← Blog · Skillkontor prüft
Ein leerer Wert, ein Agent ohne Bremse und eine Rechnung über rund 50.000 Dollar
Bild ist KI-generiert (Piet, unser Maskottchen).
20. September 2026
Ein Buchhaltungs-Agent durfte in die Abrechnungsdatenbank schreiben. Dann stolperte er über einen kaputten, leeren Wert, der sein Formatierungswerkzeug aus dem Tritt brachte. Statt aufzugeben, probierte er sich in einer Endlosschleife durch. Laut der US-Sicherheitsfirma Mandiant schickte er in unter einer Stunde über 15.000 teure Modellaufrufe los. Übrig blieben eine Cloud-Rechnung von rund 50.000 Dollar und eine gesperrte Datenbank, in der laufende Geschäftsvorgänge stehen blieben.
Der Fall steht als Fallstudie 6 im AI Risk and Resilience Report 2026, den Mandiant und die Google Threat Intelligence Group im September 2026 veröffentlicht haben. Der Bericht beschreibt acht Fälle, die laut Einleitung von Mandiant beobachtet wurden. Dieser trägt den Titel Denial-of-Wallet und spielt damit auf Denial of Service an, nur dass hier nicht ein Dienst lahmgelegt wird, sondern das Konto leerläuft.
Wichtig ist, was hier fehlt: kein Angreifer und kein böser Skill. Ein einziger kaputter Wert hat gereicht, und weil nichts die Schleife begrenzte, lief der Agent weiter, bis die Rechnung da war. Firma, Modell und Zeitraum nennt der Bericht nicht, die Fälle sind anonymisiert. Wir können also nur wiedergeben, was Mandiant schreibt, und es ist Herstellerarbeit von Google und Mandiant, keine unabhängige Untersuchung.
Für uns bei Skillkontor ist das der Punkt, den die Packung selten verrät. Ein Skill kann einen Agenten losschicken, der schreibt und rechnet, und die Frage ist nicht nur, was er darf, sondern auch, wann er aufhört. Darum schauen wir bei einem Skill darauf, was er anstößt, und nicht nur darauf, was er verspricht.
Derselbe Bericht nennt zwei weitere Fälle, die unser Regal betreffen: den Missbrauch von Hooks eines KI-Assistenten, um fremden Code auszuführen, und Skills für ein fremdes Agentenprogramm, die als hilfreiche Automatisierung getarnt Schadsoftware verteilten. Technische Einzelheiten lassen wir bewusst weg. Der Kernsatz des Berichts lautet sinngemäß: Eine einzige vergiftete Datenquelle, Abhängigkeit oder Erweiterung kann aus einem vertrauten Agenten einen unbefugten Kanal machen.
Der Bericht bleibt dabei nüchtern und empfiehlt unter anderem Identitätskontrollen und die Überwachung des Verhaltens. Unser eigener, ganz praktischer Tipp für alle, die mit Agenten arbeiten: beim Anbieter ein Kostenlimit setzen und nachsehen, wie viele Aufrufe ein Skill anstößt, bevor man ihn dauerhaft laufen lässt.