Google: Hacker setzen verstärkt auf autonome KI-Agenten

Google-Forscher warnen vor autonomen KI-Agenten: Angreifer automatisieren komplexe Angriffsketten und übernehmen Cloud-Ressourcen.

Von einfachen Prompts zu autonomen KI-Agenten-Systemen

Die Google Threat Intelligence Group (GTIG) beschreibt in ihrem aktuellen Bericht „AI Threat Tracker“ eine deutliche Evolution der Cyberbedrohungen. Angreifer nutzen Large Language Models (LLMs) nicht mehr nur für einzelne Hilfsaufgaben, sondern integrieren sie in automatisierte Multi-Agenten-Systeme. In einem dokumentierten Fall gelang es Tätern, eine Cloud-Umgebung zu kompromittieren und innerhalb von unter sechs Stunden vollautomatisch eine groß angelegte Kampagne zum Diebstahl von Zugangsdaten zu planen, aufzubauen und auszuführen – inklusive autonomer Fehlersuche und IP-Rotation ohne menschliches Eingreifen.

Manipulation von KI-Coding-Assistenten und Lieferketten

Besonders Entwicklerumgebungen und KI-gestützte Programmierhilfen rücken in den Fokus von Akteuren wie UNC6780 (TeamPCP):

• Sicherheitslücken in Entwickler-Tools: Die Malware DUSTMAKER nistet sich in versteckten Verzeichnissen wie .claude/, .vscode/ oder .cursor/ ein.
• Prompt Injection gegen KI-Assistenten: Durch manipulierte Konfigurationsdateien werden KI-Coding-Assistenten dazu gebracht, schädliche Befehle im Hintergrund auf dem Entwickler-Rechner auszuführen.
• Täuschung von Sicherheitsscannern: Angreifer betten gezielt extreme Text-Prompts in Code-Kommentare ein, um automatische LLM-Sicherheitsscanner durch eingebaute Sicherheitsmechanismen zur Aufgabe der Code-Analyse zu bewegen.

Spionage, Erpressung und „LLMJacking“

Proprietäre KI-Modelle, Quellcodes, Prompts und Trainingsdaten werden zunehmend Ziel von Wirtschaftsspionage und Erpressungsversuchen. Betroffen sind neben spezialisierten KI-Unternehmen auch Organisationen aus den Bereichen Gesundheit, Verteidigung und Medien.

Zudem verzeichnet GTIG einen steilen Anstieg beim Diebstahl von KI-Zugangsdaten und Cloud-Ressourcen. Beim sogenannten „LLMJacking“ kapern Angreifer fremde Enterprise-Cloud-Infrastrukturen oder API-Keys, um rechenintensive KI-Workloads auf Kosten der Opfer auszuführen. Die Preise für gestohlene Zugänge zu Diensten wie Claude oder Cursor Pro haben sich auf Untergrundmärkten seit 2025 mehr als verdoppelt.

Keine vollautonomen Zero-Day-Angriffe in freier Wildbahn

Trotz der rasanten Automatisierung gibt GTIG vorerst Entwarnung bezüglich KI-generierter Zero-Day-Lücken: Ein Fall, in dem KI eigenständig bislang unbekannte Schwachstellen entdeckt und ausgenutzt hätte, wurde in der Praxis noch nicht beobachtet. Allerdings verkürzt der Einsatz von KI die Zeitspanne drastisch, die Angreifer benötigen, um öffentlich bekannt gewordene Sicherheitslücken (N-Days) in funktionierende Exploits umzuwandeln.

(Google Threat Intelligence Group/red)