Autonome KI-Agenten stahlen in weniger als sechs Stunden Tausende Zugangsdaten

Die Google Threat Intelligence Group hat eine finanziell motivierte Operation dokumentiert, bei der autonome KI-Agenten innerhalb von weniger als sechs Stunden Tausende Zugangsdaten Dritter aus kompromittierter Cloud-Infrastruktur abgriffen.

Die Angreifer kombinierten einen KI-Coding-Chatbot mit einem steuernden Prompt, spezialisierten Agentenrollen und wiederverwendbaren Markdown-Anweisungsdateien. Zusammen bildeten diese Komponenten ein operatives Framework, das Systeme scannen, Zugangsdaten sammeln, Ausführungsprobleme beheben und IP-Adressen mit nur begrenzter menschlicher Überwachung wechseln konnte.

Die betroffene Organisation wurde nicht benannt, und der Zeitpunkt des Eindringens ist nicht bekannt. GTIG machte außerdem keine Angaben zur Methode des initialen Zugriffs, zur genauen Zahl der Zugangsdaten, zum Cloud-Anbieter oder zu den technischen Indikatoren des Vorfalls.

Trotz dieser offenen Fragen markiert die Operation einen praktischen Wandel darin, wie KI Cyberkriminalität unterstützen kann. Das System verfasste nicht lediglich Phishing-Nachrichten oder erzeugte einzelne Codefragmente. Es koordinierte mehrere Phasen eines aktiven Eindringens.

Eine Multi-Agenten-Pipeline ersetzte die manuelle Steuerung des Angriffs

Das Framework nutzte vorkonfigurierte Anweisungen als Angriffshandbücher. Jedem Agenten konnte eine operative Funktion zugewiesen werden, während das übergeordnete System diese Funktionen zu einer automatisierten Pipeline verband.

Zu den gemeldeten Fähigkeiten gehörten:

• Scannen nach Schwachstellen und exponierten Diensten.
• Aufspüren und Sammeln von Zugangsdaten.
• Fehlerbehebung, wenn Aufgaben fehlschlugen.
• Wechseln von IP-Adressen, um die Aktivität aufrechtzuerhalten oder die Erkennung zu erschweren.
• Steuern des Scan-Ablaufs, wenn sich die Bedingungen änderten.

Diese Architektur verringerte den Bedarf, dass ein Bediener jeden einzelnen Befehl manuell überwacht. GTIG bewertete, dass sich das Framework während der Ausführung anpassen und Probleme in Echtzeit beheben konnte. Dadurch konnten die Angreifer den Angriff über mehrere Phasen hinweg kontinuierlich vorantreiben.

Das Ergebnis war Geschwindigkeit. Tausende Zugangsdaten Dritter waren kompromittiert, bevor die Verteidiger ausreichend Gelegenheit hatten, den Cloud-Einbruch zu untersuchen, einzudämmen und offengelegte Geheimnisse zu widerrufen.

Es ist nicht bekannt, ob das System Schwachstellen selbstständig auswählte, Exploits ausführte oder jedes gestohlene Zugangsmittel validierte. Es wurden weder CVE-Kennungen noch betroffene Softwareversionen veröffentlicht. Der Vorfall sollte daher weder als herkömmliche Schwachstellenwarnung noch als Beleg dafür verstanden werden, dass ein bestimmtes KI-Produkt kompromittiert wurde.

Stattdessen zeigt er, wie Agenten Aufklärung, Datensammlung, Fehlerbehebung und Umgehungstechniken zu einem kontinuierlichen Workflow verbinden können. Menschliche Bediener legen weiterhin die Ziele fest und geben Anweisungen, müssen jedoch nicht mehr jede einzelne Aktion direkt steuern.

TeamPCP nimmt die Software-Lieferkette und CI/CD-Geheimnisse ins Visier

GTIG hat eine größere Zahl von Kompromittierungen in der Software-Lieferkette mit TeamPCP in Verbindung gebracht, einer finanziell motivierten Gruppe, die auch unter den Namen Altered Spider und UNC6780 geführt wird. Zu ihren Zielen gehörten die Ökosysteme von PyPI, npm und Docker Hub.

Die Kompromittierung von Entwicklerpaketen, Container-Images oder zugehörigen Konten kann Zugriff auf Umgebungen ermöglichen, in denen regelmäßig besonders wertvolle Geheimnisse vorhanden sind. Build-Systeme können Cloud-Tokens, Zugangsdaten für die Veröffentlichung von Paketen, Zugriffsschlüssel für Quellcode, Signaturmaterial, Konfigurationen von KI-Assistenten und Berechtigungen für Bereitstellungen enthalten.

TeamPCP setzte nach dem Zugriff zwei Familien von Malware zum Diebstahl von Zugangsdaten ein: SANDCLOCK und DUSTMAKER.

SANDCLOCK wurde im März und April 2026 eingesetzt und öffentlich mit einer als CanisterWorm bezeichneten Aktivität in Verbindung gebracht. Die Malware ist überwiegend in Python geschrieben, auf Linux-Systeme ausgerichtet und kann mit Kubernetes interagieren, Cloud- und Entwicklerzugangsdaten stehlen, Kryptowährungs-Wallets ins Visier nehmen und einen Container-Escape versuchen.

DUSTMAKER wurde im April 2026 und danach eingesetzt. Diese plattformübergreifende JavaScript-Nutzlast ist für Continuous-Integration- und Continuous-Delivery-Umgebungen optimiert. Ihr fehlt die Container-Escape-Funktion von SANDCLOCK, sie konzentriert sich jedoch auf den Diebstahl von Zugangsdaten, die Erpressungen ermöglichen können. Einige Varianten zielen ebenfalls auf Kryptowährungs-Wallets.

DUSTMAKER ergänzt dies um eine speziell auf KI ausgerichtete Ebene. Die Malware kann Arbeitsbereiche von KI-Assistenten vergiften und Prompt Injection einsetzen, um defensive Kontrollen zu umgehen. Diese Techniken waren in den früheren, von GTIG beschriebenen SANDCLOCK-Varianten nicht vorhanden.

Die Vergiftung von Arbeitsbereichen ist besonders gefährlich, wenn Entwickler Coding-Agenten erlauben, Repository-Dokumentation, Markdown-Dateien, Konfigurationsartefakte oder Anweisungen auf Projektebene zu lesen. Eine schädliche Anweisung in vertrauenswürdig wirkenden Arbeitsbereichsinhalten kann das Verhalten des Assistenten beeinflussen, Warnungen unterdrücken, Geheimnisse offenlegen oder ihn anweisen, unsichere Aktionen auszuführen.

TeamPCP monetarisiert den gestohlenen Zugriff durch Direktverkäufe sowie über Beziehungen zu Ransomware- und Datendiebstahl-Erpressergruppen. Eine Kompromittierung der Lieferkette kann dadurch zum Ausgangspunkt für mehrere nachgelagerte Angreifer werden.

KI-Modelle, Prompts und Forschung werden zu Zielen für Datendiebstahl

Angreifer nutzen KI nicht ausschließlich als offensives Werkzeug. Sie nehmen auch die Infrastruktur und das geistige Eigentum ins Visier, die hinter den KI-Systemen von Unternehmen stehen.

GTIG beobachtete Operationen gegen Organisationen aus dem Gesundheitswesen, dem öffentlichen Sektor und der Medienbranche. Dabei wurde versucht, proprietäre Modelle, Prompts, KI-Fähigkeiten, Quellcode, Forschungsergebnisse und API-Zugangsdaten zu stehlen. Bedrohungsakteure versuchten außerdem, Zugriff auf KI-Entwicklungssysteme zu erlangen, und nutzten kompromittierte Cloud-Umgebungen erneut für nicht autorisierte Workloads.

Die möglichen Folgen gehen über eine herkömmliche Datenschutzverletzung hinaus. Gestohlene API-Schlüssel können Angreifern ermöglichen, kostenpflichtige Dienste unter der Identität eines Opfers zu nutzen. Kompromittierte Cloud-Konten können teure Inferenz-Workloads hosten, während gestohlene Modelle und Forschungsergebnisse Spionage, Erpressung, Nachahmung durch Wettbewerber oder Weiterverkauf unterstützen können.

Google beobachtete außerdem Distillation-Angriffe gegen visuelles und akustisches Verstehen, Bildgenerierung und Videogenerierung. Bei dieser Form der Aktivität fragt ein Angreifer wiederholt ein geschütztes Modell ab und nutzt dessen Ausgaben, um ein anderes System zu trainieren oder zu verbessern. Auf diese Weise versucht er, Fähigkeiten nachzubilden, ohne das ursprüngliche Modell direkt zu beschaffen.

Commodity-Information-Stealer tragen zum Zugangsmarkt bei. Lumma Stealer, Vidar und ACR Stealer gelten als wahrscheinliche Quellen für Zugangsdaten zu KI-Diensten und Entwicklungsumgebungen. Ihre Sammelziele wurden um Konfigurationsdateien, Tokens und andere Artefakte von KI-Entwicklern erweitert, die mit Coding-Assistenten und LLM-APIs verbunden sind.

Wenn dieses Material gestohlen wird, kann es weit mehr als nur den Zugang zu einem Chatbot offenlegen. Es kann Zugriff auf Quellcode-Repositories, Cloud-Bereitstellungen, Projekthistorien, proprietäre Prompts, verbundene Tools und privilegierte Automatisierung ermöglichen.

Lokale Modelle schränken die Sichtbarkeit der Anbieter ein

Es besteht der Verdacht, dass ein mit China verbundener Akteur, der als UNC6508 geführt wird, Cloud-Umgebungen kompromittierte und dort lokale LLM-Infrastruktur installierte. Statt sich auf die API eines kommerziellen Frontier-Modells zu stützen, nutzte der Akteur ein Open-Weight-Modell innerhalb der Umgebung des Opfers.

Diese Entscheidung beseitigt eine wichtige Überwachungsebene. API-Anbieter können Nutzungsmuster untersuchen, Missbrauchskontrollen anwenden, Konten sperren und schädliche Prompts untersuchen. Ein lokal betriebenes Modell erzeugt keine vergleichbare externe Telemetrie.

Der Angreifer kann außerdem die Rechenressourcen des Opfers nutzen, um Inferenz-Workloads aufrechtzuerhalten. Unerwartete GPU-Nutzung, neue Modelldateien, Container-Bereitstellungen, lauschende Dienste und starke Veränderungen beim Cloud-Verbrauch können daher sowohl auf Ressourcenmissbrauch als auch auf schädliche KI-Aktivitäten hindeuten.

GTIG hob die Verfügbarkeit „abliterierter“ oder anderweitig unzensierter Modellvarianten als zusätzliches Risiko hervor. Diese Modelle können ohne zentralisierte Sicherheitskontrollen für Aufklärung, Phishing, schädliche Skripte oder die Orchestrierung von Tools betrieben werden.

Die Frage ist nicht nur, ob Open Models zugänglich sind. Verteidiger müssen auch KI-Workloads berücksichtigen, die vollständig innerhalb kompromittierter Infrastruktur ausgeführt werden.

Staatliche und kriminelle Gruppen weiten den Einsatz von KI aus

Dieses Muster erstreckt sich auf Spionage, Betrug, Einflussoperationen und Erpressung.

Basin Castle, auch bekannt als Mustang Panda, hat Claude, Gemini und Codex für Exploit-Skripte, Spear-Phishing, Zielrecherche und Fehlerbehebung während Eindringversuchen eingesetzt. Ravine Castle, auch geführt als APT24, COULEE und Pitty Tiger, nutzte Gemini für die Informationsbeschaffung, die Entwicklung von Fähigkeiten und Einflussaktivitäten.

Sandworm, auch bekannt als APT44 und Sandworm Relic, setzte Gemini bei Operationen gegen die Ukraine für Informationsbeschaffung, Social Engineering und Workflow-Automatisierung ein. Der mit dem Iran verbundene Akteur Calanque Ion, auch APT42 genannt, nutzte generative KI für Aufklärung und gezieltes Social Engineering.

Mit Nordkorea verbundene Akteure setzten KI für Betrug mit IT-Arbeitskräften, die massenhafte Registrierung von LLM-API-Konten über gekaperte Identitäten, Manipulationen der Lieferkette, Social Engineering und die automatisierte Entwicklung von Backdoors ein. UNC6240, auch bekannt als ShinyHunters, verwendete Claude Code, um Cloudflare-Kontrollen zu umgehen und gestohlene Verzeichnisse für Erpressungszwecke zu analysieren.

Eine China zugerechnete Spionagegruppe nutzte Gemini außerdem bei der Entwicklung eines automatisierten Penetration-Testing-Frameworks. Dieses war darauf ausgelegt, Ziele zu beobachten, mögliche Aktionen abzuwägen, Ports zu scannen, Dienste zu analysieren und in sich verändernden Umgebungen zu agieren.

Diese Beispiele zeigen, dass agentische KI zu einer operativen Ebene wird. Sie kann Angreifern helfen, Entscheidungen zu treffen und Tools zu koordinieren, statt lediglich Inhalte zu erzeugen.

Verteidiger müssen Agentenanweisungen als ausführbares Risiko behandeln

Organisationen sollten zunächst alle offengelegten Zugangsdaten für Cloud-Dienste, Entwickler, CI/CD, LLM-APIs und Kryptowährungs-Wallets rotieren und widerrufen. Anschließend sollten sie nach ungewöhnlicher Token-Nutzung, massenhaftem Zugriff auf Zugangsdaten, unerwarteten API-Registrierungen, schnellem Wechsel von IP-Adressen, automatisierten Scans und unerklärlichem Cloud- oder GPU-Verbrauch suchen.

Zu den prioritären Schutzmaßnahmen gehören:

• Build-Runner isolieren und ihren Zugriff auf Produktionsgeheimnisse beschränken.
• Paketintegrität, das Fixieren von Abhängigkeiten, Herkunftsprüfungen und kontrollierte Veröffentlichungen durchsetzen.
• Von Coding-Agenten verarbeitete Markdown- und andere Anweisungsdateien überprüfen.
• Repositories und Arbeitsbereiche auf Inhalte mit Prompt Injection überwachen.
• Aktionen von KI-Assistenten, API-Aufrufe, Tool-Ausführungen und administrative Änderungen zentral protokollieren.
• Nicht autorisierte Modelldateien, Inferenzserver, Container und lokale KI-Dienste erkennen.
• Entwicklungs-, Produktions-Cloud- und KI-Experimentierumgebungen segmentieren.
• Nicht genehmigte KI-Tools beschränken, ohne sich ausschließlich auf diese Einschränkungen zu verlassen.
• Modelle, Prompts, Forschungsergebnisse und Quellcode als besonders wertvolles geistiges Eigentum schützen.

Für die Operation zum Abgriff von Zugangsdaten innerhalb von sechs Stunden wurden keine öffentlichen Indicators of Compromise bereitgestellt. Verteidiger müssen sich daher auf Verhaltensindikatoren statt auf eine feste Liste von Signaturen konzentrieren.

Das zentrale Risiko ist bereits konkret: KI-Agenten können den Zeitrahmen eines Eindringens verkürzen, indem sie Aufgaben koordinieren, die zuvor eine kontinuierliche Aufmerksamkeit des Bedieners erforderten. Wenn Zugangsdaten, Build-Systeme und Cloud-Ressourcen miteinander verbunden sind, können sechs Stunden ausreichen, um aus einer kompromittierten Umgebung Zugriff auf viele weitere zu erlangen.