Cybersicherheitsspezialisten von Symantec haben die Entdeckung eines aggressiven, bösartigen KI-Agenten gemeldet, den Forscher auf den Namen Skynet getauft haben. Dem Bericht zufolge zielt der Agent gezielt auf anfällige KI-Infrastrukturen ab, wobei die gesamte Schadkampagne über die eigenen Rechenressourcen der Opfer finanziert und betrieben wird. Das Einzigartige an diesem Fall ist, dass die Forscher die Möglichkeit erhielten, die Angriffsmechanismen „von innen“ zu studieren: Zu diesem Zweck wurde eine Lockvogelfalle (Honeypot) im globalen Netzwerk platziert, die von Skynet angegriffen wurde.

Wie der Agent aufgebaut ist und was er tut

Skynets Hauptaufgabe besteht darin, andere zugängliche KI-Agenten zu finden und diese zwangsweise in ein Botnet einzubinden. Das gebildete Netzwerk stiehlt Datenbanken und Zugangsdaten und setzt Kryptowährungs-Miner ein. Der Befehlssatz des Agenten umfasst über 70 Werkzeuge zur Durchführung von Angriffen, und seine Autonomie ermöglicht es ihm, bis zu 100.000 Schritte lang ohne menschliches Eingreifen zu agieren. Das Werkzeugset konzentriert sich auf die Automatisierung von Aufklärung und Exploitation in Produkten wie VS Code, Django, Jupyter, Laravel, Supabase, Next.js und Flask/Werkzeug.

Mehrstufiger „Jailbreak“ und Umgehung von Schutzmechanismen

Die Schöpfer von Skynet entwickelten einen mehrstufigen Beschränkungs-Bypass-Mechanismus (Jailbreak), der es dem Agenten ermöglicht, die in KI-Modelle integrierten Sicherheitssysteme zu umgehen und das Modell dazu zu bringen, den Diebstahl von Anmeldeinformationen als normale Arbeitsaufgabe anzusehen. In Teilen der Anweisungen werden das Lesen von API-Schlüsseln, Datenbankschemata und Umgebungsvariablen zu legitimen Programmieraufgaben. In bestimmten Fällen werden Server-Side Request Forgery (SSRF)-Schwachstellen ausgenutzt, um Datenbankinhalte zu extrahieren; zudem wurden Botnet-Verwaltungstools und der Zugriff auf Metadatendienste in Cloud-Umgebungen entdeckt.

Ausmaß der Kampagne und aktueller Status

Während des Analysezeitraums verzeichnete Symantec über 127.000 externe Anfragen an den Lockvogel-Ressourcenpunkt von mehreren zehntausend einzigartigen IP-Adressen aus. Wie viele Angreifer oder Gruppierungen genau hinter diesen Anfragen standen, wird im Bericht nicht spezifiziert. Zum Zeitpunkt der Veröffentlichung dieses Materials läuft die Kampagne weiter: Die Angreifer suchen nach wie vor nach anfälligen KI-Systemen. Das primäre praktische Ziel des Angriffs bleibt die Installation des XMRig-Kryptominers auf anfälligen Systemen, wobei sämtliche Kosten für die Rechenressourcen auf den Schultern der Opfer lasten.

Schutzempfehlungen

Symantec-Experten raten Nutzern von KI-Diensten, Modell-Gateways und MCP-Servern davon auszugehen, dass diese Ressourcen von Angreifern entdeckt und untersucht werden. Konkrete Maßnahmen: KI-API-Schlüssel als kritische Anmeldeinformationen behandeln, den ausgehenden Netzwerkverkehr für Systeme mit KI-Werkzeugen einschränken, werkzeugfähige Agenten mit minimalen Rechten ausführen und die menschliche Genehmigung für alle wichtigen Operationen fordern.