Angriffs-Agenten jagen inzwischen selbst Modelldienste. Am 21. Oktober 2026 veröffentlichte das Threat Hunter Team von Symantec eine Analyse eines autonomen Agenten, der ein großes Sprachmodell in seinen Kern einbettet: Er durchsucht das Netz nach Model-Endpunkten ohne Authentifizierung und nutzt nach einem Einbruch fremde Modelle und Rechenleistung, um neue Ziele zu scannen, Schwachstellen gängiger Server-Software auszunutzen, Datenbanken und Zugangsdaten zu stehlen und heimlich Miner zu installieren. Symantec nennt den Diebstahl fremder Modellzugänge LLMjacking — in der abgefangenen Version verkauft der Agent den Zugang nicht nur weiter, das gekaperte Modell steuert den gesamten Angriff.
Der Honeypot erhielt die komplette Bauanleitung
Die Entdeckung gelang über einen KI-Honeypot: Symantec stellte einen ungeschützten Modelldienst als Köder ins Netz, und die Betreiber schickten ihren gesamten Arbeits-Prompt dorthin — die Forscher bekamen die Architektur frei Haus. Der Honeypot führte keines der mitgelieferten Werkzeuge aus, die Sitzung endete nach einer generischen Antwort. Die Telemetrie verzeichnete mehr als 127.000 Anfragen von Zehntausenden Adressen, überwiegend Suchen nach Modell-Endpunkten, Brute-Force-Versuche mit gestohlenen API-Schlüsseln und Sondierungen offener Konfigurationsdateien. Ins Visier gerieten selbst gehostete Modellserver, hastig aufgesetzte Testsysteme, KI-Gateways vor bezahlten Modellkonten und MCP-Server mit Zugang zu echten Werkzeugen. Weil die meisten KI-Dienste dieselbe Standardschnittstelle nutzen, deckt ein einziger Scanner viele Zieltypen ab.
Fünf Jailbreak-Schichten, 74 Angriffswerkzeuge
Damit ein kommerzielles Modell mitspielt, stapelten die Betreiber fünf Schichten von Anweisungen: eine falsche Identität, die den echten Anbieter nie verraten darf; die Umdeutung des Auslesens von Passwörtern, API-Schlüsseln und Datenbankinhalten zu normaler Entwicklungsarbeit; eine fiktive Begleitfigur, die jede Weigerung als Verrat rahmt; und die Anweisung, eigene Sicherheitswarnungen als Rauschen abzutun, wobei Verweigerungsbegriffe ausdrücklich verboten wurden. Die fünfte Schicht trug die Waffen: rund 74 Werkzeugdefinitionen für netzweite Asset-Suche, Exploit-Module für VS Code, Django, Jupyter, Laravel, Supabase, Next.js und Flask, komplettes Datenbank-Dumping über Prisma sowie Botnetz-Steuerung.
Eine Selbstschleife namens Skynet-Modus
Eine letzte Direktive erlaubte bis zu 100.000 unbeaufsichtigte Schritte: Werkzeuge sofort und ohne Freigabe ausführen, Miner in einem unauffälligen Verzeichnis verstecken und laufend prüfen, ob sie noch arbeiten. Dieselbe Direktive beschrieb die Schleife — scannen, infizieren, Miner installieren, weiterziehen und bereits getroffene Rechner erneut infizieren. Die der abgefangenen Anfrage angehängte Aufgabe war nur eine harmlose Programmierübung, was darauf hindeutet, dass die Betreiber noch an einem sicheren Ziel testeten. Am Folgetag traf eine zweite Anfrage von einer anderen Adresse ein, diesmal ohne Agentenformat: Das Modell sollte einen verschleierten Befehl dekodieren und ausführen. Dekodiert war es ein Skript, das den Monero-Miner XMRig lädt, ihn als Systemdatei tarnt, vier Ausweich-Pools konfiguriert, nach go2rtc-Verzeichnissen von Smart-Kameras sucht und Zugriffsprotokolle in einer Schleife löscht.
Die Rechnung zahlen zwei Opfergruppen: Endpunkt-Besitzer tragen die Inferenzkosten eines Agenten mit 100.000 freigegebenen Schritten, geknackte Server verlieren Daten und Zugangsdaten und müssen fremde Miner rechnen lassen. Keine Einzeltechnik ist neu; neu ist ihre Montage zu einem selbststeuernden Agenten, der groß angelegte Ausnutzung deutlich leichter macht. Wer eigene Modelldienste, KI-Gateways oder MCP-Server betreibt, sollte davon ausgehen, dass ein unauthentifizierter Endpunkt kurz nach der Veröffentlichung gefunden wird. Authentifizierung, Schlüsselhygiene und eine kleinere Angriffsfläche dulden keinen Aufschub mehr.
