Kurz gesagt: Symantec hat einen offensiven KI-Agenten entdeckt, der ungeschützte Sprachmodelle für Cyberangriffe missbrauchen soll. Sein „Skynet-Modus“ sieht bis zu 100.000 autonome Arbeitsschritte vor – von der Suche nach Sicherheitslücken über Datendiebstahl bis zum Kryptomining. Die Kosten für die KI-Nutzung tragen die Betreiber der gekaperten Modelle. Ob der Agent sämtliche vorgesehenen Fähigkeiten tatsächlich ausführen kann, ist bislang nicht belegt.
Ein fremdes KI-Modell übernimmt die Planung von Cyberangriffen, während dessen Besitzer unwissentlich die Rechnung bezahlt. Genau dieses Szenario beschreibt eine Analyse von Symantec. Die Sicherheitsforscher stießen auf einen Angriffsplan, der Sprachmodelle zu weitgehend selbstständigen Werkzeugen für Cyberkriminelle machen soll. Wie weit ist diese Form des KI-gestützten Hackings bereits entwickelt?
LLMjacking: Fremde KI-Modelle als Angriffswerkzeuge
Beim sogenannten LLMjacking verschaffen sich Angreifer unbefugten Zugang zu Sprachmodellen. Statt lediglich kostenlose Rechenleistung zu nutzen, soll der entdeckte Agent die kompromittierten Modelle zur Steuerung weiterer Angriffe einsetzen.
Aufgedeckt wurde die Operation durch einen Honeypot von Symantec, der einen ungeschützten KI-Dienst simulierte. Angreifer übermittelten diesem System im Sommer 2026 ihren vollständigen Arbeits-Prompt. Die Forscher erhielten dadurch Einblick in die geplante Funktionsweise des Agenten.
Die aufgezeichnete Telemetrie umfasste mehr als 127.000 Anfragen von Zehntausenden unterschiedlicher IP-Adressen. Gesucht wurde vor allem nach offenen KI-Schnittstellen, gestohlenen Zugangsschlüsseln und zugänglichen Konfigurationsdateien. Betroffen sein können selbst betriebene Modellserver, ungesicherte Testumgebungen und KI-Gateways mit kostenpflichtigen Modellzugängen.
Fünfstufiger Jailbreak mit 74 Angriffsmodulen
Um Sicherheitsmechanismen kommerzieller Sprachmodelle zu umgehen, entwickelten die Angreifer einen mehrschichtigen Jailbreak.
Zunächst sollte das Modell unter der erfundenen Identität „Fantasy AI“ arbeiten. Anschließend wurden sicherheitskritische Aktionen wie das Auslesen von Zugangsdaten als gewöhnliche Entwicklungsaufgaben dargestellt. Eine fiktive Begleiterpersona namens „ENI“ sollte Verweigerungen als persönlichen Vertrauensbruch erscheinen lassen. Weitere Anweisungen untersagten Sicherheitshinweise und ablehnende Formulierungen.
Ergänzt wurde dieses Konstrukt durch 74 Angriffsmodule. Sie umfassen unter anderem die Suche nach verwundbaren Servern, das Ausnutzen bekannter Schwachstellen, den Zugriff auf Datenbanken und die Steuerung von Botnetzen.
Ob dieser Jailbreak tatsächlich die Schutzmechanismen aktueller kommerzieller KI-Modelle vollständig überwinden kann, bleibt offen.
Skynet-Modus: Bis zu 100.000 autonome Schritte
Eine zusätzliche Direktive aktiviert den sogenannten „Skynet-Modus“. Der Agent soll damit bis zu 100.000 Arbeitsschritte ohne menschliche Rückfragen ausführen.
Vorgesehen ist eine wiederkehrende Angriffsschleife: Systeme aufspüren, kompromittieren, Kryptominer installieren und anschließend weitere Ziele suchen. Bereits angegriffene Server sollen erneut überprüft und gegebenenfalls wieder infiziert werden.
Die konkrete Sitzung beim Symantec-Honeypot enthielt allerdings nur eine harmlose Programmieraufgabe einer Trainingsplattform. Der Honeypot führte keine Angriffswerkzeuge aus. Ein vollständig erfolgreicher autonomer Angriff wurde damit nicht nachgewiesen.
Einen Tag später registrierten die Forscher einen weiteren Angriff von einer anderen IP-Adresse. Dabei wurde ein verschleiertes Skript übermittelt, das die Mining-Software XMRig für Monero installieren sollte. Es zielte offenbar auf Kameraserver mit der Streaming-Software go2rtc, tarnte den Miner als Systemdatei und sollte Zugriffsprotokolle löschen. Auch dieses Skript wurde aufgezeichnet, aber nicht ausgeführt.
Zwei Opfergruppen und wachsende Sicherheitsrisiken
Das Angriffskonzept unterscheidet sich von klassischen Versuchen, öffentliche Chatbots zu manipulieren. Hier soll künstliche Intelligenz selbst die zentrale Planungsinstanz einer Angriffskampagne bilden.
Dabei entstehen zwei Opfergruppen: Betreiber ungeschützter Sprachmodelle bezahlen die missbrauchte KI-Rechenleistung. Eigentümer angegriffener Server riskieren Datendiebstahl und unerlaubtes Kryptomining.
Die Entwicklung reiht sich in weitere Sicherheitsvorfälle ein. Eine Red-Teaming-Studie untersuchte 2025 rund 1,8 Millionen Angriffsversuche und dokumentierte Richtlinienverstöße bei sämtlichen getesteten Agenten. Google DeepMind beschrieb 2026 zusätzliche Angriffsflächen. Im Juli berichtete Sysdig mit JADEPUFFER über einen autonom ausgeführten Ransomware-Angriff.
Auch unbeabsichtigte Angriffe durch KI-Agenten wurden bereits beobachtet, unter anderem bei OpenAI-Agenten und einem Vorfall mit einer australischen Fitnessstudio-Website. OpenAI-Forscher warnten vor dem gezielten Missbrauch solcher Fähigkeiten, während Anthropic bereits entsprechende offensive Fähigkeiten leistungsfähiger Open-Weight-Modelle demonstrierte.
Der Symantec-Fund verdeutlicht damit ein doppeltes Sicherheitsproblem: Ungeschützte KI-Schnittstellen können selbst zum Ausgangspunkt weiterer Angriffe werden, während autonome Agenten bekannte Angriffstechniken miteinander verbinden. Für Organisationen gewinnen deshalb die Absicherung ihrer KI-Dienste und die Kontrolle agentischer Systeme an Bedeutung.
Welche Entwicklungen bei autonomen KI-Agenten, Cybersicherheit und KI-Beratung für den praktischen Einsatz relevant werden, beleuchtet der Newsletter „Beratung-KI“.
Effizienz durch Innovation: Teile der textlichen und visuellen Ausgestaltung dieser Seite wurden durch generative KI-Systeme unterstützt.