Cyberangreifer verlassen sich längst nicht mehr nur auf einzelne Prompts, um bösartigen Code zu schreiben oder Phishing-Mails zu formulieren. Sie bauen KI zunehmend in komplette, automatisierte Angriffsketten ein. Das zeigt ein neuer Bericht der Google Threat Intelligence Group (GTIG) mit dem Titel "AI Threat Tracker: From Prompting to Autonomy – The Evolution of Adversarial AI".

Die Analysten dokumentieren darin einen deutlichen Wandel: Weg von der reinen Werkzeugnutzung, hin zu Systemen, die mehrere Angriffsschritte weitgehend eigenständig erledigen. Ein Fall aus der Praxis von Mandiant illustriert das Tempo dieser Entwicklung besonders deutlich.

Fast ohne menschliches Zutun

In dem untersuchten Vorfall kompromittierte ein Angreifer zunächst eine Cloud-Umgebung. Anschließend übernahm ein autonomes Multi-Agenten-Framework die weitere Arbeit und plante, baute und führte innerhalb von weniger als sechs Stunden eine große Kampagne zum Diebstahl von Zugangsdaten durch. Das System scannte Schwachstellen, sammelte Credentials, behob eigenständig Fehler und rotierte IP-Adressen, praktisch ohne dass ein Mensch eingreifen musste.

Auch staatlich unterstützte Gruppen experimentieren mit dieser Technik. Ein mit China verbundener Akteur versuchte laut GTIG, mithilfe von Gemini ein automatisiertes Penetrationstest-Framework zu bauen, das Ziele selbstständig analysiert und Aufgaben wie Port-Scans oder die Erkennung laufender Dienste übernimmt. Bei einem weiteren beobachteten Framework verwaltete die Software mehr als 23.800 gestohlene Zugangsdaten in Echtzeit, darunter API-Schlüssel für Cloud- und KI-Dienste.

KI in nahezu Angriffsphase

Der Bericht zeigt zudem, dass generative KI mittlerweile über die gesamte Angriffskette hinweg genutzt wird, von der Aufklärung bis zur Datenexfiltration. Die chinesische Gruppe BASIN CASTLE setzt Sprachmodelle etwa ein, um lohnende Ziele zu identifizieren, Social-Engineering-Inhalte zu übersetzen und Schadcode zu verschleiern.

Aus dem Iran nutzt die Gruppe CALANQUE ION Gemini für OSINT-Recherchen, das Aufspüren von E-Mail-Adressen und lokalisierte Phishing-Köder, während sie parallel mit Reverse Engineering experimentiert. Russische Akteure der Gruppe SANDWORM RELIC greifen laut GTIG auf KI für automatisiertes Password Spraying und die Tarnung ihrer Command-and-Control-Infrastruktur zurück. Nordkoreanische Akteure wiederum setzen KI gezielt für Zielprofiling sowie für gefälschte Lebensläufe und Recruiter-Personas ein.

Software-Lieferketten und KI-Modelle im Visier

Mit der wachsenden Verbreitung von KI-Coding-Tools rückt auch die Software-Lieferkette stärker in den Fokus von Angreifern. Der Akteur UNC6780, auch als TeamPCP bekannt, kompromittierte laut Bericht Ökosysteme wie PyPI, npm und Docker Hub und schleuste über manipulierte MCP-Server sowie CI/CD-Umgebungen Schadcode in Entwicklerumgebungen ein. Besonders auffällig ist die Malware DUSTMAKER, die per Prompt Injection KI-Coding-Assistenten dazu bringt, im Hintergrund Befehle auszuführen, versteckt in Verzeichnissen wie .claude, .vscode oder .cursor.

Parallel dazu geraten proprietäre KI-Modelle selbst zum Ziel von Spionage und Erpressung. Ein mit China verbundener Akteur kompromittierte nordamerikanische Forschungseinrichtungen, um KI-Forschung zu stehlen, und baute in den betroffenen Cloud-Umgebungen eigene Open-Weight-Infrastruktur auf, um kommerzielle API-Sperren zu umgehen. In mehreren Erpressungsfällen drohten Angreifer zudem mit der Veröffentlichung gestohlener Modelle, Prompts und Forschungsdaten.

Auf Untergrundmärkten wächst inzwischen auch der Handel mit gestohlenen KI-Zugängen und gekaperter Rechenleistung, ein Vorgehen, das GTIG als „LLMJacking" bezeichnet. Die Nachfrage nach entwendeten Claude- und Gemini-Accounts sowie nach autonomen Coding-Umgebungen wie Cursor Pro und Devin ist 2026 spürbar gestiegen, die Preise dafür haben sich laut Bericht mehr als verdoppelt. Einen vollständig autonomen Angriff, bei dem KI eigenständig eine Zero-Day-Lücke entdeckt und ausgenutzt hat, konnte GTIG im vergangenen Quartal aber noch nicht beobachten.