KI-gestützte Malware: 97 % verlässt nie die Sandbox, bestehende Abwehrmaßnahmen genügen

Am 26. August 2026 veröffentlichte Palo Alto Networks Unit 42 eine Analyse von 405 Malware-Proben, die in irgendeiner Weise auf künstliche Intelligenz Bezug nehmen. Das Ergebnis ist klar: KI beschleunigt das Schreiben und die Variation von Schadcode, erhöht aber nicht die Erfolgsquote. Rund 97 % der Proben haben nie einen echten Endpunkt erreicht. Nur 12 Hashes tauchten auf geschützten Systemen auf, und alle lösten eine Warnung aus.

Ein heterogener Datensatz: Ransomware, getarnte Installer und Proof-of-Concept

Die 405 analysierten Proben sind nicht alle gleich. Unit 42 hat Ransomware einbezogen, die teilweise mithilfe von Sprachmodellen geschrieben wurde, Installer, die den Namen bekannter KI-Apps ausnutzen, sowie gewöhnliche Payloads, die als legitime Produkte getarnt sind. Durch den Abgleich der Hashes mit Endpoint-Telemetrie, an die Sandbox weitergeleiteten Netzwerksitzungen und Alert-Aufzeichnungen ergibt sich ein überraschendes Bild. Die große Mehrheit hat Testumgebungen, Forschungs-Repositories oder interne Sandboxen nie verlassen.

Die drei Schicksale von Malware, die nicht in Produktion gelangt

Die Proben, die nie auf echte Ziele gelangten, lassen sich in drei klar getrennte Gruppen einteilen.

Die erste Gruppe ist Demonstrationscode. Es handelt sich um Proof-of-Concept-Varianten, die darauf ausgelegt sind, nur lokale oder private Netze anzugreifen, und voller Debug-Ausgaben, die ein echter Angreifer entfernen würde. Häufig werden sie nur ein einziges Mal von Hochschul- oder Forschungslaboren hochgeladen.

Die zweite Gruppe umfasst Verteidigungstests. Organisationen laden denselben Dateityp wiederholt aus derselben Quelle in einem kurzen Zeitfenster hoch, um ihre Abwehr gegen bereits bekannte KI-Malware zu prüfen. Auch diese Proben zielen nicht auf Verbreitung ab.

Die dritte Gruppe nutzt die KI-Marke als bloßen Köder. Es handelt sich um völlig gewöhnliche Payloads ohne jegliche KI-Funktionalität, getarnt als Installer bekannter KI-Produkte. Ziel ist allein, das Vertrauen in den Namen auszunutzen.

Die 12 Proben, die Endpunkte erreichten: fünf Familien, keine Häufung

Nur 12 Hashes wurden auf echten, geschützten Endpunkten entdeckt. Sie gehören zu fünf Malware-Familien, die in drei Ländern verbreitet wurden, ohne eine sektorale oder geografische Häufung. Alle 12 lösten einen Sicherheitsalarm aus. Die bestehenden Abwehrmaßnahmen haben sie abgefangen, ohne dass neue Erkennungsmethoden nötig waren.

Die am häufigsten vertretene Familie ist FunkSec, eine Ransomware, die mehrere Forscher mit der Unterstützung durch Sprachmodelle in Verbindung bringen. Die internen Dateinamen des Projekts zeigen einen Entwickler, der den Namen derselben Ransomware mehrfach änderte. Unit 42 hält dieses Tempo für eher vereinbar mit einer promptgesteuerten Generierung als mit einem traditionellen Entwicklungszyklus.

Die am weitesten verbreitete Probe ist jedoch keine Ransomware. Es handelt sich um einen Installer, der sich als Rezeptsuch-App namens Recipe Lister ausgab. Mit gültiger digitaler Signatur versehen, startete er nach der Installation stillschweigend eine Backdoor. Er erreichte mehr als 50 Organisationen und erzeugte rund 6.500 Endpoint-Datensätze und etwa 9.600 Alerts. Die Signatur vermied zunächst Verdacht, aber ein ungewöhnlicher Unterzeichner in Verbindung mit stark gepackten Inhalten führte zur Erkennung.

Eine weitere Backdoor namens Oyster gab sich als Dropbox-Installer aus. Die Signatur wies Dropbox als Herausgeber aus. Unit 42 stellt fest, dass Angreifer zunehmend auf KI-Tools zurückgreifen, um diese Art von Verteilungscode zu generieren, wodurch der erste Zugriff schneller und kostengünstiger hergestellt werden kann.

Eine separate Windows-Executable verbreitete den Infostealer Rhadamanthys mit aktiver Command-and-Control-Kommunikation. Frühere Berichte brachten diese Bedrohung mit einer KI-unterstützten Infektionskette in Verbindung.

Die fünfte Probe gab sich als Komponente des chinesischen Sicherheitsprodukts 360 Total Security aus. Sie nutzte eine als COM-Hijacking bekannte Persistenztechnik. Sie wurde in den Datensatz aufgenommen, weil sie in Kampagnen zusammen mit KI-bezogenen Ködern auftauchte, nicht weil ihr Verhalten von KI abhing.

Warum die Abwehr gehalten hat: ungewöhnliche Signaturen und verdächtiges Packing

Dass alle 12 in Produktion gelangten Proben erkannt wurden, ist kein Zufall. Die bestehenden Abwehrmaßnahmen, die auf denselben Methoden wie bei konventioneller Malware beruhen, erwiesen sich als ausreichend. Die Detonation in der Sandbox, verhaltensbasierte Erkennung, die Prüfung auf Anomalien bei digitalen Signaturen und die Messung des Packing- bzw. Verschlüsselungsgrads von Dateien funktionierten auch gegen KI-bezogene Malware.

Im Fall von Recipe Lister waren die Prüfung des ungewöhnlichen Unterzeichners und die Analyse der stark gepackten Inhalte entscheidend. Es ergab sich kein Bedarf an neuen, speziell auf KI-gestützte Malware zugeschnittenen Erkennungsmethoden. KI beschleunigt die Erstellung und Variation von Schadwerkzeugen, erhöht aber nicht deren Fähigkeit, Kontrollen zu umgehen.

Was sich für Verteidiger von Netzwerken ändert

Die Analyse von Unit 42 relativiert den Alarm über den Einsatz von KI in Malware. Ein Angreifer kann zwar schneller und kostengünstiger Varianten erzeugen. Doch die Erfolgsquote steigt nicht. Der Großteil der Proben bleibt auf Labore, Forschungs-Repositories oder Testumgebungen beschränkt. Diejenigen, die tatsächlich auf Ziele gelangen, werden von den bereits eingesetzten Werkzeugen gestoppt.

Für Verteidiger ist die Lehre klar: Es braucht keine neuen Produkte oder exotischen Technologien. Es braucht Disziplin bei den bestehenden Praktiken: Signaturen aktualisieren, Anomalien bei Zertifikaten überwachen, den Komprimierungsgrad verdächtiger Dateien analysieren und leistungsfähige Sandboxen aufrechterhalten. KI kann die Geschwindigkeit verändern, mit der Malware produziert wird, aber nicht die Art und Weise, wie sie gestoppt wird.