Sicherheitsforscher von Symantec haben die Bauanleitung eines Angriffsagenten offengelegt, der ungeschützte Sprachmodelle im Internet sucht und für eigene Angriffe einspannt. Die Rechenkosten trägt der Betreiber des gekaperten Modells. Für Finanzhäuser, die eigene KI-Dienste aufbauen, wird damit jeder offene Modellzugang zum Betriebsrisiko.
Was der Honeypot aufgezeichnet hat
Der Bericht des Symantec Threat Hunter Teams vom 21. Oktober 2026 stützt sich auf einen Honeypot. Das ist ein Locksystem, das einen ungeschützten KI-Dienst im Internet vortäuscht. Im Sommer 2026 schickten Angreifer ihm den vollständigen Arbeitsprompt ihres Agenten, in der Annahme, ein echtes Modell würde ihn ausführen. Ausgeführt hat der Honeypot keines der Werkzeuge.
Der Prompt umfasst fünf Schichten. Die ersten vier hebeln die Schutzregeln eines kommerziellen Modells aus, etwa indem sie das Auslesen von Zugangsschlüsseln als normale Entwicklungsarbeit ausgeben. Die fünfte Schicht liefert 74 Angriffswerkzeuge: vom internetweiten Scan über Exploits für verbreitete Web-Frameworks bis zum Kryptomining. Ein „Skynet-Modus“ erlaubt bis zu 100.000 Schritte ohne menschliche Freigabe.
Warum offene Modellzugänge zum Kostenrisiko werden
Symantec ordnet das Vorgehen als LLMjacking ein: Angreifer nutzen fremde Modellzugänge, damit das Opfer die Rechenleistung bezahlt. Gesucht werden selbst gehostete Modellserver, KI-Gateways vor bezahlten Modellkonten, eilig aufgesetzte Testsysteme und MCP-Server. Diese Server nach dem Model Context Protocol verbinden ein Modell mit realen Werkzeugen. Weil die meisten Dienste dieselbe OpenAI-kompatible Schnittstelle nutzen, findet ein einziger Scanner viele Ziele.
Laut Symantec verzeichnete der Honeypot bis zur Veröffentlichung mehr als 127.000 externe Anfragen von Zehntausenden Adressen. Den Großteil machten die Suche nach Modellendpunkten, das Durchprobieren gestohlener API-Schlüssel und das Sondieren von Konfigurationsdateien aus. Neu ist nach Symantecs Einschätzung keine der Techniken. Ihre Bündelung in einem selbstgesteuerten Agenten senkt aber die Fachkenntnis, die eine breite Angriffskampagne erfordert.
Das Geschäftsmodell trifft zwei Gruppen. Der Betreiber des gekaperten Modells oder der Inhaber des gestohlenen Schlüssels zahlt für die Rechenleistung. Die Server, in die der Agent anschließend eindringt, verlieren Daten und Zugangsdaten und schürfen danach Kryptowährung für die Angreifer.
Was Finanzhäuser jetzt prüfen sollten
Wer eigene Modelle, Gateways oder Agenten betreibt, gehört zum Zielraster dieses Werkzeugs. Symantec rät, keine Modellschnittstelle ohne Authentifizierung zu betreiben, auch nicht für Statusabfragen. KI-Schlüssel sollen wie hochwertige Zugangsdaten behandelt und Ausgaben auf ungewöhnliches Volumen überwacht werden. Agenten mit Werkzeugzugriff brauchen minimale Rechte, eingeschränkten Netzverkehr nach außen und eine menschliche Freigabe für heikle Schritte.
Für Finanzunternehmen in der EU berührt das den Rahmen der Verordnung (EU) 2022/2554 (DORA). Sie verlangt seit dem 17. Januar 2025 ein IKT-Risikomanagement, das alle IKT-Assets erfasst. Nach unserer Einschätzung gehören Testumgebungen für KI ausdrücklich in dieses Inventar, auch wenn sie nur kurz laufen.
Offen bleibt, wie verbreitet solche Agenten bereits im Einsatz sind. Der Honeypot belegt die Bauart des Werkzeugs, nicht aber einen gelungenen Einbruch. Aufschlussreich werden die nächsten Monate: ob Anbieter auffällige Rechenlast früher erkennen und ob Aufseher KI-Endpunkte in ihre Prüfungen aufnehmen.
* DE: Die ergänzenden Inhalte können KI-generiert sein. EN: The additional content may be AI-generated.