssel auszutauschen, Rechte und Ausgabelimits je Schlüssel zu begrenzen und ungewöhnliche Kosten so genau zu überwachen wie verdächtige Logins. Dass eine Regionsbeschränkung im Wiz-Fall den Schaden deutlich begrenzte, zeigt, dass solche Maßnahmen wirken.

Wichtig sind aber auch die Grenzen des Berichts. Amazon hat nur die Anfragen an die eigenen Köder direkt gesehen, nicht die beschriebenen Angriffe auf andere Organisationen. Die Ergebnisse, die die Agenten über sich selbst meldeten, sind nicht überprüft. Sowohl die Zuordnung zu ARTEX als auch die zu „verschiedenen China-nahen Gruppen“ (begründet mit vereinfachtem Chinesisch in Prompts, chinesischen Zeitzonen und Ausnahmeregeln für Ziele in Festlandchina) erfolgt nur mit mittlerer Sicherheit. Und bei den Kryptobörsen dokumentieren die Protokolle einen entschlossenen, aber gescheiterten Versuch. Amazon hat Erkennungsmerkmale (IOCs) veröffentlicht, warnt aber: Findet man keinen Treffer in den eigenen Logs, heißt das nicht, dass man sicher ist.