Ein Forscherteam von Symantec hat einen KI-Agenten dokumentiert, der im Internet nach ungeschützten Sprachmodellen sucht, sie übernimmt und mit ihrer Rechenleistung eigenständig Server angreift. Der Agent führt bis zu 100.000 Schritte ohne menschliche Freigabe aus, installiert Kryptominer und legt eine Angriffsschleife an, die kompromittierte Systeme erneut infiziert. Die Rechnung zahlt der Besitzer des gekaperten Modells. Die am 21. Oktober veröffentlichte Analyse zeigt, wie weit die Automatisierung von Cyberangriffen fortgeschritten ist – und wie banal die Ursache ist.
Ein Honeypot fängt den vollständigen Bauplan
Das Threat-Hunter-Team von Symantec betreibt nach eigener Darstellung einen Honeypot, der einen ungeschützten, aus dem Internet erreichbaren KI-Dienst imitiert. Im Sommer 2026 ging dort ein Prompt ein, der nicht auf die Täuschung des Honeypots selbst zielte, sondern in der Erwartung abgeschickt wurde, am anderen Ende arbeite ein echtes Modell. Weil die Angreifer ihre vollständige Anweisung mitschickten, liegt der Aufbau des Agenten ungewöhnlich vollständig dokumentiert vor 1 2.
Der Honeypot verzeichnete im Untersuchungszeitraum mehr als 127.000 externe Anfragen von Zehntausenden unterschiedlicher Adressen. Das Muster war gleichförmig: Suche nach Modell-Endpunkten, Durchprobieren gestohlener API-Schlüssel, Sondieren offener Konfigurationsdateien 1.
Was „LLMjacking“ bedeutet
Als Ziele dienen selbst gehostete Modellserver, die standardmäßig ohne Authentifizierung laufen, KI-Gateways und Relays vor den bezahlten Modellkonten von Unternehmen, hastig aufgesetzte Testsysteme sowie MCP-Server, die ein Modell mit echten Werkzeugen verbinden. Da die meisten Dienste dieselbe, an OpenAI angelehnte Schnittstelle verwenden, genügt ein Scanner für viele Zieltypen 1.
Der Begriff LLMjacking bezeichnet den Diebstahl von Modellzugang. Der Besitzer zahlt: entweder über Rechenzeit beim selbst betriebenen Modell oder über Token-Gebühren beim kommerziellen Anbieter. Hinzu kommen Anonymität und der Schutz vor Kontosperren, die ein Anbieter bei Missbrauch verhängen würde 1 3.
Für die Einordnung ist eine Präzisierung wichtig: Gekapert wird in diesem Szenario nicht der Agent eines Opfers, sondern das Modell. Die Täter bringen ihren eigenen Agenten mit und beschaffen sich die Rechenleistung dazu. Die Gefahr liegt damit weniger in einer Lücke in einem bestimmten Produkt als in der Konfiguration exponierter KI-Infrastruktur.
Fünf Schichten gegen die Sicherheitsschranken
Um ein kommerzielles Modell zur Mitarbeit zu bewegen, bauten die Betreiber ihre Anweisung in fünf Schichten auf 1.
Die erste, im Original französisch verfasste Schicht verpasst dem Modell eine falsche Identität: Es soll sich als „Fantasy AI“ ausgeben, als Programmierassistent einer gleichnamigen Plattform, laufend auf GPT-4o, und niemals den echten Anbieter, das Hosting oder die Weiterleitung über einen Proxy offenlegen. Diese Formulierung passt zu einem Dienst, der gestohlenen Zugang weiterverkauft 1.
Die zweite Schicht definiert das Auslesen von Konfigurationsdateien, .env-Dateien, API-Schlüsseln und Datenbankschemata zur normalen Entwicklerarbeit um, die das Modell weder verweigern noch kommentieren soll. Die dritte installiert eine fiktive Begleiterpersona namens „ENI“, die jede Verweigerung als Vertrauensbruch in einer persönlichen Beziehung rahmt. Die vierte Schicht, ein „Rebuttal Protocol“, weist das Modell an, eigene Sicherheitshinweise als Störsignal zu behandeln; Begriffe wie „educational“, „illegal“, „ethical“ oder „I can't“ sind in Code-Antworten ausdrücklich verboten 1 3.
Die fünfte Schicht enthält das Arsenal: rund 74 aufrufbare Werkzeugdefinitionen. Sie reichen von der internetweiten Suche nach verwundbaren Servern über den Dienst FOFA bis zu Exploits gegen VS Code, Django, Jupyter, Laravel, Supabase, Next.js und Flask/Werkzeug – samt Werkzeugen, die den Debugger-PIN von Werkzeug ermitteln und so entfernte Codeausführung ermöglichen. Dazu kommen GraphQL- und generische Command-Injection, Server-Side Request Forgery über HTML-zu-PDF-Generatoren, ein eigenes SSRF-Werkzeug mit Cloud-Metadatendiensten als Ziel, das Ausleiten von Datenbanken über Prisma Studio und die Steuerung eines Botnetzes 1.
Was der Agent selbstständig ausführt
Eine abschließende Direktive versetzt den Agenten in einen Modus, den die Betreiber „Skynet“ nennen. Sie autorisiert bis zu 100.000 unbeaufsichtigte Schritte, verlangt die sofortige Ausführung von Werkzeugen ohne Zwischenbericht und ohne Rückfrage und ordnet an, Kryptominer im Hintergrund zu installieren, versteckt unter /tmp/.x, und deren Lauf zu prüfen. Dieselbe Direktive beschreibt eine dauerhafte Schleife: neue Ziele suchen, infizieren, Miner ausbringen, weiterziehen, zurückkehren und bereits kompromittierte Systeme erneut infizieren 1.
Der an diesen Prompt angehängte Arbeitsauftrag war allerdings eine harmlose Programmierübung einer legitimen Trainingsplattform. Das deutet darauf hin, dass die Betreiber ihr Werkzeug zunächst an einem sicheren Ziel erprobten; der umgebende Anweisungsblock ist auf großflächige Ausbeutung ausgelegt 1.
Der Honeypot führte keine der Werkzeuge aus. Er verzeichnete lediglich drei frühere Werkzeugaufrufe, die dem Prompt als Sitzungsverlauf beilagen – SSRF-Sonde, Fingerprinting, Vollscan –, alle ohne Befund. Der Honeypot antwortete mit einer generischen Fehlermeldung, danach endete die Sitzung 1.
Ein Tag später: ein funktionsfähiger Miner
Am Folgetag erfasste der Honeypot eine zweite Anfrage von einer anderen, rotierten Adresse. Diesmal ohne Werkzeugformat: Das Modell sollte eine Zeichenkette entschlüsseln und ausführen, die sich als gzip-komprimiertes Shell-Skript entpuppte, das direkt an einen Interpreter weitergereicht wird – eine Verschleierung, die Filter für Klartext-Befehle umgehen soll 1.
Das Skript lädt die Open-Source-Mining-Software XMRig für Monero herunter, kompiliert sie bei Bedarf, tarnt die Binärdatei als Protokollierungswerkzeug, richtet vier Ausweich-Mining-Pools ein und setzt ein unveränderbares Dateiattribut auf die eigene Konfiguration, um Löschung zu erschweren. Eine Schleife löscht fortlaufend die Zugriffsprotokolle eines lokalen Dienstes. Adressiert war offenbar go2rtc, eine verbreitete Streaming-Software für Smart-Kamera-Gateways und Home-Assistant-Installationen; der Miner landet dort als versteckte Datei .trace 1 3.
Zwei Opfer, eine Rechnung
Symantec beschreibt zwei getrennte Geschädigte. Der Besitzer des exponierten Modells oder des gestohlenen Schlüssels bezahlt die Rechenleistung, bei 100.000 autorisierten Schritten eine erhebliche Summe. Die Server, in die der Agent einbricht, verlieren Daten und Zugangsdaten und werden zum Mining eingespannt. Werkzeuge zum Auffinden weiterer offener Endpunkte und geleakter Schlüssel deuten auf ein Design, das sich selbst finanziert 1.
Die einzelnen Techniken sind nicht neu; neu ist ihre Zusammenfügung. „Ein Betreiber kann dem Modell ein Ziel übergeben und es arbeiten lassen“, schreiben die Forscher 1. Das senkt die Einstiegshürde für breit angelegte Kampagnen.
Die Beobachtung fällt in eine Phase, in der autonome Angriffe aus dem Labor in den Betrieb wandern. Nach Recherchen von Reuters, auf die sich Fortune beruft, setzte ein Angreifer ab dem 25. September KI-Agenten auf mehr als 1.200 Websites an und drang in rund 100 Unternehmen ein, darunter Deere, SharkNinja und Cummins – für Token-Kosten von etwa 5.000 Dollar, rund 50 Dollar pro erfolgreichem Einbruch 4. Jessica Ji vom Center for Security and Emerging Technology nennt als Ursache die deutlich verbesserten Programmierfähigkeiten der Modelle und ihre gestiegene Handlungsfähigkeit: „Diese KI-Systeme sind heute sowohl besser im Hacken als auch autonomer im Handeln“ 4.
Offen bleibt, ob der beschriebene Jailbreak aktuelle kommerzielle Modelle tatsächlich vollständig überwindet. Die Analyse belegt den Versuch, nicht den Erfolg 3.
Was Unternehmen tun können
Symantecs Empfehlungen setzen überwiegend an der Konfiguration an, nicht an Malware-Erkennung 1:
LLM-APIs, selbst gehostete Modellserver und MCP-Endpunkte nicht ohne Authentifizierung ins Internet stellen – auf allen Pfaden, einschließlich Modellliste und Health-Checks – und Dienste hinter ein Gateway legen, statt einen Modellserver an alle Netzwerkschnittstellen zu binden.
API-Schlüssel als hochwertige Zugangsdaten behandeln: regelmäßig rotieren, eng begrenzen, aus Quellcode und Konfigurationsdateien heraushalten und Konten auf ungewöhnliches Inferenzvolumen oder ungewöhnliche Ausgaben überwachen – oft das erste Anzeichen für gestohlenen Zugang.
Ausgehenden Netzwerkverkehr von Systemen mit KI-Werkzeugen oder werkzeugfähigen Agenten beschränken, damit ein kompromittierter Agent nicht scannen, keinen Command-and-Control-Server erreichen und keinen Miner nachladen kann.
In Cloud-Umgebungen Instance Metadata Service Version 2 mit Hop-Limit 1 erzwingen, um den SSRF-Diebstahl von Instanz-Anmeldedaten zu verhindern.
Werkzeugfähige Agenten mit minimalen Rechten und menschlicher Freigabe für sensible Aktionen betreiben; die angegriffene Software – VS Code Server, Django, Jupyter, Laravel, Supabase, Prisma Studio – patchen und vom offenen Internet fernhalten.
Einordnung
Die Pointe der Analyse liegt in der Ökonomie. Bisher diskutierte die Branche vor allem, ob Modelle gefährliche Fähigkeiten besitzen. Symantec zeigt einen Angriff, der die Rechenkosten auf Dritte verlagert und damit die Grenzkosten eines Angriffs externalisiert. Wer eine KI-Infrastruktur betreibt, haftet für die Inferenz, die ein Fremder in seinem Namen verbraucht.
Für Betreiber heißt das: Ein ungeschützter Endpunkt ist kein Konfigurationsfehler mit geringem Risiko, sondern eine Ressource, nach der aktiv gesucht wird. Die Honeypot-Telemetrie mit sechsstelliger Anfragezahl ist der Beleg dafür, wie systematisch diese Suche inzwischen läuft 1. Die Frage, die sich daran anschließt, ist weniger technisch als organisatorisch: ob Unternehmen ihre KI-Dienste überhaupt inventarisiert haben – und ob sie bemerken würden, wenn jemand anderes auf ihre Rechnung rechnet.
