Cyberkriminelle haben den Fokus ihrer Angriffe verlagert: Sie müssen keine Passwörter mehr erraten oder nach Schwachstellen in den Sprachmodellen selbst suchen. Laut Sicherheitsforschern von SpyCloud wurden seit August 2026 über 130.000 eindeutige Infektionen mit der Schadsoftware WardenStealer verzeichnet, und im Oktober 2026 wurde ihr Pendant Aoki entdeckt. Beide Programme zielen auf Entwickler und aktive Nutzer künstlicher Intelligenz ab und stehlen fertige Autorisierungsdaten — Token, Cookies und Konfigurationsdateien — aus Standardordnern auf dem infizierten Computer.
Wer zuerst ins Visier gerät
Zu den Hauptzielen der Schadsoftware gehören Dienste, die eng mit der Arbeit von Programmierern und KI-Entwicklern verbunden sind: Claude Code, OpenAI Codex, Cursor, GitHub Copilot sowie die Desktop-Anwendungen von Claude und ChatGPT. Genau diese Werkzeuge speichern wertvolle Authentifizierungsmaterialien auf lokalen Maschinen — gültige Zugriffstoken, die die Anmeldung bei Konten ohne erneute Passworteingabe ermöglichen.
Zwei Programme, zwei Vorgehensweisen
WardenStealer ist in Rust für das Betriebssystem Windows geschrieben und wird über ein Abonnementmodell vertrieben. Neben Browserdaten, Krypto-Wallets und Messengern sammelt er Claude Code-Token, Codex-Authentifizierungsmaterialien und Claude Desktop-Konfigurationen. Aoki wurde im Oktober 2026 entdeckt, in Go entwickelt und zeichnet sich durch einen technischen Ansatz aus: Er sortiert gestohlene Materialien in einen speziellen Ordner namens AISessions und sammelt Cookies und Einstellungen für ChatGPT, Claude, Codex, Copilot und Cursor an. Beide Programme erfordern keine Suche nach neuen Schwachstellen in KI-Modellen — sie kopieren einfach wertvolle Autorisierungsdateien aus den erwarteten Verzeichnissen.
Das Hauptrisiko: Sitzungsdiebstahl
Die kritische Gefahr besteht darin, dass ein gestohlener, gültiger Token es einem Angreifer ermöglicht, den autorisierten Zugriff ohne Passworteingabe und ohne erneute Zwei-Faktor-Authentifizierung (MFA) wiederherzustellen. Tatsächlich bemerkt das Opfer die Kompromittierung möglicherweise nicht: Die Sitzung läuft weiter, und der Kriminelle nutzt sie parallel. Zusammen mit Programmeinstellungen und Abfrageverlauf erhalten Hacker Zugriff auf den Quellcode von Projekten, interne Systeme und vertrauliche Unternehmensinformationen.
LLMjacking: Diebstahl, der Geld einbringt
Die abgefangenen Daten verkaufen Hacker auf schattenhaften Online-Marktplätzen: Im Darknet gibt es bereits Angebote, Abonnements für KI-Dienste und Arbeitsguthaben vergünstigt zu erwerben. Dieses Schema wird als LLMjacking bezeichnet — es ermöglicht Kriminellen, kostenpflichtige KI-Werkzeuge auf Kosten anderer Personen und Unternehmen zu nutzen. Nach Schätzungen von Sysdig-Analysten können Angreifer im Worst-Case-Szenario durch die Nutzung gestohlener Claude-Ressourcen täglich einen Schaden von über 46.000 US-Dollar verursachen.
Wie man sich schützt
Cybersicherheitsspezialisten empfehlen Entwicklern, ihre Geräte auf Bedrohungen zu überprüfen, aktive Sitzungen in KI-Diensten zu beenden und die Zugriffsschlüssel regelmäßig zu aktualisieren. Diese Maßnahmen verringern die Wahrscheinlichkeit, dass ein gestohlener Token gültig und für den Sitzungsdiebstahl nutzbar bleibt.
