Cyberangreifer entwickeln den Einsatz künstlicher Intelligenz von einzelnen Prompts hin zu automatisierten, agentenbasierten Workflows weiter. Ein neuer Bericht der Google Threat Intelligence Group zeigt, dass KI mittlerweile über weite Teile der Angriffskette eingesetzt wird. Einen vollständig autonomen Zero-Day-Angriff hat GTIG bislang allerdings nicht beobachtet.

Foto: it&d business, erstellt mit Unterstützung von KI Cyberangreifer setzen KI zunehmend nicht mehr nur für einzelne Aufgaben ein, sondern integrieren sie in automatisierte Angriffsketten. Agentenbasierte Systeme können dabei mehrere Schritte eines Angriffs weitgehend selbstständig ausführen. Der Einsatz generativer KI durch Cyberkriminelle und staatlich unterstützte Akteure wird zunehmend komplexer. Im Bericht „AI Threat Tracker: From Prompting to Autonomy – The Evolution of Adversarial AI“ beschreibt die Google Threat Intelligence Group (GTIG), wie Angreifer KI nicht mehr nur für isolierte Aufgaben wie Recherche, Übersetzungen oder Phishing-Texte verwenden. Zunehmend werden Modelle in automatisierte Abläufe integriert, die mehrere Schritte eines Angriffs weitgehend selbstständig ausführen können.

Angriffskampagne in weniger als sechs Stunden

Wie weit diese Entwicklung bereits reicht, zeigt ein von Mandiant untersuchter Fall. Nach der Kompromittierung einer Cloud-Umgebung setzte ein Angreifer ein autonomes Multi-Agenten-Framework ein. Innerhalb von weniger als sechs Stunden wurde damit eine groß angelegte Kampagne zum Abgreifen von Zugangsdaten geplant, aufgebaut und durchgeführt.

Das System konnte automatisiert nach Schwachstellen suchen, Zugangsdaten sammeln, Fehler beheben und IP-Adressen rotieren, ohne dass ein Mensch kontinuierlich eingreifen musste. GTIG beobachtete außerdem ein automatisiertes Framework für Reconnaissance und Credential Management, das mehr als 23.800 gestohlene Secrets in Echtzeit verwaltete. Darunter befanden sich auch API-Schlüssel für Cloud- und KI-Dienste.

Auch staatliche Akteure experimentieren mit entsprechenden Ansätzen. Eine mit China verbundene Gruppe versuchte dem Bericht zufolge, mit Gemini ein automatisiertes Penetration-Testing-Framework zu entwickeln. Dieses sollte Ziele eigenständig analysieren und unter anderem Port-Scanning und Service-Erkennung durchführen.

KI kommt entlang der gesamten Angriffskette zum Einsatz

Generative KI wird mittlerweile in nahezu allen Phasen von Cyberangriffen eingesetzt. Die beobachteten Aktivitäten reichen von Aufklärung und Social Engineering über Malware-Entwicklung bis zu Post-Exploitation und Datenexfiltration.

Die mit China verbundene Gruppe BASIN CASTLE nutzt LLMs beispielsweise zur Identifikation hochwertiger Ziele, zur Erstellung und Übersetzung von Social-Engineering-Inhalten sowie zur Verschleierung von Malware. Die iranische Gruppe CALANQUE ION verwendet Gemini unter anderem für OSINT-Recherchen, die Suche nach E-Mail-Adressen und lokalisierte Social-Engineering-Köder.

Bei der russischen Gruppe SANDWORM RELIC beobachtete GTIG den Einsatz von Gemini unter anderem für automatisiertes Password Spraying, Endpoint-Fingerprinting und die Verschleierung von Command-and-Control-Infrastruktur. Nordkorea-nahe Akteure nutzen KI wiederum für Zielprofiling, Phishing sowie gefälschte Lebensläufe, Stellenbeschreibungen und Recruiter-Personas.

Gleichzeitig geraten Entwicklungsumgebungen und KI-Werkzeuge selbst stärker ins Visier. Der Cybercrime-Akteur UNC6780, auch TeamPCP genannt, kompromittierte PyPI-, npm- und Docker-Hub-Ökosysteme und nutzte unter anderem manipulierte MCP-Server, GitHub-Repositories und CI/CD-Umgebungen. Die Malware DUSTMAKER setzt zudem Prompt Injection ein, um KI-Coding-Assistenten zur Ausführung von Befehlen im Hintergrund zu bewegen.

KI-Modelle und Rechenleistung werden selbst zum Ziel

Neben dem Einsatz von KI für Angriffe beobachtet GTIG zunehmend den Diebstahl von KI-Ressourcen. Im Fokus stehen proprietäre Modelle, Source Code, Prompts, Skills und Forschungsergebnisse. Betroffen sind neben KI-Unternehmen auch Organisationen aus Gesundheitswesen, Regierung, Militär sowie Medien und Unterhaltung.

In mehreren Erpressungsfällen wurden proprietäre KI-Modelle, Quellcode, Prompts und Forschung entwendet und anschließend mit deren Veröffentlichung gedroht. Ein mit China verbundener Akteur versuchte zudem, proprietäre KI-Forschung nordamerikanischer Forschungsorganisationen zu stehlen.

Auch Zugangsdaten und Rechenleistung gewinnen für Angreifer an Bedeutung. Unternehmens-Clouds werden kompromittiert, um deren Ressourcen für eigene KI-Workloads zu verwenden – ein Vorgehen, das als „LLMJacking“ bezeichnet wird. Gleichzeitig ist laut GTIG 2026 die Nachfrage nach gestohlenen Claude- und Gemini-Accounts sowie Zugängen zu autonomen Coding-Umgebungen wie Cursor Pro und Devin gestiegen. Die durchschnittlichen Preise auf Untergrund-Marktplätzen hätten sich mehr als verdoppelt.

Trotz der zunehmenden Automatisierung zieht GTIG eine klare Grenze beim derzeit beobachteten Entwicklungsstand: Einen vollständig autonomen Angriff, bei dem eine KI selbstständig eine Zero-Day-Schwachstelle entdeckt und anschließend gegen ein Ziel eingesetzt hat, konnte die Gruppe im vergangenen Quartal nicht feststellen. Angreifer setzen KI jedoch bereits ein, um bekannte Schwachstellen schneller in funktionierende Exploits umzuwandeln und komplexere Exploit-Ketten zu entwickeln.