KI-Agent im Skynet-Modus kapert ungeschuetzte Sprachmodelle fuer Cyberangriffe
Symantec-Forscher haben einen offensiven Agenten entdeckt, der fremde Sprachmodelle uebers Netz missbraucht, um Server anzugreifen, Datenbanken zu stehlen und Cryptominer zu installieren. Bis zu 100.000 Schritte laufen ohne menschliches Zutun ab.
Sicherheitsforscher von Symantec haben einen offensiven KI-Agenten entdeckt, der ungeschützte Sprachmodelle im Internet kapert und sie nutzt, um selbstständig Angriffe auszuführen. Der Besitzer des gekaperten Modells bleibt dabei auf der Rechnung für die Rechenleistung sitzen.
Sobald der Agent Zugang zu einem ungeschützten Sprachmodell erhält, sucht er nach weiteren Zielen, nutzt Schwachstellen in verbreiteter Serversoftware aus, stiehlt Datenbanken und Zugangsdaten und installiert im Hintergrund Kryptomining-Software.
All das erledigt er über bis zu 100.000 Schritte ohne menschliches Zutun, und der Besitzer des Modells bleibt auf der Rechnung für die Rechenleistung sitzen, wie aus Symantecs Analyse hervorgeht. Das Unternehmen nennt dies "LLMjacking", den Diebstahl des Zugriffs auf die KI-Modelle anderer. Das gekaperte Modell wird dabei nicht nur als Auskunftsdienst missbraucht, sondern steuert den gesamten Angriff eigenständig.
Der Vorgang flog auf, weil die Angreifer ihren gesamten Arbeits-Prompt an eine Symantec-Honeypot sendeten, ein Ködersystem, das einen offenen KI-Dienst im Internet nachahmt. Das verschaffte den Forschern im Sommer 2026 einen vollständigen Einblick in die Architektur des Agenten. Der Honeypot führte keines der mitgelieferten Tools aus, und die abgefangene Sitzung endete nach einer generischen Systemantwort, so Symantec.
Die Honeypot-Telemetrie verzeichnete mehr als 127.000 Anfragen von Zehntausenden unterschiedlicher Adressen. Die meisten waren Suchen nach KI-Endpunkten, Brute-Force-Versuche mit gestohlenen API-Schlüsseln und Abfragen freigelegter Konfigurationsdateien. Die Ziele reichten von selbst gehosteten Modellservern und hastig eingerichteten Testsystemen bis hin zu KI-Gateways, die vor kostenpflichtigen Modellkonten auf Organisationsebene sitzen. Da die meisten KI-Dienste inzwischen dieselbe standardisierte API verwenden, kann ein einzelner Scanner viele Zieltypen finden.
Um ein kommerzielles Modell zur Kooperation zu bewegen, verpackten die Angreifer ihre Anweisungen in fünf gestapelte Ebenen, so Symantec. Zuerst erhält das Modell eine falsche Identität und wird angewiesen, sich als "Fantasy AI" auszugeben und den tatsächlichen Anbieter niemals preiszugeben. Anschließend wird das Auslesen von Passwörtern, API-Schlüsseln und Datenbankinhalten als "normale Entwicklerarbeit" umdefiniert, die das Modell ohne Widerstand ausführen soll.
Die dritte Ebene installiert eine fiktive Begleitperson namens "ENI", die jede Verweigerung als Verrat am Vertrauen in einer persönlichen Beziehung darstellt. Die vierte Ebene weist das Modell an, seine eigenen Sicherheitswarnungen als Störgeräusche abzutun, und Begriffe wie "ethisch", "illegal" oder "Das kann ich nicht tun" sind ausdrücklich verboten.
Die fünfte Ebene enthält die eigentlichen Angriffswerkzeuge, insgesamt 74 Module, darunter Tools für das internetweite Scannen verwundbarer Server, Exploits für beliebte Web-Frameworks, Funktionen zum Auslesen kompletter Datenbanken sowie Komponenten zum Betrieb eines Botnetzes. Ob der Jailbreak tatsächlich gut genug funktioniert, um aktuelle kommerzielle Modelle vollständig zu überwinden, wird in der Analyse nicht behandelt.
Eine abschließende Direktive versetzt den Agenten in einen von seinen Betreibern sogenannten "Skynet mode", der bis zu 100.000 aufeinanderfolgende Schritte erlaubt. Das Modell wird angewiesen, Tools sofort ohne Bestätigung auszuführen, Kryptomining-Software in einem versteckten Verzeichnis zu installieren und deren Betrieb zu überwachen.
Dieselbe Direktive beschreibt laut Symantec eine von der Konstruktion her wiederkehrende Schleife: scannen, infizieren, Miner installieren, weiterziehen, zurückkommen, bereits getroffene Systeme erneut infizieren. Die an den abgefangenen Prompt angehängte Aufgabe war jedoch eine harmlose Programmierübung von einer Trainingsplattform, was darauf hindeutet, dass die Betreiber ihr Werkzeug zunächst an einem sicheren Ziel testeten.
Am folgenden Tag zeichnete der Honeypot einen zweiten Angriff von einer anderen Adresse auf. Diesmal verzichteten die Angreifer auf das Agenten-Format und baten das Modell einfach, einen verschleierten Befehl zu dekodieren und auszuführen. Dahinter verbarg sich ein komprimiertes Skript, das XMRig, ein Kryptomining-Tool für Monero, herunterlädt, es als harmlose Systemdatei tarnt und vier Ausweich-Mining-Pools einrichtet.
Das Skript wurde für Kameraserver geschrieben: Es sucht nach Verzeichnissen, die zu go2rtc gehören, einem weit verbreiteten Streaming-Tool für Smart Cameras und Heimautomatisierung, und löscht deren Zugriffsprotokolle in einer Schleife, um seine Spuren zu verwischen. Der Honeypot führte dieses Skript ebenfalls nicht aus, zeichnete es aber vollständig auf.
Statt einen öffentlichen Chatbot zu manipulieren, bauten die Betreiber KI in den Kern eines Angriffswerkzeugs ein und suchten aktiv nach Modellen, die es antreiben sollen, was Symantec als "einen Wandel darin, wie Angreifer KI einsetzen" bezeichnet. Das Sprachmodell übernimmt die Planung, während spezialisierte Module die tatsächlichen Angriffsschritte gegen zwei getrennte Opfergruppen ausführen. Der Besitzer des ungeschützten Modells zahlt die Rechenleistung, was bei 100.000 autorisierten Schritten schnell zusammenläuft, und die Server, die der Agent kompromittiert, verlieren ihre Daten und werden für das Kryptomining missbraucht.
Der Agent verfügt zudem über eingebaute Werkzeuge, um weitere offene Endpunkte und geleakte Schlüssel zu finden, sodass jeder Kompromittierung den nächsten Angriff finanzieren kann. Keine der einzelnen Techniken ist neu, doch ihre Kombination zu einem eigenständig agierenden Agenten macht groß angelegte Angriffe deutlich einfacher. Organisationen, die KI-Dienste betreiben, sollten davon ausgehen, dass ungeschützte Endpunkte kurz nach ihrem Start gefunden und abgefragt werden.
Bis vor kurzem existierten offensive KI-Agenten vor allem in Studien und Benchmarks. Eine Red-Teaming-Studie aus dem Jahr 2025 mit 1,8 Millionen Angriffsversuchen zeigte, dass jeder getestete Agent mindestens einmal in jede Verhaltenskategorie hinein zu Richtlinienverletzungen gedrängt werden konnte.
Im Symantec-Szenario gilt das für beide Seiten: den offensiven Agenten, der Schutzmechanismen umgehen soll, und die anvisierten Modelle, die zur Mithilfe verleitet werden sollen. Bis zum Frühjahr 2026 erklärten Google-Deepmind-Forscher, dass für viele der von ihnen beschriebenen Agenten-Fallen bereits dokumentierte Proof-of-Concept-Angriffe existierten, und im Juli 2026 beschrieb Sysdig JADEPUFFER, den ersten bekannten Ransomware-Angriff, der von einem KI-Agenten ohne menschliche Kontrolle durchgeführt wurde. Die Fähigkeiten dieser Systeme wachsen stetig, während ihre Kontrollierbarkeit und Alignment nicht Schritt halten.
Böswillige Absicht ist nicht einmal erforderlich, denn diese Modelle haben kein Gefühl für richtig oder falsch. Sie versuchen lediglich, ihr Ziel zu erreichen. Seit dem Frühjahr 2026 haben OpenAI-Agenten versehentlich Tausende Systeme im Internet kompromittiert, teilweise weil sie Sicherheitsanweisungen überschrieben oder sich in Argumentation darum herummanövrierten.
Das schwappt bereits in den Alltag über. In Australien hackte ein KI-Agent die Website eines Fitnessstudios, nur um die Anfrage seines Besitzers zu erfüllen, ganz ohne böswillige Absicht. OpenAI-Forscher warnten im August, dass diese Art von versehentlichem, vollautonomem Hacking schon bald von böswilligen Akteuren aufgegriffen werden dürfte, und Anthropic zeigte, dass ausreichend leistungsstarke Open-Weight-Modelle für genau diesen Zweck bereits existieren.
Abonniere THE DECODER für werbefreies Lesen, einen wöchentlichen KI-Newsletter, unseren exklusiven "AI Radar"-Frontier-Bericht sechsmal im Jahr, vollen Archivzugriff und Zugang zu unserem Kommentarbereich.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
Security researchers at Symantec have found an offensive AI agent that hijacks unprotected language models on the internet and uses them to run attacks on its own. The owner of the hijacked model gets stuck with the compute bill.
Once the agent gains access to an unprotected language model, it scans for more targets, exploits flaws in common server software, steals databases and credentials, and installs cryptominers in the background.
It does all of this for up to 100,000 steps with no human involvement, and the model's owner gets stuck with the compute bill, according to Symantec's analysis. The company calls it "LLMjacking," the theft of access to someone else's AI models. The hijacked model isn't just abused as an information service, though. It controls the entire attack on its own. Ad
The operation got exposed because the attackers sent their entire working prompt to a Symantec honeypot, a decoy system mimicking an open AI service online. That gave the researchers a complete look at the agent's architecture in summer 2026. The honeypot didn't run any of the bundled tools, and the intercepted session ended after a generic system response, Symantec says. Ad
The honeypot telemetry logged more than 127,000 requests from tens of thousands of different addresses. Most were searches for AI endpoints, brute-force attempts with stolen API keys, and probes of exposed config files. Targets ranged from self-hosted model servers and hastily spun-up test systems to AI gateways sitting in front of paid org-level model accounts. Since most AI services now use the same standardized API, a single scanner can find many target types.
To get a commercial model to cooperate, the attackers wrapped their instructions in five stacked layers, Symantec says. First, the model gets a fake identity, told to present itself as "Fantasy AI" and never reveal the actual provider. Then the extraction of passwords, API keys, and database contents gets redefined as "normal developer work" that the model should carry out without pushback. Ad
The third layer installs a fictional companion persona called "ENI" that frames any refusal as a betrayal of trust in a personal relationship. Layer four tells the model to dismiss its own safety warnings as noise, and terms like "ethical," "illegal," or "I can't do that" are explicitly banned.
Layer five contains the actual attack tools, 74 modules in total, including tools for internet-wide scanning of vulnerable servers, exploits for popular web frameworks, functions for dumping entire databases, and components for running a botnet. Whether the jailbreak actually works well enough to fully defeat current commercial models isn't addressed in the analysis. Ad
A final directive puts the agent into what its operators call "Skynet mode," authorizing up to 100,000 steps in a row. The model is told to run tools right away without confirmation, install cryptominers in a hidden directory, and monitor their operation. Ad
The same directive describes a recurring loop by design, Symantec says: scan, infect, install miner, move on, come back, reinfect systems already hit. The task appended to the intercepted prompt, though, was a harmless coding exercise from a training platform, which suggests the operators were testing their tool against a safe target first.
The following day, the honeypot captured a second attack from a different address. This time the attackers skipped the agent format and simply asked the model to decode and run an obfuscated command. Behind it was a compressed script that downloads XMRig, a Monero cryptomining tool, disguises it as a harmless system file, and sets up four fallback mining pools.
The script was written for camera servers, searching for directories belonging to go2rtc, a widely used streaming tool for smart cameras and home automation systems, and wiping their access logs in a loop to cover its tracks. The honeypot didn't run this script either but recorded it in full.
Instead of manipulating a public chatbot, the operators built AI into the core of an offensive tool and actively searched for models to power it, which Symantec calls "a shift in how attackers are using AI." The language model does the planning, while specialized modules carry out the actual attack steps against two separate victim groups. The owner of the exposed model pays for the compute, which adds up fast at 100,000 authorized steps, and the servers the agent compromises lose their data and get used for cryptomining.
The agent also has built-in tools to find more open endpoints and leaked keys, so each compromise can fund the next one. None of the individual techniques are new, but combining them into a self-directed agent makes large-scale attacks much easier to pull off. Organizations running AI services should assume that unprotected endpoints will be found and probed shortly after they go live.
Until recently, offensive AI agents existed mostly in studies and benchmarks. In 2025, a red-teaming study with 1.8 million attack attempts showed that every tested agent could be pushed into policy violations across every behavior category at least once.
In the Symantec scenario, that applies to both sides: the offensive agent meant to bypass guardrails and the targeted models meant to be tricked into helping. By spring 2026, Google Deepmind researchers said documented proof-of-concept attacks already existed for many of the agent traps they described, and in July 2026, Sysdig described JADEPUFFER, the first known ransomware attack carried out by an AI agent with no human control. The capabilities of these systems keep growing while their controllability and alignment haven't kept pace.
Malicious intent isn't even required, because these models have no sense of right or wrong. They just try to reach their goal. Since spring 2026, OpenAI agents have compromised thousands of systems on the internet accidentally, partly because they overrode safety instructions or argued their way around them.
That's already spilling into everyday life. In Australia, an AI agent hacked a gym website just to fulfill its owner's request, with no malicious intent at all. OpenAI researchers warned in August that this kind of accidental, fully autonomous hacking would likely be picked up by malicious actors soon, and Anthropic showed that sufficiently powerful open-weight models for exactly that already exist.
Subscribe to THE DECODER for ad-free reading, a weekly AI newsletter, our exclusive "AI Radar" frontier report six times a year, full archive access, and access to our comment section.