KI-Angriffe zielen auf das Umfeld der Modelle

Sicherheitsvorfälle rund um KI entstanden im ersten Halbjahr 2026 selten durch Angriffe auf die Modelle selbst. Ursache waren meist bekannte Schwachstellen wie Zugänge ohne Authentifizierung, ungepatchte Software, unsicher gespeicherte Zugangsdaten und missbrauchtes Vertrauen. Das zeigt der Bericht „Aftershocks: The Hidden Cost of Speed at Scale – 1H 2026 State of AI Security” von TrendAI, dem Forschungsteam von Trend Micro. Grundlage sind Telemetriedaten des Unternehmens, eigene Schwachstellenforschung, eine Befragung der Teilnehmer des Hacking-Wettbewerbs Pwn2Own Berlin 2026 und die Analyse öffentlich gemeldeter Vorfälle.

Offene MCP-Server mit Zugriff auf Patientendaten

Bei einem Scan fanden die Forscher 1.467 aus dem Internet erreichbare MCP-Server. Solche Server verbinden KI-Agenten mit Datenbanken, Dateien und Anwendungen in Unternehmen. Auf 70 Hosts war die Funktion execute_sql erreichbar, mindestens drei Server erlaubten ohne Anmeldung den Zugriff auf Patientendaten. Eine Analyse von mehr als 19.000 Quellcode-Projekten für MCP-Server ergab, dass 48 Prozent empfehlen, Zugangsdaten in .env-Dateien oder Konfigurationsdateien im Klartext abzulegen.

Zudem waren 12.461 Instanzen der Inferenz-Software Ollama frei erreichbar. Nur wenige liefen mit der aktuellen Version. Auch die Vektordatenbank Chroma, die 2025 und 2026 bei Pwn2Own erfolgreich angegriffen wurde, fand sich im Netz am häufigsten in einer veralteten Version. Insgesamt identifizierte TrendAI 43.175 Instanzen KI-bezogener Dienste in 25 Branchen. Ein großer Teil des Risikos liegt laut Bericht bei spezialisierten Branchenlösungen, etwa für Rechtsrecherche, Betrugserkennung oder medizinische Dokumentation, die in vielen Governance-Programmen nicht erfasst sind.

Lieferketten als Einfallstor

Die folgenreichsten Vorfälle des Halbjahres gingen laut TrendAI auf kompromittierte Software-Lieferketten zurück. Präparierte Versionen des KI-Gateways LiteLLM enthielten einen mehrstufigen Mechanismus, der Zugangsdaten stahl und sich in Kubernetes-Umgebungen ausbreitete. Entdeckt wurde er nur wegen eines Programmierfehlers in der Schadsoftware. Eine kompromittierte Version der VS-Code-Erweiterung Nx Console verteilte ein Programm zum Diebstahl von Zugangsdaten. Nach einem Verpackungsfehler bei Claude Code von Anthropic tauchten binnen 24 Stunden gefälschte GitHub-Repositories mit angeblich geleakten Dateien auf, die Schadsoftware verbreiteten.

Schneller vom Patch zum Exploit

85 Prozent der befragten Pwn2Own-Teilnehmer nutzen große Sprachmodelle für ihre Sicherheitsforschung. Der Wettbewerb in Berlin brachte 47 Zero-Day-Lücken und rund 1,3 Millionen US-Dollar Preisgeld hervor, beides Rekordwerte. KI-gestützte Analyse kann laut Bericht die Zeit zwischen der Veröffentlichung einer Lücke und einem einsatzfähigen Exploit von Wochen auf Stunden verkürzen. Zugleich zielen mehr als 70 Prozent der im kriminellen Untergrund nachgefragten Exploits auf Schwachstellen, die älter als zwei Jahre sind.

(red/Trend AI)