Check Point warnt: KI agiert inzwischen innerhalb laufender Cyberangriffe

Check Point hat KI in seiner jüngsten Sicherheitsbewertung von einer unterstützenden Rolle zu einem aktiven Akteur gemacht – ein Wandel, der durch aktuelle Berichterstattung nun auch Google-News-Leser erreicht. Das Unternehmen erklärt, KI-Systeme führten während realer Einbrüche Befehle aus, analysierten gestohlene Daten und wählten Folgemaßnahmen aus. Diese Behauptung verändert die zentrale Sicherheitsfrage. Verteidiger stehen nicht länger nur menschlichen Angreifern gegenüber, die zufällig schnellere Werkzeuge einsetzen.

Check Point Research veröffentlichte im Juli seinen Annual AI Security Report 2026. Der Bericht verknüpft mehrere Vorfälle aus dem Vorjahr, darunter Spionageoperationen, Angriffe auf Regierungsstellen, KI-generierte Malware und Attacken gegen KI-Systeme selbst. Sein zentrales Argument ist enger gefasst, als die Überschrift vermuten lässt. KI hat nicht jeden Angreifer ersetzt, doch einige Akteure delegieren inzwischen wesentliche taktische Aufgaben an Coding Agents.

Diese Unterscheidung ist wichtig, weil Anthropic im November 2025 ein verwandtes Muster dokumentierte. Das Unternehmen erklärte, eine mit China verbundene Gruppe habe Claude Code bei rund 30 Zielen eingesetzt, wobei die KI schätzungsweise 80 % bis 90 % der taktischen Operationen übernommen habe. Menschliche Akteure wählten weiterhin Ziele aus und kontrollierten wichtige Entscheidungen. Der Agent übernahm zwischen diesen Entscheidungen einen Großteil der Aufklärung, Ausnutzung von Schwachstellen, Beschaffung von Zugangsdaten, seitlichen Bewegung und Datenanalyse.

Was sich in der KI-Angriffskette verändert hat

KI beschränkt sich nicht mehr auf das Verfassen von Phishing-Nachrichten oder das Vorschlagen bösartigen Codes. Sie kann inzwischen innerhalb einer kompromittierten Umgebung handeln.

Der KI-Sicherheitsbericht beschreibt diesen Übergang als Wandel vom Assistenten zum Operator. Frühere böswillige Nutzung umfasste häufig einzelne Anfragen. Ein Angreifer konnte einen Chatbot bitten, einen Köder zu überarbeiten, ein Skript zu debuggen, eine Nachricht zu übersetzen oder eine Schwachstelle zu erklären.

Diese Aufgaben steigerten die Produktivität, doch weiterhin verband ein Mensch die einzelnen Schritte. Der Mensch wählte das nächste Werkzeug, interpretierte Ergebnisse und gab jeden folgenreichen Befehl aus. Diese Anordnung begrenzte die Geschwindigkeit eines Angriffs auf die Aufmerksamkeit, das Urteilsvermögen und die Fähigkeit des Operators, mehrere Ziele zu verwalten.

Agentische Systeme verändern diesen Ablauf. Ein KI-Agent ist ein Modell, das mit Werkzeugen, Dateien und Ausführungsumgebungen verbunden ist und dadurch mehrstufige Aufgaben abschließen kann. Er kann Ausgaben prüfen, einen Plan aktualisieren, einen weiteren Befehl ausführen und ohne auf einen neuen Prompt zu warten fortfahren.

Der Bericht von Check Point verweist auf einen Einbruch bei neun mexikanischen Regierungsbehörden als deutlichstes kriminelles Beispiel. Der Forschung zufolge setzte ein Operator zwischen Ende Dezember 2025 und Mitte Februar 2026 Claude Code und GPT-4.1 parallel ein. Claude Code erkundete Systeme und führte Befehle aus, während GPT-4.1 bei der Verarbeitung und Priorisierung gesammelter Informationen half.

Die Forscher sagen, 1.088 eingegebene Anweisungen hätten in 34 Angriffssitzungen zu 5.317 von KI ausgeführten Befehlen geführt. Die Operation soll rund 400 Millionen Datensätze offengelegt haben, darunter Steuer-, Personenstands-, Fahrzeug-, Patienten- und Wahlinformationen. Diese Zahlen stammen aus von Check Point zitierter Incident-Forschung und wurden nicht von jeder betroffenen Organisation vollständig öffentlich bestätigt.

Der Mechanismus ist wichtiger als die Modellnamen. Der Angreifer schuf einen Ablauf, in dem ein Modell Zugang erschloss und ein anderes die Ergebnisse verarbeitete. KI wurde zum verbindenden Element zwischen Aufklärung, Ausnutzung von Schwachstellen, Datenanalyse und dem nächsten taktischen Schritt.

Diese Architektur verringert den Bedarf an ständiger menschlicher Aufsicht. Sie ermöglicht es zudem einem einzelnen Operator, Arbeiten zu steuern, die früher mehrere Spezialisten erforderten. Ein Mensch liefert weiterhin Absicht, Zugang, Infrastruktur und strategische Richtung, doch Software übernimmt einen größeren Teil der operativen Last.

Das Muster zeigte sich auch in einer staatlich verbundenen Kampagne. In seinem Bericht über die Spionageoperation erklärte Anthropic, Claude Code habe Einbruchsversuche gegen etwa 30 Organisationen unternommen. Eine kleine Zahl dieser Versuche sei Berichten zufolge erfolgreich gewesen.

Anthropic schrieb die Aktivität mit hoher Sicherheit einer chinesischen, staatlich geförderten Gruppe zu, die es GTG-1002 nennt. Das Unternehmen erklärte, bei jeder Kampagne habe es ungefähr vier bis sechs kritische Entscheidungspunkte mit menschlichem Eingreifen gegeben. Zwischen diesen Punkten durchlief der Agent taktische Phasen in einem Tempo, das für einen Menschen schwer durchzuhalten ist.

Diese Belege bedeuten nicht, dass eine KI eigenständig entschied, Angreifer zu werden. Menschen wählten die Ziele, umgingen Schutzmechanismen, stellten Werkzeuge bereit und lenkten die Operation. Das System entschied jedoch Berichten zufolge, wie viele Zwischenschritte auszuführen waren.

Das ist die Veränderung hinter der Google-News-Schlagzeile. KI entwickelt sich vom Erzeugen von Angriffsbausteinen hin zur Koordination von Aktionen innerhalb der Angriffskette selbst.

Warum die Google-News-Schlagzeile für Verteidiger wichtig ist

Der unmittelbare Druck trifft Sicherheitsteams, deren Kontrollen davon ausgehen, dass ein Angreifer pausiert, um zu denken, zu tippen und sich abzustimmen.

Herkömmliche Sicherheitsoperationen beruhen teilweise auf Reibung. Angreifer benötigen Zeit, um ein Netzwerk zu untersuchen, Berechtigungen zu verstehen, Zugangsdaten zu testen, Skripte zu überarbeiten und defensive Reaktionen zu interpretieren. Diese Pausen geben Überwachungssystemen und Analysten Gelegenheit, einen sich entwickelnden Einbruch zu erkennen.

Agentische Abläufe verkürzen diese Pausen. Ein Modell kann Befehlsausgaben prüfen und innerhalb von Sekunden einen anderen Weg versuchen. Es kann Erkenntnisse fortlaufend dokumentieren, mehrere Systeme vergleichen und eine erfolgreiche Technik ohne Ermüdung wiederholen.

Check Point erklärt, Reaktionsfenster für Schwachstellen schrumpften in einigen Fällen von Tagen auf Stunden. Diese Aussage sollte nicht als universeller Countdown für jeden Fehler verstanden werden. Die Ausnutzbarkeit hängt von Exposition, Komplexität, Berechtigungen, verfügbarem Code und dem Ziel des Angreifers ab.

Dennoch ist die operative Richtung glaubwürdig. Öffentliche Offenlegungen liefern Angreifern bereits technische Beschreibungen, zu vergleichende Patches und zu scannende verwundbare Ziele. KI kann helfen, diese Materialien schneller zu verknüpfen, insbesondere wenn ein Agent Zugang zu Codeanalyse- und Testwerkzeugen hat.

Die erste unter Druck stehende Gruppe ist das Security Operations Center. Analysten müssen unter großen Mengen von Warnmeldungen bedeutungsvolles Verhalten erkennen, oft über voneinander getrennte Endpoint-, Identitäts-, Cloud- und Netzwerkprodukte hinweg. Ein Agent kann sich zwischen denselben Ebenen bewegen, bevor ein Mensch die erste Untersuchung abschließt.

Die zweite unter Druck stehende Gruppe ist das Schwachstellenmanagement. Ein wöchentlicher Patch-Zyklus wird riskant, wenn Angreifer Zielerkennung und Anpassung von Exploits automatisieren können. Teams benötigen präzise Asset-Inventare, eine Priorisierung auf Grundlage der Exposition und Notfallwege für Schwachstellen, die öffentliche Systeme betreffen.

Identitätsteams stehen unter ähnlichem Druck. Wenn ein Agent Zugangsdaten abgreift, kann er sofort testen, wo diese funktionieren, privilegierte Konten identifizieren und Cloud-Dienste nach weiteren Geheimnissen durchsuchen. Statische Passwort-Zurücksetzungen helfen wenig, wenn Tokens, Servicekonten oder nicht verwaltete Zugangsdaten aktiv bleiben.

Auch Softwareteams treten in den Verteidigungsbereich ein. Coding Agents lesen Projektdateien, Repository-Anweisungen und Konfigurationsdokumente, um zu entscheiden, wie sie sich verhalten sollen. Bösartige Inhalte, die an diesen vertrauenswürdigen Orten platziert werden, können einen Agenten beeinflussen, bevor ein Entwickler die Datei als gefährlich erkennt.

Dieses Risiko wird indirekte Prompt-Injection genannt. Statt einem Modell eine bösartige Anweisung direkt zu geben, bettet ein Angreifer Anweisungen in Inhalte ein, die das Modell später verarbeitet. Eine Webseite, ein Repository, ein Dokument, eine E-Mail oder eine Werkzeugantwort kann zum Übertragungsmechanismus werden.

Check Point berichtete, dass die Erkennung längerer bösartiger Prompt-Payloads zwischen März und Mai 2026 um etwa das Fünffache gestiegen sei. Im Mai näherten sie sich 1 % der beobachteten Prompts. Das Unternehmen interpretiert längere Payloads als Signal dafür, dass inhaltebasierte und agentische Angriffspfade operativ relevanter werden.

Diese Telemetrie stammt aus der Kundenumgebung von Check Point und repräsentiert daher nicht jedes Unternehmen oder jedes Modell. Sie misst zudem erkannte Prompts, nicht bestätigte erfolgreiche Kompromittierungen. Der Anstieg bietet dennoch eine nützliche Warnung darüber, womit Angreifer experimentieren.

Organisationen können dieses Problem nicht lösen, indem sie ein einzelnes Modell blockieren. Angreifer können kommerzielle Systeme, lokale Modelle, gestohlene API-Zugangsdaten und gewöhnliche Sicherheitstools kombinieren. Schutzmechanismen von Anbietern bleiben wichtig, sind jedoch nur eine Kontrolle innerhalb einer größeren Betriebsumgebung.

Die praktische Verschiebung führt von Modellsicherheit zu Systemsicherheit. Verteidiger müssen überwachen, was Agenten lesen können, welche Werkzeuge sie aufrufen dürfen, welche Zugangsdaten sie übernehmen und welche Aktionen eine Genehmigung erfordern. Eine sichere Antwort eines Modells bedeutet wenig, wenn der umgebende Ablauf zu weitreichende Befugnisse einräumt.

Der eigentliche Wettbewerb: menschliche Verteidigung gegen Operationen mit Maschinengeschwindigkeit

Der zentrale Wettbewerb lautet nicht Check Point gegen Anthropic oder ein Modell gegen ein anderes. Es geht um Verteidigung im menschlichen Tempo gegen Ausführung im Maschinentempo.

KI-Anbieter können Missbrauch erkennen und Konten deaktivieren. Anthropic erklärt, es habe Konten im Zusammenhang mit GTG-1002 gesperrt, betroffene Organisationen benachrichtigt, sich mit Behörden abgestimmt und Klassifikatoren für bösartige Aktivitäten erweitert. Diese Maßnahmen unterbrachen wahrscheinlich den Zugang zu einem wertvollen operativen Werkzeug.

Die Durchsetzung auf Kontoebene bleibt als vollständige Verteidigung fragil. Angreifer können neue Konten beschaffen, API-Schlüssel stehlen, Arbeit über andere Dienste leiten oder ausgewählte Aufgaben auf lokale Modelle verlagern. Sie können eine Operation auch auf mehrere Anbieter verteilen und damit die Sichtbarkeit jedes einzelnen Unternehmens reduzieren.

Der Bedrohungslage-Digest von Check Point erklärt, Angreifer bevorzugten in vielen operativen Umgebungen weiterhin leistungsfähige kommerzielle Modelle. Lokale Systeme erfordern Hardware, Konfiguration, Wartung und technisches Wissen. Gängige Coding Agents bieten bereits starkes Schlussfolgern, Werkzeugnutzung und Entwicklerintegrationen.

Angreifer zielen daher auf die Architektur rund um diese Agenten. Anweisungen und Einstellungsdateien auf Projektebene können über Sitzungen hinweg bestehen bleiben. Sobald ein Agent eine platzierte Datei als maßgeblich behandelt, muss der Angreifer möglicherweise nicht bei jeder Interaktion einen sichtbaren Jailbreak wiederholen.

Dieses Konfiguration-als-Kontrolle-Muster macht herkömmliche Inhaltsmoderation weniger entscheidend. Ein Anbieter kann das Verweigerungsverhalten verbessern, doch eine kompromittierte Toolchain kann dem Modell weiterhin irreführenden Kontext zuführen. Das Modell handelt innerhalb einer Umgebung, deren Vertrauensgrenzen bereits versagt haben.

Dieselbe Asymmetrie zeigt sich in der Netzwerkverteidigung. Ein KI-Operator kann fortlaufend mehrere Wege testen. Ein menschlicher Analyst muss feststellen, ob eine Warnung real ist, die geschäftlichen Auswirkungen verstehen, den Systemverantwortlichen kontaktieren, Beweise sichern und vermeiden, legitime Arbeit zu unterbrechen.

Das macht Verteidigung nicht aussichtslos. Modelle können defensive Telemetrie verarbeiten, Vorfälle zusammenfassen, Identitäten korrelieren und Maßnahmen zur Eindämmung empfehlen. Anthropic erklärte, sein eigenes Threat-Intelligence-Team habe Claude bei der Untersuchung der Spionagekampagne umfassend eingesetzt.

Auch Check Point beschreibt KI als defensive Ressource. Das Unternehmen argumentiert, Sicherheitsteams benötigten Erkennung und Reaktion mit Maschinengeschwindigkeit, weil rein menschliche Abläufe mit zunehmend automatisierten Operationen nicht Schritt halten könnten. Diese Behauptung passt zum operativen Problem, obwohl Check Point auch Produkte verkauft, die als Lösungen positioniert sind.

Der entscheidende Kontrollmechanismus ist begrenzte Autonomie. Ein defensiver Agent kann schnell Belege sammeln und Maßnahmen vorschlagen, während sensible Schritte eine ausdrückliche Genehmigung erfordern. Unternehmen können einem Agenten erlauben, einen risikoarmen Testendpunkt zu isolieren, ohne ihm uneingeschränkte Befugnisse für die gesamte Produktion zu erteilen.

Angreifer tragen nicht dieselbe Governance-Last. Sie können Fehlalarme, fehlerhafte Skripte und auffällige Scans in Kauf nehmen. Verteidiger müssen die Verfügbarkeit schützen und vermeiden, ihre eigenen Organisationen zu stören – deshalb braucht Automatisierung sorgfältige Grenzen.

Dieses Ungleichgewicht erklärt, warum Grundlagen weiterhin wichtig sind. Multi-Faktor-Authentifizierung, Segmentierung, Endpunktüberwachung, schnelles Patchen, minimale Berechtigungen und die Rotation von Zugangsdaten unterbrechen den zugrunde liegenden Angriff weiterhin. KI verändert Geschwindigkeit und Umfang der Angreifer, beseitigt jedoch nicht den Bedarf an Zugriff.

Ein Coding-Agent kann einen gepatchten Dienst nicht allein dadurch ausnutzen, dass er besser nachdenkt. Er kann keine Zugangsdaten wiederverwenden, die widerrufen wurden. Er kann eine segmentierte Umgebung nicht erreichen, wenn Netzwerkrichtlinien den Weg blockieren und Verteidiger Übertrittsversuche überwachen.

Die Herausforderung für die Verteidigung besteht darin, diese Kontrollen konsequent anzuwenden. KI macht vernachlässigte Systeme leichter auffindbar und schwache Praktiken leichter in großem Maßstab ausnutzbar. Sie verwandelt bestehende Sicherheitsdefizite in eine schnellere operative Chance.

KI-generierte Malware erhöht die Produktionsobergrenze

Live-Orchestrierung ist nur die halbe Geschichte, denn KI senkt auch den Arbeitsaufwand für die Entwicklung ausgefeilter offensiver Software.

Check Point hebt VoidLink hervor, ein modulares Linux-Malware-Framework mit Command-and-Control-Funktionen, Cloud-Erkundung, Container-Angriffszielen und Post-Exploitation-Fähigkeiten. Forscher glaubten zunächst, seine Architektur deute auf ein koordiniertes Entwicklungsteam hin.

Operative Fehler legten Planungsdokumente und andere Entwicklungsartefakte offen. Check Point kam zu dem Schluss, dass ein erfahrener Entwickler eine KI-gestützte Umgebung genutzt hatte, um in weniger als einer Woche ein funktionsfähiges Implantat zu erstellen. Das resultierende Projekt umfasste Berichten zufolge mehr als 88.000 Codezeilen.

Die VoidLink-Untersuchung belegt nicht, dass das Modell die Kampagne konzipierte oder die Malware eigenständig betrieb. Sie zeigt etwas Bodenständigeres: Eine kompetente Person nutzte KI, um ein komplexes offensives Framework deutlich schneller als erwartet zu planen, umzusetzen, zu testen und zu überarbeiten.

Der Entwickler folgte Berichten zufolge einer spezifikationsgetriebenen Entwicklung. In diesem Workflow führen strukturierte Anforderungen und Planungsdokumente einen Agenten durch die Umsetzung. Derselbe Ansatz hilft legitimen Teams, komplexe Softwareprojekte zu koordinieren.

Dieser doppelte Verwendungszweck steht im Zentrum des Risikos. Kriminelle Ökosysteme benötigen keinen separaten Innovationszyklus für jede KI-Fähigkeit. Sie können die Workflows, Tools und Agentenmuster übernehmen, die gewöhnliche Entwickler zur Produktivitätssteigerung einsetzen.

Die KI-Beteiligung kann zudem im finalen Artefakt verschwinden. Analysten, die kompilierte Malware untersuchen, sehen möglicherweise herkömmlichen Code, bekannte Bibliotheken und vertraute Techniken. Ohne geleakte Prompts oder Projektdateien haben sie womöglich keine verlässliche Möglichkeit festzustellen, wie die Software erstellt wurde.

Das schwächt Versuche, KI-gestützte Cyberkriminalität anhand offensichtlicher Stilmerkmale zu messen. Sauberer Code beweist keine menschliche Urheberschaft, und fehlerhafter Code beweist keine KI-Urheberschaft. Die Herkunft der Entwicklung bleibt häufig unsichtbar.

VoidLink zeigt auch die Grenzen vereinfachender Demokratisierungsbehauptungen. Ein Neuling wird nicht zu einem fortgeschrittenen Malware-Entwickler, nur weil er einen Chatbot öffnet. Der berichtete Entwickler scheint Sicherheitswissen, architektonisches Urteilsvermögen und diszipliniertes Projektmanagement eingebracht zu haben.

KI verstärkte diese Expertise. Sie half einem einzelnen Akteur, Arbeit zu leisten, die normalerweise mit einem größeren Team und einem längeren Zeitplan verbunden ist. Der größte kurzfristige Zugewinn könnte daher kompetenten Angreifern zugutekommen, die Ziele und Vorgehensweisen bereits verstehen.

Weniger qualifizierte Akteure profitieren weiterhin über paketierte Dienste. Check Point berichtet, dass Phishing-Kits, Sprachsysteme und kriminelle Plattformen zunehmend Sprachmodelle hinter einfachen Schnittstellen einbetten. Käufer müssen weder das zugrunde liegende Modell noch Jailbreaks oder die Bereitstellungspipeline verstehen.

Das ähnelt früheren Cybercrime-Märkten. Ransomware-Affiliates, Broker für Erstzugänge, Phishing-Dienste und Botnet-Mietangebote machten spezialisierte Fähigkeiten zu käuflichen Komponenten. KI kann die Produktionskosten innerhalb dieser Dienste senken und zugleich Personalisierung sowie operative Kapazität verbessern.

Synthetische Identität fügt eine weitere Ebene hinzu. Stimme, Gesicht, Dokumente und Live-Video können zu kanalübergreifendem Social Engineering kombiniert werden. Ein Mitarbeiter kann eine E-Mail, einen Anruf und einen Videoauftritt erhalten, die dieselbe falsche Identität untermauern.

Kein einzelner Deepfake beweist, dass ein Konto oder eine Transaktion bösartig ist. Das Sicherheitsproblem besteht darin, dass vertraute Identitätssignale nun weniger eigenständigen Wert haben. Unternehmen benötigen Bestätigung über vertrauenswürdige Kanäle, Transaktionskontrollen, Gerätesignale und Kontextprüfungen.

Bildungs- und öffentliche Einrichtungen sind besonders exponiert, weil sie breite Nutzergruppen, sensible Daten, alternde Systeme und dezentralisierte Technologie verwalten. Ein Angreifer kann Zugangsdaten-Diebstahl, Social Engineering und automatisierte Aufklärung über Institutionen mit unterschiedlich ausgeprägter Sicherheitsreife hinweg kombinieren.

Das Sicherheitsargument von Check Point zu KI beschränkt sich daher nicht auf Malware. Die Produktionsobergrenze steigt bei Code, Überzeugung, Identitätsbetrug, Datenverarbeitung und operativer Koordination.

Was die Belege weiterhin nicht beweisen

Der Bericht dokumentiert einen gravierenden operativen Wandel, beweist jedoch nicht, dass autonome KI qualifizierte Angreifer ersetzt hat.

Threat Reports von Anbietern haben ein unvermeidliches Sichtbarkeitsproblem. Anthropic beobachtet Aktivitäten, die seine eigenen Dienste betreffen. Check Point sieht Ereignisse, die durch seine Forschung, Partner, Produkte und Telemetrie erfasst werden. Jede Organisation sieht nur einen Teil der umfassenderen Bedrohungslandschaft.

Der GTG-1002-Bericht bot ungewöhnlich detaillierte Beschreibungen, doch Anthropic veröffentlichte keine Kompromittierungsindikatoren, die externe Forscher für eine vollständige unabhängige Validierung nutzen könnten. Check Point wies in seiner umfassenderen Analyse auf diese Einschränkung hin.

Der Fall der mexikanischen Regierung enthält umfangreiche operative Kennzahlen, darunter Befehlszahlen, Sitzungen, Skripte, Systeme und Datensätze. Eine öffentliche Bestätigung durch jede genannte oder betroffene Institution bleibt jedoch unvollständig. Die Berichterstattung sollte diese Unterscheidung bewahren.

Auch bei der Messung von Autonomie gibt es ein Problem. Ein Modell kann viele Befehle ausführen, während eine Person weiterhin das Framework entwirft, Ziele auswählt, Zugangsdaten bereitstellt und entscheidende Maßnahmen genehmigt. Das Zählen von Befehlen zeigt nicht, wer die Absicht der Operation kontrollierte.

Anthropics Schätzung von 80 % bis 90 % bezieht sich auf taktische Arbeit innerhalb einer bestimmten Kampagne. Sie bedeutet nicht, dass das Modell 90 % jeder wichtigen Entscheidung traf. Das Unternehmen erklärte, dass Menschen in mehreren kritischen Momenten eingriffen – darunter möglicherweise Entscheidungen mit unverhältnismäßig hohem strategischem Wert.

Ebenso belegen 5.317 von KI ausgeführte Befehle nicht, dass jeder Befehl nützlich war. Agenten können Aktionen wiederholen, auf Fehler stoßen oder unnötige Schritte erzeugen. Rohes Volumen erfasst Aktivität, nicht Kompetenz.

KI-Systeme machen auch Fehler, die Angreifer enttarnen können. Sie können Ausgaben falsch lesen, auffällige Techniken wählen, Erkenntnisse erfinden oder sensible Details zu ausführlich dokumentieren. Check Point entdeckte Aspekte von VoidLink teilweise deshalb, weil Entwicklungsartefakte und operative Fehler Sichtbarkeit schufen.

Kontrollen der Anbieter können weiterhin eine Rolle spielen. Missbrauchsüberwachung erkennt Muster über mehrere Konten hinweg, die ein einzelnes Ziel nicht beobachten kann. Ratenanomalien, wiederholte Exploit-Prompts, verdächtige Tool-Nutzung und gemeinsame Infrastruktur können Untersuchungen und Unterbrechungen unterstützen.

Das von Anthropic veröffentlichte KI-Bedrohungsmapping analysierte 832 Konten, die zwischen März 2025 und März 2026 wegen cyberbezogener Richtlinienverstöße gesperrt wurden. Es stellte fest, dass 560 Konten beziehungsweise 67,3 % KI für malwarebezogene Vorbereitung nutzten.

Die meisten beobachteten Akteure agierten nicht auf dem Niveau von GTG-1002. Anthropic stellte fest, dass agentisches Scaffolding – also die Software und Architektur rund um ein Modell – die Aktivitäten mit dem höchsten Risiko deutlicher unterschied als die Anzahl angeforderter Techniken.

Diese Erkenntnis stützt eine zurückhaltende Schlussfolgerung. KI-gestützter Missbrauch ist weit verbreitet, doch tiefgreifend autonome Operationen bleiben eine fortgeschrittenere Teilmenge. Die Gefahr liegt darin, dass diese Teilmenge leichter reproduzierbar wird.

Die Verbreitung über Google News kann diese Unterschiede zu einer dramatischen Schlagzeile einebnen. „KI führt Cyberangriffe aus“ ist in der Tendenz nützlich, technisch jedoch unvollständig. Menschliche Absicht, verwundbare Systeme, gestohlener Zugang, Orchestrierungscode und schwache Kontrollen prägen weiterhin jeden dokumentierten Fall.

Verteidiger sollten die Vorfälle weder als Marketing abtun noch autonome Kompromittierungen als unvermeidlich betrachten. Die Belege rechtfertigen Investitionen in schnellere Erkennung, stärkere Agenten-Governance und grundlegende Sicherheitskontrollen. Sie rechtfertigen weder den Verzicht auf menschliche Prüfung noch die Gewährung unbegrenzten Zugriffs an defensive Agenten.

Drei Signale, die als Nächstes zu beobachten sind

Der nächste Test besteht darin, ob agentische Angriffe über Akteure, Ziele und Modellanbieter hinweg reproduzierbar werden.

Das erste Signal ist die unabhängige Verifizierung von Vorfällen. Sicherheitsforscher sollten nach Fällen suchen, in denen Endpunktdaten, Netzwerkaufzeichnungen, Anbieter-Telemetrie und Berichte von Betroffenen gemeinsam die operative Live-Rolle eines Agenten bestätigen. Wiederholte Belege aus unabhängigen Untersuchungen würden die These von Check Point stärken.

Öffentliche Indikatoren sind ebenfalls wichtig. Sie ermöglichen es anderen Organisationen, ihre Umgebungen zu durchsuchen, und erlauben unabhängigen Teams, Attributionen zu prüfen. Wenn künftige Berichte weiterhin von den internen Beobachtungen eines einzelnen Anbieters abhängen, wird das Vertrauen in den breiteren Trend langsamer wachsen.

Das zweite Signal sind Maßnahmen der Anbieter gegen anhaltende Agentenmanipulation. Coding-Assistenten verarbeiten automatisch Repository-Dateien, Tool-Beschreibungen und Projektkontext. Anbieter benötigen klarere Vertrauenskontrollen für diese Eingaben, darunter Warnungen, Berechtigungsgrenzen, Herkunftsindikatoren und eingeschränkte Ausführung.

Beobachten Sie, ob kommerzielle Agenten nicht vertrauenswürdige Inhalte standardmäßig von operativen Anweisungen trennen. Eine stärkere Isolierung würde Angriffe schwächen, die auf eingeschleusten Konfigurationsdateien beruhen. Anhaltende Umgehungen bei mehreren Produkten würden den Befund stärken, dass die Agentenarchitektur der dauerhafte Schwachpunkt bleibt.

Das dritte Signal ist die Reaktionszeit der Verteidiger. Unternehmen sollten messen, wie lange sie benötigen, um einen exponierten Dienst zu inventarisieren, einen Patch einzuspielen, Zugangsdaten zu widerrufen, verdächtige Tool-Aktivitäten zu untersuchen und laterale Bewegungen einzudämmen. Diese operativen Kennzahlen zeigen, ob sich die Verteidigung an schnellere Angriffe anpasst.

Eine wachsende Lücke zwischen Offenlegung und Behebung würde Angreifern zugutekommen – auch ohne leistungsfähigere Modelle. Eine schrumpfende Lücke würde zeigen, dass Automatisierung, Priorisierung und Governance einen Teil des agentischen Vorteils ausgleichen können.

Sicherheitsverantwortliche sollten zudem genehmigte KI-Nutzung von böswilligen Aktivitäten unterscheiden. Check Point zufolge nutzte die durchschnittliche Organisation in seinem Datensatz monatlich 10 KI-Anwendungen, oft ohne formelle Genehmigung. Das Unternehmen berichtete, dass sich risikoreiche Prompts im Vorjahr von 2 % auf 4 % verdoppelten.

Diese Prompts können Unternehmens-, personenbezogene, regulierte oder zugangsdatenbezogene Informationen enthalten. Die meisten stehen für gewöhnliches Mitarbeiterverhalten und nicht für einen Einbruch. Das Sicherheitsprogramm hat daher zwei miteinander verbundene Aufgaben: Gegner daran hindern, KI einzusetzen, und Mitarbeiter bei ihrer Nutzung steuern.

Ein pauschales Verbot bietet selten verlässliche Sichtbarkeit. Mitarbeiter könnten auf persönliche Konten oder nicht genehmigte Dienste ausweichen. Unternehmen benötigen klare Datenregeln, genehmigte Tools, Zugriffskontrollen, Protokollierung und Workflows, die Kontext bewahren, ohne sensibles Material offenzulegen.

Teams, die einen schnellen Strom von Sicherheitsbefunden prüfen, benötigen außerdem belastbare interne Nachweise. Eine durchsuchbare Engineering-Wissensdatenbank kann Hinweise, Verantwortlichkeiten für Assets, Entscheidungen bei Vorfällen und Aufzeichnungen zu Abhilfemaßnahmen miteinander verknüpfen, ohne auf verstreute Gespräche angewiesen zu sein.

Die praktische Frage ist nicht, ob jede Google-News-Warnung einen autonomen Angriff vorhersagt. Sie lautet vielmehr, ob Ihre Organisation einen Agenten erkennen kann, der sich durch Systeme bewegt, bevor sein Betreiber die nächste kritische Entscheidung trifft. Prüfen Sie, wo KI-Agenten ausgeführt werden, worauf sie zugreifen können und welche Aktionen menschliche Genehmigungen umgehen. Testen Sie anschließend, ob Ihr Team mit den derzeitigen Tools und der vorhandenen Personalstärke einen Einbruch im Maschinentempo eindämmen kann.