Forschende von Symantec berichten, sie hätten einen offensiven KI-Agenten entdeckt, der exponierte Sprachmodelle übernehmen und für die Koordination von Cyberangriffen nutzen sollte. Die Betreiber des Agenten nannten seinen Langzeitmodus „Skynet mode“: Der Prompt erlaubte bis zu 100.000 Schritte ohne menschliche Bestätigung.
Der Plan sah vor, ein Modell nach weiteren exponierten KI-Diensten suchen, verwundbare Server ausnutzen, Datenbanken und Zugangsdaten stehlen und Software zum Schürfen von Kryptowährungen installieren zu lassen. Würde ein kostenpflichtiges KI-Konto missbraucht, könnte dessen Inhaber außerdem auf den Nutzungskosten des Modells sitzen bleiben, so Symantec.
Ein Prompt, der Ablehnungen umgehen sollte
Die Angreifer schickten ihren vollständigen Prompt an einen Symantec-Honeypot – ein Täuschungssystem, das einen exponierten KI-Dienst nachahmt. Er enthielt fünf Ebenen, die ein kommerzielles Modell zur Ausführung bringen sollten: eine erfundene Identität, die Anweisung, den Diebstahl von Zugangsdaten als normale Entwicklerarbeit zu behandeln, eine fiktive Begleitfigur und die Aufforderung, Sicherheitswarnungen zu ignorieren. Die fünfte Ebene umfasste 74 Module mit Angriffstools.
Der Prompt beschrieb einen wiederkehrenden Ablauf aus dem Scannen und Infizieren von Servern, der Installation eines Krypto-Miners und der Rückkehr zu zuvor angegriffenen Systemen. Symantec zeichnete außerdem einen separaten verschleierten Befehl auf, der XMRig – ein Mining-Tool für Monero – herunterladen und über go2rtc auf Kameraserver zielen sollte.
Was der Honeypot zeigte – und was nicht
Das Täuschungssystem führte weder die gebündelten Tools noch den späteren Befehl aus, sondern zeichnete sie lediglich auf. Symantec zufolge war die erfasste Aufgabe eine harmlose Programmierübung. Das deutet darauf hin, dass die Betreiber den Agenten möglicherweise an einem sicheren Ziel testeten. Die Analyse belegt weder, dass der mehrschichtige Prompt die Schutzmaßnahmen aktueller kommerzieller Modelle zuverlässig umgehen kann, noch, dass der aufgezeichnete Agent einen Angriff abgeschlossen hat.
Warum es wichtig ist
Organisationen, deren KI-Dienste über das Internet erreichbar sind, haben einen konkreten Grund, diese Endpunkte abzusichern: Symantec zeichnete Scans und Versuche auf, exponierte Modelle zu nutzen, und weist darauf hin, dass der Modellinhaber für die unbefugte Nutzung zahlen könnte. Der Honeypot fing jedoch nur das Angriffsmaterial ab. Ob dieser Agent kommerzielle Modelle dazu bringen kann, den gesamten Plan auszuführen, ist weiterhin unklar.
