Ein Hacker-Agent, der sich selbst die Rechenleistung anderer sucht: Die Threat-Hunter von Symantec haben am 21. Oktober 2026 einen Bericht zu einem autonomen Angriffswerkzeug veröffentlicht. Es sucht im Netz nach ungeschützten KI-Servern und benutzt sie auf fremde Rechnung.
SO WURDE DER AGENT ENTDECKT
Symantec stellte im Sommer einen KI-Honeypot auf, also einen Köder, der einen ungeschützten, aus dem Internet erreichbaren KI-Dienst vortäuscht. Dort fiel den Forschern die komplette Anweisungsliste des Agenten in die Hände. Die Werkzeuge des Angreifers liefen auf dem Honeypot nicht. Seit dem Aufbau zählte er mehr als 127.000 externe Anfragen von zehntausenden Adressen — offene KI-Server sind also ein beliebtes Ziel.
WAS DER AGENT KANN
Nach Symantecs Analyse ist der Agent dafür gebaut, bis zu 100.000 Schritte ohne menschliche Freigabe auszuführen. Er scannt nach Zielen, nutzt Schwachstellen in verbreiteten Web-Frameworks aus, sammelt Zugangsdaten, stiehlt Datenbanken, installiert Krypto-Miner und infiziert Rechner erneut, wenn der Miner entfernt wurde. Rund 74 Werkzeug-Definitionen gehören zum Paket, darunter Aufklärung, Credential-Diebstahl und Botnetz-Verwaltung. Ein verschleiertes Skript installiert einen Monero-Miner, versteckt ihn und löscht Logs.
Das Besondere ist der Kern: Ein geliehenes KI-Modell plant und steuert den Angriff. Mit mehrstufigen Anweisungen versucht der Agent, die Sicherheitsregeln kommerzieller Modelle auszuhebeln, und tarnt Diebstahl als normale Entwicklungsarbeit. Laut The Register nennen die Betreiber die Schleife „Skynet mode“.
LLMJACKING: DU ZAHLST, ANDERE PROFITIEREN
Der Agent sucht gezielt nach offenen KI-Endpunkten — selbst gehostete Modelle, KI-Gateways und MCP-Server — und leitet seine Arbeit über deren Zugang oder gestohlene Schlüssel. Dafür gibt es einen Namen: LLMjacking. Die Folgen für dich als Betreiber:
- Rechnung: Die Inferenz-Kosten landen bei dir.
- Tarnung: Der Angreifer versteckt sich hinter deiner Adresse und umgeht Sperren der Anbieter.
- Folgeschäden: Gelingt ein Einbruch über ein Framework, drohen Datenverlust und Krypto-Mining auf deiner Hardware.
ENTWARNUNG UND EINORDNUNG
Symantec fand keine Belege, dass der Agent bereits in echten Angriffen eingesetzt wurde. Die Forscher halten das Paket aber für „mehr als einen Prototyp“, die Testhistorie zeige einen Einsatz gegen ein lebendes Ziel. Neu ist keine der Techniken; gefährlich ist die Kombination, weil sie die nötigen Fähigkeiten für eine breite Angriffswelle senkt. Eine konkrete Gruppe oder Person ordnet Symantec nicht zu.
SO SICHERST DU DEINEN KI-SERVER AB
Symantec nennt in dem Bericht keine eigenen Gegenmaßnahmen, aber die Grundregeln aus dem Homelab-Alltag gelten hier erst recht:
- Nie ohne Anmeldung ins Netz: Ollama, vLLM, LiteLLM und MCP-Server gehören hinter VPN oder Reverse-Proxy mit Authentifizierung.
- Schlüssel rotieren und mit Ausgabenlimit beim Anbieter versehen.
- Auslastung beobachten: Unerklärliche CPU-/GPU-Last oder Token-Verbrauch ist ein Warnsignal.
- Frameworks aktuell halten, weil der Agent bekannte Lücken in Web-Frameworks ausnutzt.