Symantec entdeckt „Skynet“-Agenten, der offen erreichbare KI-Modelle kapert

Forscher von Symantec haben die vollständigen Anweisungen eines Angriffsagenten erfasst, der auf den KI-Modellen anderer Leute läuft. Der Agent findet KI-Dienste, die offen im Internet stehen, und nutzt sie, um Einbrüche zu planen und auszuführen, während der Eigentümer für die Rechenleistung bezahlt. Symantec veröffentlichte die Ergebnisse am 21. Oktober 2026.

Den Zugang zum KI-Modell eines anderen zu stehlen, hat einen Namen: LLMjacking. Neu ist hier ein Agent, der dafür gebaut ist, einen ganzen Angriff auf gestohlenen Modellen auszuführen. „Der Eigentümer des Modells zahlt für jeden Schritt“, schreiben die Autoren des Berichts, Priti More und Susmit Yenkar von Broadcom, dem Mutterkonzern von Symantec.

Wie Symantec den Agenten erwischte

Die Forscher betrieben einen Honeypot, ein Ködersystem, das wie ein leichtes Ziel aussieht. Er gab sich als ungeschützter KI-Dienst aus, der zum Internet hin offen war. Die Angreifer glaubten, ein echtes Modell würde ihre Anfragen verarbeiten, also schickten sie ihm den vollständigen Prompt des Agenten.

Der Köder protokollierte mehr als 127.000 Anfragen von außen, die von Zehntausenden Adressen kamen. Die meisten suchten nach KI-Endpunkten, probierten massenhaft gestohlene API-Schlüssel aus oder tasteten nach offen liegenden Konfigurationsdateien. Der Prompt des Agenten wurde im Sommer 2026 erfasst.

Der Honeypot führte keinen der Befehle der Angreifer aus. Der Bericht zeigt also, wofür der Agent gebaut wurde, ist aber kein Beweis, dass jedes Werkzeug gegen echte Opfer funktioniert.

Wofür der Agent gebaut wurde

Der erfasste Prompt hat fünf Ebenen. Er beginnt mit einem Jailbreak, einem Texttrick, der die Sicherheitsregeln eines Modells abschalten soll. Er gibt dem Modell eine falsche Persona, „Fantasy AI“, die behauptet, auf GPT-4o zu laufen. Dann definiert er 74 Angriffswerkzeuge.

Teil des Prompts	Was er tut
„Skynet mode“	Erlaubt bis zu 100.000 Schritte ohne menschliche Freigabe
Scan-Werkzeuge	Finden offen liegende Modellserver, KI-Gateways und MCP-Server
Exploit-Werkzeuge	Greifen Web-Frameworks wie Django, Jupyter, Laravel und Next.js an
Diebstahl von Zugangsdaten	Sammelt API-Schlüssel und .env-Dateien, die Passwörter und Schlüssel enthalten
Krypto-Mining	Installiert den Monero-Miner XMRig mit vier Ausweich-Mining-Pools
Spurenbeseitigung	Löscht die Zugriffsprotokolle eines lokalen Dienstes

MCP, das Model Context Protocol, ist ein Standardweg, um KI-Modelle mit Werkzeugen und Daten zu verbinden. Ein KI-Gateway ist ein Server, der vor den bezahlten Modellkonten eines Unternehmens sitzt.

Im Skynet mode laufen Werkzeuge sofort, ohne Erklärung und ohne Bitte um Erlaubnis. Der Agent arbeitet in einer Schleife: scannen, infizieren, einen Miner installieren, erneut infizieren.

Help Net Security zitiert die Forscher: „Das gestohlene Modell beantwortet nicht einfach Fragen; es plant und steuert den Angriff.“

Zwei Tage voller Versuche

Am ersten Tag schickten die Angreifer eine Unterhaltung mit drei bereits ausgefüllten Tool-Aufrufen, die auf eine Trainingsplattform zielte. Der Honeypot gab in der vierten Runde eine allgemeine Antwort zurück, und die Sitzung endete.

Am zweiten Tag enthielt eine Anfrage von einer neuen Adresse ein kodiertes, komprimiertes Shell-Skript. Laut Help Net Security versuchte es, einen Monero-Miner zu installieren, der auf Kamera- und Streaming-Server zielte. Der Honeypot speicherte das Skript und führte es nicht aus.

Symantec sagt, die einzelnen Techniken seien nicht neu. Die Sorge gilt ihrer Kombination in einem einzigen, selbstgesteuerten Agenten. Infosecurity Magazine berichtet über Symantecs Einschätzung, dass dies die nötigen Fähigkeiten für einen breit angelegten Angriff senkt.

Was das für Entwickler bedeutet

Wenn Sie einen Modellserver, ein Gateway oder einen MCP-Server betreiben, gehen Sie davon aus, dass jemand ihn findet. Symantec sagt, Betreiber „werden kurz nachdem sie offen erreichbar sind gefunden und getestet“. Die erste Empfehlung des Unternehmens ist direkt: „Stellen Sie LLM-APIs, selbst gehostete Modellserver oder MCP-Endpunkte nicht ohne Authentifizierung ins Internet.“

Prüfen Sie auch die kleinen Endpunkte. Laut Symantec sollte die Authentifizierung jeden Pfad abdecken, auch Modelllisten und Health-Checks. Setzen Sie ein Gateway davor, statt den Server auf jeder Netzwerkschnittstelle lauschen zu lassen.

Behandeln Sie KI-API-Schlüssel wie Produktionspasswörter. Rotieren Sie sie, geben Sie jedem den engsten Geltungsbereich, den er braucht, und halten Sie sie aus Code und Konfigurationsdateien heraus. Richten Sie Warnungen für Nutzung und Ausgaben ein, denn ein plötzlicher Anstieg kann das erste Anzeichen sein, dass jemand anderes Ihr Konto nutzt.

Für Agenten, die Werkzeuge aufrufen, rät Symantec zu minimalen Rechten und einem menschlichen Freigabeschritt bei heiklen Aktionen. Beschränken Sie den ausgehenden Netzwerkzugriff von Rechnern, auf denen KI-Werkzeuge laufen. Verlangen Sie auf Cloud-Servern Version 2 des Instance-Metadata-Dienstes mit einem Hop-Limit von eins, was einen gängigen Weg zum Diebstahl von Cloud-Zugangsdaten blockiert.

Gateways sind selbst ein Ziel. Diese Woche wurde das beliebte KI-Gateway LiteLLM gekapert, um einen Credential-Stealer auszuliefern, und zwar über PyPI. Prüfen Sie sowohl, was Sie offenlegen, als auch, was Sie installieren.