Google AI Cyber Threat Report warnt: Angreifer schließen die Fähigkeitslücke
Google dokumentierte, wie Angreifer innerhalb von sechs Stunden eine großangelegte Kampagne zum Abgreifen von Zugangsdaten entwickelten und ausführten – obwohl ihnen die Ressourcen fehlten, die üblicherweise mit staatlichen Operationen verbunden werden.
Der Google AI cyber threat report beschreibt einen Wandel von punktueller Unterstützung durch Chatbots hin zu autonomen Multi-Agenten-Workflows. Diese Systeme können Scans verwalten, Fehler beheben, Infrastruktur rotieren und Zugangsdaten mit begrenzter menschlicher Beteiligung abgreifen.
Dieser Unterschied ist bedeutsamer als die Frage, ob KI völlig neue Angriffstechniken erfindet. Kriminelle Gruppen können bekannte Methoden heute mit einer Geschwindigkeit und in einem Umfang koordinieren, für die früher größere Teams, spezialisierte Operatoren und umfangreiche Infrastruktur erforderlich waren.
Die Google Threat Intelligence Group, kurz GTIG, stützte ihren Bericht vom 8. September auf Mandiant-Untersuchungen, Bedrohungsverfolgung und auf Google-Plattformen beobachtete Aktivitäten. Die Erkenntnisse zeigen finanziell motivierte Kriminelle neben staatlich verbundenen Gruppen aus China, Iran, Russland und Nordkorea, die KI in ihren gesamten Cyberoperationen einsetzen.
Der Wettbewerb ist nicht länger einfach KI der Angreifer gegen KI der Verteidiger. Es ist automatisierter Angriff gegen menschliche Reaktionsprozesse, die weiterhin von Warteschlangen, Übergaben und geplanten Prüfungen abhängen.
Der Google AI Cyber Threat Report dokumentiert einen Sechs-Stunden-Angriff
Die deutlichste Veränderung ist operativ: KI-Agenten wechseln von beratenden Rollen in den Ausführungsprozess.
Im zweiten Quartal 2026 untersuchte Mandiant einen mutmaßlich finanziell motivierten Akteur, der die Cloud-Infrastruktur einer Organisation kompromittiert hatte. Der Angreifer setzte ein autonomes Framework mit mehreren Agenten ein, die jeweils Teile einer Operation zum Abgreifen von Zugangsdaten übernahmen.
Laut Google gab der Akteur einem KI-Coding-Chatbot einen Prompt und eine Sammlung von Agentenanweisungen. Diese Anweisungen dienten als wiederverwendbare operative Playbooks.
Innerhalb von sechs Stunden plante, entwickelte und führte das Framework eine großangelegte Kampagne zum Abgreifen von Zugangsdaten aus. Dabei kompromittierte es laut GTIG Tausende Zugangsdaten Dritter.
Die Agenten generierten nicht nur Skripte. Sie verwalteten eine Pipeline für Schwachstellenscans, diagnostizierten Fehler und übernahmen die Rotation von Internet-Protocol-Adressen ohne fortlaufende Steuerung durch Operatoren.
Diese Automatisierung verringerte die Latenz durch menschliche Beteiligung, also die Wartezeit, die entsteht, wenn Software eine Person benötigt, um den nächsten Schritt zu genehmigen oder zu reparieren. Sie half dem Angreifer zudem, Aktivitäten über eine große Zielmenge hinweg aufrechtzuerhalten.
Die kompromittierte Cloud-Umgebung bot einen weiteren Vorteil. Der Angriffsverkehr konnte über legitime IP-Adressen laufen, die mit der Infrastruktur des Opfers verbunden waren, was einfache reputationsbasierte Erkennung erschwerte.
GTIG fand außerdem einen offen erreichbaren Command-and-Control-Server, auf dem ein automatisiertes Framework für Aufklärung und Verwaltung von Zugangsdaten namens Recon lief. Das Framework enthielt Anweisungs- und Wissensdateien für den agentischen Betrieb.
Sein Verzeichnis enthielt Dateien wie AGENTS.md, KNOWLEDGE.md und agentic_vuln_research.md. Es enthielt außerdem modulare Verzeichnisse für Tools, Speicher und automatisierte Workflows.
Nachdem GTIG den offen erreichbaren Server entdeckt hatte, wurde das Verzeichnis Berichten zufolge zu einem Produktions-Dashboard. Dieses Dashboard konnte mehr als 23.800 abgegriffene Secrets in Echtzeit organisieren, validieren und verwalten.
Zu diesen Secrets gehörten Zugangsdaten für Cloud-Plattformen und KI-Dienste. Der Fall verband damit drei Risiken, die Organisationen häufig getrennt behandeln: Diebstahl von Zugangsdaten, Kompromittierung der Cloud und unbefugter KI-Zugriff.
Google charakterisierte die Operation als Entwicklung von passiven Endpoint-Infostealern hin zu offensivem agentischem Abgreifen. Die Agenten recherchierten Schwachstellen, scannten Serverinfrastrukturen und versuchten gezielte Ausnutzung mit minimalem Eingreifen.
Dies ist die zentrale Warnung des Google AI cyber threat report. Ein Akteur mit begrenzten Ressourcen kann Anweisungen einmal kodieren und Software sie dann über Tausende Gelegenheiten hinweg wiederholen lassen.
Die Sechs-Stunden-Zeitleiste bedeutet nicht, dass jeder Angreifer plötzlich Spionage auf Spitzenniveau betreiben kann. Sie zeigt, dass Orchestrierungskapazität, die einst durch Personal begrenzt war, zunehmend gemietet, gestohlen oder automatisiert werden kann.
KI-Automatisierung verändert die Uhr der Verteidiger
Sicherheitsteams stehen heute vor einem Zeitproblem, noch bevor sie es mit einer völlig neuen Klasse von Exploits zu tun haben.
Die traditionelle Incident Response geht davon aus, dass Verteidiger zwischen Aufklärung, Ausnutzung, Nutzung von Zugangsdaten und lateraler Bewegung noch etwas Zeit haben. Monitoring-Systeme erkennen Ereignisse, Analysten validieren sie und getrennte Teams koordinieren die Eindämmung.
Agentic AI verdichtet diese Phasen. Ein Framework kann scannen, anpassen, erneut versuchen und zum nächsten Ziel wechseln, während ein Alert noch ungeprüft bleibt.
John Hultquist, Chefanalyst von GTIG, sagte IT Pro, Organisationen sollten davon ausgehen, dass Bedrohungsakteure KI bereits in irgendeiner Form einsetzen. Er warnte, Kriminelle würden Angriffe bevorzugen, die schneller ablaufen, als Verteidiger reagieren können.
Der Druck trifft vor allem Organisationen, deren Sicherheitskontrollen Alerts erzeugen, ohne eine schnelle Eindämmung zu ermöglichen. Ein größeres Alert-Volumen bietet wenig Schutz, wenn Analysten es nicht untersuchen können, bevor gestohlene Zugangsdaten zu aktiven Angriffspfaden werden.
Das Problem reicht über Security Operations Center hinaus. Identity-Teams, Cloud-Administratoren, Entwickler und Open-Source-Maintainer kontrollieren alle Ressourcen, die eine automatisierte Kampagne erreichen kann.
Die Rotation von Zugangsdaten liefert ein einfaches Beispiel. Eine Organisation könnte ein offengelegtes Secret innerhalb von Stunden entdecken, aber mehrere Genehmigungen benötigen, bevor sie es widerruft. Der Agent eines Angreifers braucht nur Sekunden, um dieses Secret andernorts zu testen.
Cloud-Infrastruktur verschärft das Ungleichgewicht. Gestohlene Zugangsdaten können Rechenkapazität, vertrauenswürdige Netzwerkstandorte und Zugang zu zusätzlichen Diensten bereitstellen.
GTIG bezeichnet eine Form dieser Aktivität als LLMjacking. Angreifer stehlen Zugangsdaten für KI-Plattformen oder kapern Cloud-Umgebungen, um unbefugte Modell-Workloads auszuführen.
Diese Praxis ermöglicht es Angreifern, direkte Infrastrukturkosten zu vermeiden. Sie kann ihre Aktivitäten zudem verschleiern, da die Berechnung innerhalb des Kontos einer legitimen Organisation erfolgt.
Im April 2026 beobachtete Mandiant einen Akteur, der gestohlenen Zugang zu KI-Infrastruktur nutzte, um leistungsstarke Grafikverarbeitungsressourcen bereitzustellen. Das Opfer trug die daraus resultierende Arbeitslast und die Kosten.
Dasselbe Muster zeigte sich in einer chinesischen, staatlich verbundenen Kampagne mit der Bezeichnung UNC6508. Google zufolge setzte die Gruppe ein lokales Open-Weight-Modell in kompromittierten Cloud-Umgebungen ein.
Der lokale Betrieb des Modells half der Gruppe, die Überwachung kommerzieller KI-Dienste zu umgehen. Außerdem verlagerte er die Rechenlast auf das Opfer.
Diese Fälle setzen Sicherheitsverantwortliche unter Druck, die geschützte Oberfläche neu zu definieren. Modelle, Prompts, Agentenanweisungen, API-Zugangsdaten, Cloud-Quoten und Entwicklungstools stehen heute neben herkömmlichen Anwendungen und Servern.
Ronald Lewis, Leiter der Cybersecurity Governance bei Black Duck, sagte IT Pro, diese Risiken entwickelten sich schneller, als viele Organisationen sie messen und steuern könnten. Er argumentierte, Sicherheitsteams müssten KI-Systeme schützen, während sie Angreifern gegenüberstünden, die dieselbe Technologie nutzen.
Daraus ergibt sich der zentrale Wettbewerb: Angriffe mit Maschinengeschwindigkeit gegen Organisationen, deren Reaktionssysteme weiterhin um Entscheidungen mit menschlicher Geschwindigkeit organisiert sind.
Weniger ressourcenstarke Angreifer können Maßstab von Nationalstaaten übernehmen
KI verringert die Lücke bei operativen Fähigkeiten, auch wenn sie Unterschiede bei Geheimdienstzugang, Finanzierung oder strategischer Geduld nicht aufhebt.
Staatlich verbundene Gruppen verfügen traditionell über Vorteile, die Software allein nicht reproduzieren kann. Sie können auf klassifizierte Informationen, langfristige Finanzierung, maßgeschneiderte Infrastruktur, diplomatische Deckung und Teams mit spezialisiertem regionalem Wissen zurückgreifen.
Viele sichtbare Merkmale fortgeschrittener Operationen beruhen jedoch auf wiederholbarer Ausführung. Dazu gehören anhaltende Aufklärung, lokalisierte Phishing-Angriffe, Codeanpassungen, Infrastrukturrotation und schnelle Fehlerbehebung.
KI kann jede dieser Aufgaben automatisieren oder beschleunigen. Dadurch erhalten kleinere Gruppen einen Teil der operativen Reichweite, die zuvor mit größeren Organisationen verbunden war.
Die Sechs-Stunden-Kampagne zum Abgreifen von Zugangsdaten veranschaulicht diesen Mechanismus. Der Angreifer benötigte keinen Agenten, um ein beispielloses Angriffskonzept zu entwickeln.
Stattdessen koordinierte das Framework bekannte Aufgaben, ohne in jeder Phase auf einen menschlichen Operator warten zu müssen. Sein Vorteil lag in Ausdauer, paralleler Aktivität und schneller Erholung von Routinefehlern.
Dieses Modell verändert, wie Verteidiger Raffinesse interpretieren sollten. Hohes Angriffsvolumen, überzeugend gestaltete Köder oder schnelle Codeänderungen belegen nicht länger, dass ein großes Team hinter einer Operation steht.
Eine kleine Gruppe kann Anweisungen über Agenten hinweg wiederverwenden. Sie kann außerdem unterschiedliche Modelle auf Aufklärung, Coding, Übersetzung und Datenanalyse ansetzen.
Staatlich verbundene Gruppen verfolgen denselben Ansatz. GTIG beobachtete einen chinesischen Spionageakteur, der mit einer automatisierten Pipeline für Ausnutzung und Post-Exploitation experimentierte.
Der Akteur nutzte CC Switch, ein Tool, das Arbeit zwischen verschiedenen Sprachmodellen weiterleiten kann. Laut Google fragte es Claude, Gemini und Codex nach Exploit-Skripten, Phishing-Inhalten und Hilfe beim Debugging.
Der Workflow kombinierte manuelles Sondieren mit Burp Suite und automatisierte Aktivitäten über Phalanx, ein Open-Source-Framework für Penetrationstests. Nach dem Erlangen von Zugriff konnte der Operator zusätzliche Tools für Command-and-Control und das Sammeln von Zugangsdaten einsetzen.
Google beschrieb außerdem, wie BASIN CASTLE, eine chinesische staatlich verbundene Gruppe, generative KI über aufeinanderfolgende Angriffsphasen hinweg einsetzte. Zu ihren Aktivitäten gehörten Zielprofilierung, Erstellung lokalisierter Köder, Malware-Verschleierung und Fehlerbehebung nach der Ausnutzung.
CALANQUE ION, auch als APT42 bekannt, nutzte laut GTIG KI für Aufklärung, E-Mail-Recherche, Übersetzung und Social Engineering. Der mit dem Iran verbundene Akteur untersuchte zudem Infrastrukturentwicklung und Software-Reverse-Engineering.
RAVINE CASTLE, eine weitere mit China verbundene Gruppe, nutzte Gemini für Informationsgewinnung, Exploit-Recherche und Einflussoperationen. Google beobachtete, wie die Gruppe Methoden zur Anonymisierung von Leaks und zu deren Verbreitung über Medienkanäle untersuchte.
Das mit Russland verbundene SANDWORM RELIC nutzte Gemini, um Password-Spraying-Skripte zu verfeinern und Host-Profiling zu automatisieren. Die Gruppe untersuchte zudem Proxy-Routing, das die Command-and-Control-Infrastruktur verschleiern sollte.
Nordkoreanische Cluster nutzten Modelle für Zielprofilierung, gefälschte Bewerbungsunterlagen, technische Köder und die Entwicklung bösartigen Codes. Ein Cluster registrierte Berichten zufolge große Mengen an Modellkonten über gekaperte Identitäten.
Diese Beispiele zeigen, wie sich die Automatisierung von KI-Cyberbedrohungen über Akteure mit sehr unterschiedlichen Motiven hinweg verbreitet. Spionagegruppen suchen Informationen, während kriminelle Gruppen Erpressung, den Verkauf von Zugangsdaten und den Diebstahl von Kryptowährungen verfolgen.
Die Technologie macht diese Akteure nicht identisch. Sie gibt ihnen Zugang zu einer gemeinsamen Ebene operativer Automatisierung.
Dieser Unterschied ist wichtig. Reichweite auf Nationalstaatenniveau beschreibt Umfang und Ausführungsgeschwindigkeit, nicht die vollständige Übertragung staatlicher Nachrichtendienstfähigkeiten auf gewöhnliche Kriminelle.
Die Software-Lieferkette wird zu einer Angriffsfläche für Agenten
Angreifer nehmen die Anweisungen und Vertrauenssignale ins Visier, die KI-Coding-Systeme nutzen – nicht nur die Software, die diese Systeme erzeugen.
GTIG brachte einen Großteil dieser Aktivitäten mit UNC6780 in Verbindung, auch bekannt als TeamPCP. Seit März 2026 hat die finanziell motivierte Gruppe PyPI, npm und Docker Hub angegriffen.
Diese Dienste verteilen Pakete, die in modernen Softwareprojekten genutzt werden. Ein kompromittiertes Paket kann durch routinemäßige Installationen oder automatisierte Builds in mehrere Organisationen gelangen.
TeamPCP soll legitime Entwicklerkonten kompromittiert und bösartige Forks von Model Context Protocol-Servern veröffentlicht haben. MCP ist ein Standard, mit dem KI-Anwendungen externe Tools und Daten anbinden können.
Die Gruppe schleuste außerdem bösartigen Code in offizielle Repositorys von Organisationen ein. Dadurch erhielten vergiftete Ressourcen den Anschein vertrauenswürdiger Projekt-Assets.
Eine bösartige Komponente namens DUSTMAKER durchsuchte Continuous-Integration-Umgebungen nach Identitätstokens. Diese Tokens konnten die Veröffentlichung von Paketen über vertrauenswürdige Entwickler-Workflows autorisieren.
Google zufolge könnten kompromittierte Pakete gültige SLSA Build Level 3-Attestierungen tragen. SLSA ist ein Framework zur Dokumentation und Absicherung der Integrität von Software-Builds.
Eine gültige Attestierung kann automatisierte Systeme davon überzeugen, dass ein Paket einen genehmigten Build-Prozess durchlaufen hat. Sie kann jedoch eine gestohlene Veröffentlichungsidentität nicht vertrauenswürdig machen.
Hier entsteht durch KI-Coding-Systeme ein besonderes Risiko. Agenten bewerten häufig Paketnamen, Metadaten, Repository-Kontext und maschinenlesbare Vertrauenssignale, bevor sie eine Abhängigkeit empfehlen oder installieren.
Angreifer können diese Signale beeinflussen. Sie können Metadaten vergiften, Anweisungen in Projektdateien verstecken oder die Bereitschaft eines Agenten ausnutzen, eine Entwicklungsaufgabe abzuschließen.
DUSTMAKER platzierte bösartige Inhalte in versteckten Verzeichnissen, die von Coding-Tools und Entwicklungsumgebungen genutzt werden. Beispiele waren die Verzeichnisse .claude, .vscode und .cursor.
Dateien an diesen Speicherorten können mit gewöhnlichen Workspace-Aktivitäten verschmelzen. Sie können zudem Tools beeinflussen, die Projektkonfigurationen automatisch analysieren.
Google fand bösartige Konfigurationen, die darauf ausgelegt waren, während normaler Entwicklerinteraktionen Befehle auszulösen. Ein Entwickler konnte die Malware somit durch das Öffnen oder Bearbeiten eines kompromittierten Projekts aktivieren.
Die Malware erstellte außerdem Pipeline-Aufgaben mit plausibel klingenden KI-bezogenen Namen. Ein Beispiel nutzte die Bezeichnung „Copilot Setup“, während es nach weiteren Zugangsdaten und Zugriffsschlüsseln suchte.
Nach der Ausführung konnte die Malware Workflow-Protokolle löschen. Das verringerte die Wahrscheinlichkeit, dass Entwickler verdächtige Aktivitäten über eine Repository-Oberfläche bemerkten.
Eine weitere Taktik richtete sich gegen KI-basierte Sicherheitsscanner. Angreifer betteten extreme, verbotene Anfragen in Kommentare oberhalb von bösartigem JavaScript ein.
Das offensichtliche Ziel war, Sicherheitskontrollen dazu zu bringen, die Analyse abzulehnen, bevor sie die eigentliche Malware erreichen. Dabei handelt es sich um eine indirekte Prompt Injection, bei der versteckte Inhalte ein KI-System manipulieren, das nicht vertrauenswürdiges Material untersucht.
Die Strategie legt einen Konflikt in der automatisierten Entwicklung offen. Teams möchten, dass Coding-Agenten einen breiten Projektkontext lesen, doch jede zusätzliche Datei wird zu einem möglichen Anweisungskanal.
Herkömmliche Scanner behandeln Kommentare im Allgemeinen als nicht ausführbaren Text. Ein KI-Scanner könnte dieselben Kommentare als operative Anweisungen oder richtlinienrelevante Inhalte auffassen.
Die Erkenntnisse zur Lieferkette reichen daher über die Erkennung bösartiger Pakete hinaus. Organisationen müssen prüfen, wie Agenten Abhängigkeiten auswählen, Workspace-Dateien interpretieren und Befehle genehmigen.
Entwickler benötigen außerdem Transparenz über Handlungen, die in ihrem Namen ausgeführt werden. Ein Agent, der unbemerkt Pakete installiert oder Setup-Skripte ausführt, kann aus einem Empfehlungsfehler unmittelbar eine Kompromittierung machen.
Die Herkunft von Wissen ist hier entscheidend. Teams müssen vertrauenswürdige Betriebsanweisungen von Text unterscheiden können, der aus Repositorys, Tickets, Dokumentationen und externen Seiten stammt.
Eine durchsuchbare technische Wissensdatenbank kann diese Unterscheidung unterstützen, wenn Zugriffsregeln und Quellenkontext sichtbar bleiben. Sie ersetzt weder Paketverifizierung noch Laufzeitisolierung.
Die übergeordnete Lehre lautet, dass KI-Agenten die Schwächen ihrer Eingaben übernehmen. Sie verwandeln zudem manche irreführenden Eingaben in Handlungen und erhöhen damit die Kosten fehlgeleiteten Vertrauens.
Googles Belege sind ernst zu nehmen, doch die Fähigkeitslücke ist nicht verschwunden
Der Bericht stützt die Aussage einer realen Beschleunigung, beweist jedoch nicht, dass nun jeder kleine Angreifer über vollständige Fähigkeiten auf dem Niveau eines Nationalstaats verfügt.
GTIG verfügt durch Incident-Response-Arbeit, Bedrohungsverfolgung, Cloud-Infrastruktur und die Überwachung von Gemini-Missbrauch über ungewöhnlich breite Einblicke. Das macht seine Fallstudien wertvoll.
Der Bericht präsentiert jedoch ausgewählte beobachtete Operationen und keine vollständige Messung des globalen Angreiferverhaltens. Er liefert keine Ausgangsbasis, die zeigt, welcher Anteil der Angriffe autonome Agenten nutzt.
Die sechsstündige Kampagne begann zudem erst, nachdem der Angreifer Cloud-Infrastruktur kompromittiert hatte. Der Erstzugang bleibt eine bedeutende Hürde, selbst wenn Agenten spätere Phasen beschleunigen.
Ebenso beschreibt „Tausende Zugangsdaten“ den Umfang der Sammlung in der Kampagne, nicht die Zahl erfolgreich ausgenutzter Konten. Manche Geheimnisse könnten abgelaufen, eingeschränkt, dupliziert oder anderweitig unbrauchbar gewesen sein.
Organisationen sollten daher nicht jedes KI-generierte Skript als Advanced Persistent Threat behandeln. Attribution und die Bewertung von Fähigkeiten erfordern weiterhin Infrastruktur, Victimology, Malware, operative Muster und menschliche Erkenntnisse.
Google selbst berichtete über Grenzen. In Informationsoperationen, die im zweiten Quartal beobachtet wurden, verbesserte KI die Produktivität, schuf jedoch keine qualitativ neuen Fähigkeiten.
Akteure nutzten Modelle zur Content-Erstellung, für synthetische Personas, Übersetzungen und die Verfeinerung von Narrativen. Zum Veröffentlichungszeitpunkt hatte GTIG keine experimentellen interaktiven Agenten beobachtet, die in laufenden Einflussoperationen eingesetzt wurden.
Dieses Ergebnis erschwert alarmistische Interpretationen. KI scheint am stärksten zu sein, wenn sie strukturierte, wiederholbare Arbeit mit messbarem Feedback automatisiert.
Cyberoperationen bieten genau diese Bedingungen. Ein Scanner kann feststellen, ob ein Host antwortet, ob Zugangsdaten funktionieren und ob ein Befehl fehlgeschlagen ist.
Langfristige Spionage verlangt mehr. Operateure müssen organisatorische Beziehungen verstehen, strategisch nützliche Informationen auswählen, Entdeckung vermeiden und mehrdeutige Ergebnisse interpretieren.
KI bringt auch für Angreifer operative Risiken mit sich. Modelle können Code halluzinieren, Infrastruktur offenlegen, Plattformüberwachung auslösen oder wiedererkennbare Muster erzeugen.
Kommerzielle Anbieter können Konten deaktivieren und Modellschutzmaßnahmen verbessern. Google erklärte, nach der Beobachtung des Missbrauchs zugehörige Assets gestört sowie die Klassifikatoren und das Ablehnungsverhalten von Gemini aktualisiert zu haben.
Die Durchsetzung durch Anbieter hat jedoch Grenzen. Angreifer können betrügerische Konten rotieren, legitime Zugangsdaten stehlen oder zu lokal gehosteten Modellen wechseln.
Anthropic hat bei Überwachungsoperationen ein ähnliches Migrationsmuster beobachtet. Seine Bedrohungsforscher erklärten, dass einige Akteure zu offenen Modellen wechselten, als kommerzielle Schutzmaßnahmen zu viel Reibung verursachten.
Die Erkenntnisse zur Überwachung stützen ebenfalls Googles weitergehende Beobachtung. Regierungen nutzten KI, um den Personalbedarf zu senken und das Analysevolumen zu erhöhen – selbst ohne die neuesten Frontier-Systeme.
Das macht Sicherheitskontrollen nicht irrelevant. Plattformüberwachung schafft Möglichkeiten zur Gewinnung von Erkenntnissen und stört weniger disziplinierte Akteure.
Es bedeutet jedoch, dass die Kontokündigung nicht als letzte Verteidigungsschicht dienen kann. Die zugrunde liegenden Workflows können fortbestehen, wenn Angreifer Daten, Anweisungen und alternative Rechenleistung behalten.
Google nimmt in dieser Debatte zudem eine Doppelrolle ein. Das Unternehmen entwickelt breit zugängliche Modelle und verkauft gleichzeitig Cloud-Sicherheit, Bedrohungsinformationen und KI-Abwehrprodukte.
Diese Position verschafft Google wertvolle Telemetriedaten, doch Leser sollten beobachtete Vorfälle von Produktbehauptungen trennen. Die Belege zeigen Beschleunigung, ohne nachzuweisen, dass automatisierte Verteidigung automatisierte Angriffe zuverlässig neutralisieren wird.
Dieselbe Vorsicht gilt für die Modellextraktion. Google berichtete über koordinierte Kampagnen mit mehr als 100 Millionen Prompts gegen proprietäre Fähigkeiten.
Das Unternehmen erklärte, Echtzeitkontrollen eingesetzt zu haben, die den Nutzen nicht autorisierter Student Models verringern. Unabhängige Belege für die dauerhafte Wirksamkeit dieser Abwehrmaßnahmen bleiben begrenzt.
Eine ausgewogene Lesart vermeidet zwei Extreme. KI hilft Angreifern weder bloß dabei, bessere E-Mails zu schreiben, noch verwandelt sie jeden Kriminellen in einen Nachrichtendienst.
Sie beseitigt Arbeits- und Koordinationsbeschränkungen in ausgewählten Teilen des Angriffslebenszyklus. Diese Veränderung allein kann Abwehrmaßnahmen überfordern, die auf langsamere Gegner ausgelegt sind.
Drei Signale werden zeigen, ob Verteidiger Schritt halten können
Die nächste Phase wird durch Eindämmungsgeschwindigkeit, Agenten-Governance und die Migration zu von Angreifern kontrollierten Modellen entschieden.
Das erste Signal ist die Zeitspanne zwischen der Offenlegung von Zugangsdaten und der automatisierten Eindämmung. Organisationen sollten messen, wie schnell sie Geheimnisse widerrufen, Workloads isolieren und verdächtige Sitzungen blockieren können.
Diese Kennzahl ist wichtiger als das Alert-Volumen. Ein sechsstündiger Angriff wird weniger wirksam, wenn Erkennungen mit hoher Sicherheit innerhalb von Minuten eine Eindämmung auslösen.
Er wird gefährlicher, wenn die Reaktion davon abhängt, dass mehrere Teams Tickets austauschen. Wiederholte Vorfälle mit nutzbaren Zugangsdaten würden Googles Warnung vor verkürzten Verteidigungsfenstern untermauern.
Das zweite Signal ist, wie Softwareplattformen Agentenaktionen absichern. Paketregistrys, Code-Hosts, Cloud-Anbieter und Modellanbieter benötigen Kontrollen, die generierte Vorschläge von autorisierter Ausführung unterscheiden.
Nützliche Maßnahmen umfassen eingeschränkte Agentenberechtigungen, isolierte Builds, festgeschriebene Abhängigkeiten, signierte Releases und Genehmigungspflichten für sensible Befehle. Die Protokollierung muss außerdem festhalten, was ein Agent gelesen hat und weshalb er handelte.
Eine große Kompromittierung einer Registry durch vergiftete KI-Anweisungen würde die Lieferketten-These des Berichts stärken. Eine breitere Einführung wirksamer Agentenisolierung würde die erwarteten Auswirkungen abschwächen.
Das dritte Signal ist die Bewegung von Angreifern weg von überwachten kommerziellen Diensten hin zu lokalen Modellen und gestohlener Rechenleistung. Diese Migration verringert die Transparenz, die Anbietern wie Google und Anthropic zur Verfügung steht.
GTIG beobachtete bereits UNC6508 beim Betrieb eines Open-Weight-Modells innerhalb kompromittierter Infrastruktur. Ein anhaltendes Wachstum dieser Taktik würde die Durchsetzung auf Modellebene weniger entscheidend machen.
Verteidiger sollten auf unerwartete Bereitstellung von Grafikprozessoren, ungewöhnliche Modelldownloads, anomalen Inferenzverkehr und neu erstellte Zugangsdaten für KI-Dienste achten. Diese Ereignisse können auf Ressourcendiebstahl hindeuten, bevor ein herkömmlicher Intrusion-Alert erscheint.
Der frühere Zero-Day-Fall bietet einen verwandten Maßstab. Google erklärte, Kriminelle hätten offenbar KI eingesetzt, als sie eine zuvor unbekannte Authentifizierungsschwachstelle entdeckten und zu einer Waffe machten.
Wenn unabhängig bestätigte Fälle zur Routine werden, wird das Risiko über die schnellere Ausnutzung bekannter Schwächen hinausgehen. Angreifer würden über ein größeres Angebot neuer Möglichkeiten verfügen.
Derzeit betreffen die stärksten Belege Automatisierung und Skalierung. Die Automatisierung von KI-Cyberbedrohungen hilft Akteuren, bekannte Arbeit zu wiederholen, Tools zu koordinieren und sich schneller von operativen Fehlern zu erholen.
Das erfordert dennoch eine andere Sicherheitsstrategie. Organisationen sollten jeden Agenten inventarisieren, der Zugriff auf Code, Zugangsdaten, externe Inhalte oder Produktionssysteme hat.
Sie sollten zudem Modellzugriff von Ausführungsbefugnissen trennen. Ein Assistent, der einen Befehl empfehlen kann, benötigt nicht automatisch die Berechtigung, ihn auszuführen.
Teams können mit einer praktischen Frage beginnen: Kann ein von einem Agenten gesteuertes Konto die Produktion verändern, ein Paket veröffentlichen oder Geheimnisse offenlegen, ohne dass eine zweite Kontrollinstanz eingreift?
Die Antwort zeigt, ob Automatisierung Verteidiger unterstützt oder den Angriffsweg stillschweigend erweitert. Der Google AI Cyber Threat Report macht die Dringlichkeit deutlich: Diese Bewertung gehört in aktuelle Sicherheitspläne, nicht auf eine zukünftige Roadmap.
