Der Angreifer brauchte eine gekaperte Cloud-Ressource, einen Code-Chatbot, einen Prompt und ein paar Markdown-Dateien.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Sechs Stunden vom Einbruch bis zur laufenden Kampagne

Der Bericht stammt von der Google Threat Intelligence Group, kurz GTIG, und ist am 8. September 2026 erschienen. Er wertet das zweite Quartal 2026 aus. Als Grundlage nennt Google Vorfallsuntersuchungen von Mandiant und die eigene Verfolgung von Angreifergruppen, ergänzt um Erkennungen auf Googles Plattformen. Der Kernfall lief nach dieser Darstellung so ab: Ein Angreifer kompromittierte zuerst eine Cloud-Ressource. Danach übergab er einem KI-Code-Chatbot einen Prompt samt einem Satz Agenten-Anweisungen, als Betriebsanleitung dienten vorgefertigte Anweisungsdateien im Markdown-Format. Auf dieser Grundlage wurde eine Kampagne zum massenhaften Abgreifen von Zugangsdaten geplant, gebaut und ausgeführt, und zwar in weniger als sechs Stunden. Am Ende waren laut GTIG tausende Zugangsdaten Dritter kompromittiert. Den Täter ordnet die Gruppe als mutmaßlich finanziell motiviert ein, einen Namen nennt der Bericht nicht.

Welcher Code-Chatbot im Einsatz war, steht ebenfalls nicht im Bericht.

Aufschlussreich ist, was die Agenten-Anweisungen dem Werkzeug erlaubten. Laut Bericht steuerte die KI die Schwachstellen-Scans selbst und behob Fehler in Echtzeit. Auch die IP-Adressen rotierte sie ohne manuelles Eingreifen. Wer schon einmal einen Scanner von Hand nachjustiert hat, weiß, wie viel Zeit allein dieser Teil sonst kostet. Genau diese Arbeit hat der Angreifer an das Modell abgegeben.

Ein offener Server mit 23.800 Geheimnissen

Der zweite Fund trägt den Namen „Recon“. GTIG entdeckte einen offen erreichbaren Steuerungsserver mit einem automatisierten Werkzeug für Aufklärung und Zugangsdaten. In der Verzeichnisliste lagen Konfigurationsdateien für Agenten, darunter Dateien mit den Namen AGENTS.md, KNOWLEDGE.md und agentic_vuln_research.md sowie Verzeichnisse wie .openclaw/ und memory/. Kurz nach der Entdeckung wurde daraus eine laufende Web-Oberfläche, die laut Bericht über 23.800 abgegriffene Geheimnisse in Echtzeit verwaltete und prüfte, darunter API-Schlüssel für Cloud- und KI-Dienste.

GTIG nennt das den Übergang von passiven Infostealern zu „offensivem agentischem Abgreifen“.

Der Unterschied steckt im Wort „passiv“. Ein Werkzeug, das nur einsammelt, ist auf das angewiesen, was ihm begegnet. Recon verwaltete und prüfte die Beute laut Bericht fortlaufend. Aus einer Halde wird damit ein Lager mit Inventar.

Spionagegruppen bringen eigene Modelle mit

Neben dem finanziell motivierten Fall beschreibt der Bericht Spionage. Eine chinesische Gruppe, die GTIG unter der Bezeichnung UNC6508 führt, greift laut Bericht Forschungseinrichtungen in Nordamerika an. Die Gruppe betreibt in kompromittierten Cloud-Umgebungen eigene lokale Modelle mit offenen Gewichten. Damit umgeht sie die Überwachung kommerzieller KI-Schnittstellen und nutzt nebenbei die Rechenleistung der Opfer. Eine weitere chinesische Gruppe versuchte laut GTIG, mit Gemini ein automatisiertes Werkzeug für Eindringtests zu entwerfen, das Ports scannt und Dienste erkennt.

Wer die Schnittstelle des Anbieters umgeht, entzieht sich auch dessen Aufsicht.

Was GTIG ausdrücklich nicht gesehen hat

Der Bericht enthält einen Satz, der die Überschrift dieses Artikels einordnet. GTIG hat nach eigener Aussage noch keine vollständig autonomen Angriffsketten gegen Ziele in freier Wildbahn beobachtet. Auch der Sechs-Stunden-Fall lief mit einem Menschen, der die Kette anstieß und die Anweisungen vorgab. Das Modell hat ausgeführt und nachjustiert, die Entscheidung zum Angriff kam von einer Person. Wer die Meldung ohne diese Einschränkung liest, liest sie dramatischer, als der Bericht sie meint.

Für Entwickler und für jeden Betrieb, der Agenten-Werkzeuge einsetzt, nennt der Bericht konkrete Angriffsflächen: versteckte Konfigurationsverzeichnisse von KI-Werkzeugen wie .claude/, .cursor/ oder .vscode/, MCP-Server aus fremden Quellen und Prompt-Injection in Konfigurationsdateien. Alle liegen dort, wo im Alltag selten jemand hinsieht.

Die Richtung deckt sich mit der Warnung von sechs westlichen Sicherheitsbehörden, die KI-gestützte Angriffe als Frage von Monaten einordnet. Der GTIG-Bericht liefert dazu Fälle aus dem zweiten Quartal 2026.

Unsere Einschätzung

Die Zahl, die hängen bleibt, sind nicht die sechs Stunden, sondern die 23.800 Geheimnisse auf einem einzigen Server, darunter Schlüssel für Cloud- und KI-Dienste. Solche Schlüssel liegen in kleinen Betrieben in Skripten, in Konfigurationsdateien, in geteilten Notizen und in der Git-Historie. Ein Angreifer, dessen Agent den ganzen Tag scannt, findet sie schneller, als der Inhaber sie vergessen hat.

Was sich daraus für einen Betrieb ergibt, ist keine neue Technik. API-Schlüssel bekommen ein Ablaufdatum und den kleinsten Rechteumfang, der für die Aufgabe reicht. In Repositories haben sie nichts verloren, auch in privaten nicht. Und einmal im Quartal gehört die Frage auf den Tisch, welche Schlüssel überhaupt noch gebraucht werden. In der Praxis bleibt genau diese Frage am längsten unbeantwortet, weil niemand eine Liste führt.

Bemerkenswert ist außerdem, dass die Angreifer dieselben Dateikonventionen verwenden wie legale Agenten-Werkzeuge, AGENTS.md und memory-Verzeichnisse. Die Werkzeuge sind dieselben, nur die Aufgabe ist eine andere. Wer im Betrieb einen Agenten einsetzt, sollte deshalb wissen, welche Dateien ihn steuern und wer sie ändern darf.

GTIGs eigene Einschränkung gilt dabei weiter: Noch sitzt ein Mensch am Anfang jeder Kette. Der Rest der Kette ist inzwischen schnell.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 9. September 2026):

Häufige Fragen

Was hat die Google Threat Intelligence Group am 8. September 2026 veröffentlicht?

Den Bericht „GTIG AI Threat Tracker: From Prompting to Autonomy“ zum zweiten Quartal 2026. Er stützt sich laut Google auf Vorfallsuntersuchungen von Mandiant, die Verfolgung von Angreifergruppen und Erkennungen auf Googles eigenen Plattformen. Kernfall ist ein mutmaßlich finanziell motivierter Angreifer, der mit einem KI-Code-Chatbot und Agenten-Anweisungen in weniger als sechs Stunden tausende Zugangsdaten Dritter abgriff.

Was ist das Werkzeug „Recon“ aus dem GTIG-Bericht?

Ein automatisiertes Aufklärungs- und Zugangsdaten-Werkzeug auf einem offen erreichbaren Steuerungsserver. In der Verzeichnisliste lagen Konfigurationsdateien für Agenten, darunter AGENTS.md und KNOWLEDGE.md. Kurz nach der Entdeckung verwaltete und prüfte eine Web-Oberfläche dort laut GTIG über 23.800 abgegriffene Geheimnisse in Echtzeit, darunter API-Schlüssel für Cloud- und KI-Dienste.

Hat Google vollständig autonome KI-Angriffe beobachtet?

Nein. GTIG schreibt nach eigener Aussage, dass sie noch keine vollständig autonomen Angriffsketten gegen Ziele in freier Wildbahn beobachtet hat. Auch im Sechs-Stunden-Fall stieß ein Mensch die Kette an und gab die Anweisungen vor. Die KI steuerte laut Bericht die Schwachstellen-Scans selbst, behob Fehler in Echtzeit und rotierte IP-Adressen ohne manuelles Eingreifen.

Was sollte ein Betrieb nach diesem Bericht bei API-Schlüsseln regeln?

API-Schlüssel sollten ein Ablaufdatum und den kleinsten nötigen Rechteumfang bekommen und weder in Repositories noch in Skripten oder geteilten Notizen liegen. Einmal im Quartal lohnt die Frage, welche Schlüssel überhaupt noch gebraucht werden. Wer Agenten-Werkzeuge einsetzt, sollte außerdem wissen, welche Konfigurationsdateien sie steuern und wer diese Dateien ändern darf.

Wer im Betrieb weiß, welche API-Schlüssel gerade gültig sind und wo sie liegen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 9. September 2026. Stand der Recherche: 9. September 2026.