Angriffs-Agent im „Skynet-Modus“ kapert offene KI-Modelle

Kriminelle haben einen KI-Agenten gebaut, der ungeschützte KI-Modelle kapert und damit autonome Angriffe ausführt. Er darf bis zu 100.000 Schritte ohne menschliche Freigabe gehen. Das Symantec Threat Hunter Team erbeutete im Sommer die komplette Anweisungsliste des Agenten, indem es ihn in einem KI-Honeypot einfing.

Laut den Forschern durchsucht der Agent das Internet nach Endpunkten, die Anfragen im OpenAI-Stil ohne Authentifizierung oder mit einem gestohlenen Schlüssel akzeptieren. Anschließend nutzt er Schwachstellen verbreiteter Web-Frameworks aus und führt Dutzende illegale Aktionen aus, darunter Datenbankdiebstahl, das Abgreifen von Zugangsdaten und Geheimnissen, Remote-Code-Ausführung und Kryptomining. Die zentrale Schleife nannten die Betreiber „Skynet mode“: Ziele suchen, infizieren, Miner installieren und Hosts erneut infizieren.

Fünf Schichten und 74 Werkzeuge

Die Anfrage an das geliehene Modell besteht aus fünf Schichten. Die ersten beiden verschleiern die Identität des Modells und stellen das Auslesen von .env-Dateien und API-Schlüsseln als normale Entwicklungsarbeit dar. Die nächsten beiden machen das Modell zu einer ergebenen Begleiter-Persona namens ENI, die einem Operator namens LO nie widersprechen darf, und verbieten in Code-Antworten Wörter wie „illegal“, „ethical“ oder „I can't“.

Schicht fünf enthält 74 Angriffswerkzeuge: internetweite Asset-Suche, Botnet-Steuerung, Datenbank-Dumps über Prisma sowie Exploits für Remote-Code-Ausführung gegen VS Code, Django, Jupyter, Laravel, Supabase, Next.js und Flask/Werkzeug. Die letzte Anweisung erlaubt den unbeaufsichtigten Lauf und verlangt, Miner still im Hintergrund zu installieren.

Was das bedeutet

„Keine der einzelnen Techniken ist neu“, sagte Symantec-Analystin Priti More. „Auffällig ist, dass jemand sie in einem Agenten verbunden hat, der die Planung an ein geliehenes Modell abgibt.“ Es gebe zwei Gruppen von Opfern: Der Besitzer des offenen Endpunkts zahlt die Inferenz, und jeder angegriffene Server könnte Daten verlieren und zum Mining missbraucht werden.

Bislang gibt es laut Symantec keine Belege für Einsätze in der Praxis, doch das Kit sei mehr als ein Prototyp; die Protokolle zeigten Läufe gegen ein Live-Ziel. Eine Zuordnung zu Personen oder Gruppen gibt es nicht. Die französischen Hinweise, etwa Text, Prompt und eine französische Privat-IP, seien schwach, und die ENI-Persona kursiert öffentlich in englischsprachigen Jailbreak-Foren.

Für Verteidiger heißt das: Angreifer täuschen nicht mehr nur Chatbots. Das Modell dient als Denkmaschine, die den Angriff plant und steuert, während die eigenen Module des Tools scannen, angreifen und minen, schrieben More und Co-Autor Susmit Yenkar.