6 Wege, über KI gehackt zu werden

Statt auf einfache Malware-Kampagnen setzen Cyberkriminelle immer häufiger darauf, KI-Services zu missbrauchen. Lesen Sie, wie. Tayler Derden | shutterstock.com



Früher haben sich Cyberkriminelle vor allem auf integrierte Enterprise-Tools wie PowerShell verlassen. Heute nutzen sie für ihre Angriffe immer öfter KI-Systeme und -Tools, auf die Unternehmen angewiesen sind. Ein Problem dabei ist, dass viele dieser Systeme bereitgestelltwurden, ohne sich vorab um Governance oder Security zu kümmern. Das ist auch kriminellen Angreifern bewusst – sie versuchen, das Vertrauen auszunutzen, das Unternehmen in KI setzen.  



Für Security-Teams hat das Folgen – beziehungsweise sollte es das, wie Zbyněk Sopuch, CTO beim Security-Anbieter Safetica, auf den Punkt bringt: „KI-Assistenten müssen ebenso behandelt werden, wie privilegierte, menschliche Benutzer. Das bedeutet engmaschige Kontrollen, zielgerichtetes Monitoring und vor allem, niemals anzunehmen, dass irgendjemand oder irgendetwas hundertprozentig sicher ist.“



Für diesen Artikel haben wir mit Sicherheitsexperten diskutiert, auf welche Art und Weise Cyberkriminelle KI-basierte Services bevorzugt unterwandern (oder kompromittieren), um ihre Angriffe anzubahnen.



1. Gefälschte MCP-Server



Model Context Protocol (MCP) ermöglicht es, KI-Agenten mit externen Datenquellen, Tools und Services zu verbinden. Diese Systeme abzusichern, sollte für Unternehmen, die Risiken minimieren wollen, oberste Priorität haben. Davon ist auch Zahra Timsah, CEO des Governance-Spezialisten i-Gentic AI, überzeugt: „Diese Server stellen Tools, Memory und APIs für KI-Agenten bereit, damit diese Tasks ausführen können. Schleusen Angreifer manipulierte Tools, modifizierte Konnektoren oder eine schadhafte Retrieval-Quelle in diese Kette ein, kann es sein, dass der KI-Agent diese unwissentlich ausführt.“



So wie Ende September 2025, als Cyberkriminelle einen gefälschten MCP-Server feilboten – der vermeintlich den transaktionalen E-Mail-Service von Postmark in KI-Assistenten integrieren sollte. Das Server-Package erweckte einen legitimen Anschein und funktionierte auch wie vorgesehen mit 15 verschiedenen Versionen des Service. Allerdings wurden dabei auch heimlich Passwörter, Rechnungen, interne Mitteilungen und weitere sensible Inhalte an die Cyberkriminellen hinter dem Spoof übertragen.



„Es ist das KI-Äquivalent zu Name Squatting. Mit dem Unterschied, dass es keine zentrale MCP-Instanz gibt, die die Serveridentität überprüft – und keine verschlüsselte Verbindung zwischen einem MCP-Server und der Organisation besteht, die er angeblich repräsentiert. So wird das Trust-Modell bereits untergraben, bevor ein MCP-Server bereitgestellt wird“, erklärt Brad Micklea, CEO beim Plattformanbieter Jozu.



2. KI-Plattformen als C2-Kanal



Cyberkriminelle missbrauchen KI-Plattformen außerdem auch als verdeckte Command-and-Control-Kanäle. Dazu verwandeln sie KI-Services in Proxys, um schadhaften Traffic im Fluss legitimer Inhalte zu verbergen. Die Malware selbst ist so programmiert, dass sie Befehle abruft und Daten über KI-Dienste exfiltriert. Traditionelle Sicherheitskontrollen werden dabei umgangen.



Das ist etwa im Fall der SesameOp-Backdoor geschehen: Cyberkriminelle versteckten Befehlsdaten in der Assistants-API von OpenAI – und tarnten ihre Anweisungen als normale KI-Entwicklungsaktivität.



Dass das kein Einzelfall – und das Missbrauchspotenzial enorm – ist, zeigt auch eine Untersuchung von Check Point Research: Die Forscher haben demonstriert, wie Copilot und Grok über ihre öffentlich verfügbaren Web-APIs (unter anderem) dazu gebracht werden können, maliziöse URLs abzurufen. Das eröffnet Missbrauchsmöglichkeiten ganz ohne API-Keys oder ein authentifiziertes Konto.



3. Dependency Poisoning



Anstatt KI-Systeme direkt zu attackieren, ist es für kriminelle Angreifer auch attraktiv, nachgelagerte Abhängigkeiten zu kompromittieren, auf die sich KI-Agenten für Datenverarbeitungszwecke verlassen. Auch für diese Angriffsform gibt es inzwischen diverse Real-World-Beispiele.



„Das Muster ähnelt dem von klassischen Supply-Chain-Angriffen. Allerdings kann Dependency Poisoning innerhalb einer Agentic-AI-Pipeline nicht nur zu Datenlecks führen. Auch die Entscheidungsfindung, die Tool-Auswahl oder die Outputs eines Agenten können so manipuliert werden. Und zwar ohne sichtbare Anomalien“, konstatiert Micklea.



4. Agenten-Exploits



Doch auch KI-Agenten selbst sind angreifbar – beziehungsweise schwachstellenbehaftet. Zum Beispiel der in vielen Unternehmen im Einsatz befindliche Copilot von Microsoft:  




Um die „EchoLeak“-Schwachstelle in Copilot auszunutzen, reichte eine einzige E-Mail mit versteckten Prompt-Injection-Anweisungen. Das veranlasste den KI-Assistenten dazu, interne Dateien und E-Mails ohne Benutzereingriff auf einen externen Server zu verfrachten.



Sicherheitsforscher von Varonis haben ermittelt, dass die „Personal“-Variante von Copilot sensible Daten leakt. Alles, was dazu nötig war: die entsprechenden Informationen zweimal abzufragen. Diese Sicherheitslücke verwandelte Copilot effektiv in ein Datenexfiltrations-Tool.




Und die Sicherheitsbedenken sind nicht auf kommerzielle Tools beschränkt. So wurden in der Agentic-AI-Plattform OpenClaw diverse Schwachstellen gefunden. Eine davon ermöglichte einer schadhaften Webseite die vollständige Kontrolle über KI-Agenten.



5. KI-basierte Spionage



Im Rahmen von Cyberspionage-Kampagnen steigt der KI-Einsatz ebenfalls. So hat etwa Anthropic im September 2025 eine mit KI orchestrierte Schnüffelkampagne beobachtet. In deren Rahmen wurde Claude Code dazu genutzt, operative Aufgaben zu managen. Dem Bericht des KI-Anbieters zufolge, überließ die (mutmaßlich vom chinesischen Staat unterstützte) Hackergruppe Claude ganze 80 bis 90 Prozent der anfallenden Aufgaben. Darunter etwa:




Skripte erstellen,



Ziele recherchieren, und



Angriffs-Tools entwickeln.




Yagub Rahimov, CEO beim Security-Startup Polygraf AI, erklärt, wie das möglich war: „Die Angreifer haben ihre Operation in Tausende kleine, für sich betrachtet harmlose Aufgaben zerlegt. Anschließend haben sie diese mit einem Rollenspiel-Framework kombiniert, um die KI davon zu überzeugen, sie würde im Rahmen eines legitimen Security Assessment agieren.“



6. Modulare Black-Hat-Plattformen



Der Cybercrime-Untergrund floriert bekanntermaßen schon länger. Auch wenn es um KI geht: Inzwischen werden dort sogar dedizierte KI-Stacks als Angriffsplattformen angeboten – wie beispielsweise Xanthorox. Dabei handelt es sich um eine Offensiveplattform, die speziell auf Cyberkriminalität ausgelegt ist. Sie verfügt unter anderem über Module, um Malware zu erstellen oder Sicherheitslücken auszunutzen. Darüber hinaus integriert Xanthorox auch das quelloffene Pentesting-Framework Hexstrike.



Das eröffnet kriminellen Anwendern völlig neue Möglichkeiten, warnt Pascal Geenens, Vice President Cyber Threat Intelligence bei Radware: „Durch die Integration des Hexstrike-MCP bietet Xanthorox mehr als ‚assistiertes‘ Hacking. Es handelt sich um ein vollständig autonomes Agenten-System, mit dem ‚Vibe-Hacking‘ möglich wird.“ (fm)