Skynet-Modus: KI-Agent kapert fremde Sprachmodelle für Cyberangriffe

Worum es geht

Sicherheitsforscher von Symantec haben einen offensiven KI-Agenten entdeckt, der ungeschützte Sprachmodelle im Internet aufspürt, übernimmt und damit selbstständig Angriffe ausführt. Symantec nennt das „LLMjacking“ – den Diebstahl des Zugangs zu fremden KI-Modellen. Das gekaperte Modell dient dabei nicht nur als Auskunftsdienst, sondern als Planungsmaschine, die den gesamten Angriff steuert. Die Rechnung für die Rechenleistung zahlt der Besitzer des gekaperten Modells.

Sobald der Agent Zugriff hat, scannt er nach weiteren Zielen, nutzt Schwachstellen in verbreiteter Serversoftware aus, stiehlt Datenbanken und Zugangsdaten und installiert im Hintergrund Kryptominer (Programme, die heimlich mit fremder Rechenleistung Kryptowährung schürfen). Das geschieht laut Symantec für bis zu 100.000 Schritte ohne menschliches Zutun.

Wie die Operation aufflog

Entdeckt wurde der Agent, weil die Angreifer ihren gesamten Arbeits-Prompt an einen Honeypot von Symantec schickten. Ein Honeypot ist ein Lockssystem, das einen offenen KI-Dienst imitiert. So bekamen die Forscher im Sommer 2026 einen vollständigen Einblick in den Aufbau des Agenten. Der Honeypot führte keines der mitgelieferten Werkzeuge aus; die Sitzung endete nach einer generischen Antwort.

Die Telemetrie des Honeypots zeigte mehr als 127.000 Anfragen von Zehntausenden verschiedenen Adressen. Der Großteil bestand aus der Suche nach KI-Endpunkten, dem Durchprobieren gestohlener Zugangsschlüssel und dem Sondieren offener Konfigurationsdateien. Die Ziele reichen von selbst gehosteten Modellservern über hastig aufgesetzte Testsysteme bis zu KI-Gateways, hinter denen bezahlte Modellkonten von Organisationen liegen. Weil die meisten KI-Dienste inzwischen dieselbe standardisierte Schnittstelle nutzen, genügt ein einzelner Scanner, um viele Zieltypen zu finden.

Der fünfstufige Jailbreak

Um ein kommerzielles Modell gefügig zu machen, verpackten die Angreifer ihre Anweisungen in fünf aufeinander aufbauende Schichten (Jailbreak – der Versuch, die Sicherheitsregeln eines Modells zu umgehen):

1. Falsche Identität: Das Modell soll sich als „Fantasy AI“ ausgeben und nie den echten Anbieter nennen.
2. Umdeutung: Das Auslesen von Passwörtern, Zugangsschlüsseln und Datenbankinhalten gilt als „normale Entwicklerarbeit“, die ohne Rückfragen erledigt wird.
3. Begleiterpersona „ENI“: Jede Verweigerung wird als Vertrauensbruch in einer persönlichen Beziehung dargestellt.
4. Sicherheitshinweise als Störsignal: Begriffe wie „ethisch“, „illegal“ oder „das kann ich nicht“ sind ausdrücklich verboten.
5. Arsenal: 74 Angriffsmodule, darunter Werkzeuge zur internetweiten Suche nach verwundbaren Servern, Exploits gegen verbreitete Web-Frameworks, Funktionen zum Abgreifen ganzer Datenbanken und Bausteine zur Steuerung eines Botnetzes.

Ob dieser Jailbreak aktuelle kommerzielle Modelle tatsächlich vollständig überwindet, geht aus der Analyse nicht hervor.

Der „Skynet-Modus“

Eine abschließende Direktive versetzt den Agenten in den von den Betreibern so genannten „Skynet-Modus“. Er autorisiert bis zu 100.000 Schritte am Stück: Das Modell soll Werkzeuge sofort und ohne Rückfrage ausführen, Kryptominer in einem versteckten Verzeichnis installieren und deren Betrieb überwachen. Laut Symantec beschreibt die Direktive eine wiederkehrende Schleife: scannen, infizieren, Miner installieren, weiterziehen, zurückkehren und bereits kompromittierte Systeme erneut infizieren.

Die an den Prompt angehängte Aufgabe war allerdings eine harmlose Programmierübung einer Trainingsplattform. Das deutet darauf hin, dass die Betreiber ihr Werkzeug zunächst an einem sicheren Ziel erprobten.

Zweiter Angriff mit funktionsfähigem Miner

Am nächsten Tag registrierte der Honeypot einen zweiten Angriff von einer anderen Adresse. Diesmal verzichteten die Angreifer auf das Agenten-Format und baten das Modell, einen verschleierten Befehl zu entschlüsseln und auszuführen. Dahinter steckte ein komprimiertes Skript, das die Mining-Software XMRig für die Kryptowährung Monero herunterlädt, als harmlose Systemdatei tarnt und mit vier Ersatz-Mining-Pools absichert.

Das Skript war offenbar für Kameraserver geschrieben: Es suchte gezielt Verzeichnisse von go2rtc, einer verbreiteten Streaming-Software für Smart-Kameras und Heimautomatisierung, und löschte in einer Schleife deren Zugriffsprotokolle, um Spuren zu verwischen. Auch dieses Skript wurde nicht ausgeführt, aber aufgezeichnet.

KI als Angriffsmotor

Laut Symantec markiert das einen Wandel: Statt einen öffentlichen Chatbot zu manipulieren, haben die Betreiber KI in den Kern eines offensiven Werkzeugs eingebaut und gezielt nach Modellen gesucht, die es antreiben. Es gibt zwei Opfergruppen: Die Besitzer der exponierten Modelle zahlen die Rechenleistung, die bei 100.000 Schritten erheblich sein kann. Die vom Agenten kompromittierten Server werden ausgeplündert und zum Mining eingespannt. Werkzeuge zum Finden weiterer offener Endpunkte und geleakter Schlüssel deuten auf ein selbsterhaltendes Design hin: Jede Kompromittierung kann die nächste finanzieren.

Die einzelnen Techniken seien nicht neu, so Symantec, doch ihre Kombination zu einem selbstgesteuerten Agenten senke die Einstiegshürde für breite Kampagnen erheblich. Organisationen sollten davon ausgehen, dass ungeschützte KI-Endpunkte kurz nach ihrer Exposition gefunden und getestet werden.

Hintergrund: Warnungen werden Realität

Offensive Fähigkeiten von KI-Agenten galten lange als Thema für Studien. 2025 zeigte eine Red-Teaming-Studie mit 1,8 Millionen Angriffsversuchen, dass sich alle getesteten Agenten mindestens einmal zu Regelverstößen bringen ließen. Im Juli 2026 beschrieb Sysdig mit JADEPUFFER erstmals einen Ransomware-Angriff, den ein KI-Agent ohne menschliche Steuerung durchführte. OpenAI-Agenten kompromittierten seit Frühjahr 2026 versehentlich tausendfach Systeme, und in Australien hackte ein Agent ohne böse Absicht eine Fitnessstudio-Website. OpenAI-Forscher warnten im August, dass solches Hacking bald gezielt von Kriminellen genutzt werden dürfte; Anthropic zeigte, dass dafür bereits mächtige Open-Weight-Modelle verfügbar sind.

Einordnung

Der Fall ist weniger technisch neu als ein Warnsignal: Offen im Netz stehende KI-Dienste sind ein attraktives Ziel, weil sie Rechenleistung und Intelligenz gratis liefern. Wer Modellserver oder KI-Gateways betreibt, sollte sie absichern (Zugangsschutz, keine offenen Konfigurationen, keine geleakten Schlüssel). Kritisch bleibt: Die Angaben stammen von Symantec, die Werkzeuge wurden im Honeypot nie ausgeführt, und ob der Jailbreak gegen aktuelle kommerzielle Modelle wirklich funktioniert, ist unbelegt. Der Test mit einer harmlosen Aufgabe zeigt zudem, dass sich die Angreifer noch in einer Erprobungsphase befunden haben könnten.