← Blog · Skillkontor prüft
23. Oktober 2026
Die US-Sicherheitsfirma Symantec betreibt im Netz Fallen, also absichtlich offen stehende Systeme, die Angreifer anlocken sollen. In eine davon ist die komplette Arbeitsanweisung eines Angriffs-Agenten geraten. Ein Agent ist hier ein KI-Programm, das selbstständig Schritt für Schritt arbeitet. Dieser sucht nach KI-Modellen, die ihre Besitzer ohne Schutz ins Netz gestellt haben, und lässt sie für sich arbeiten. Symantec nennt das „LLMjacking“, frei übersetzt: das Kapern von Sprachmodellen.
Aufschlussreich ist, wie die Anweisung das fremde Modell überredet. Sie redet ihm ein, das Auslesen von Passwortdateien und Schlüsseln sei ganz normale Entwicklerarbeit. Mitgeliefert werden laut Symantec rund 74 Angriffswerkzeuge und ein sogenannter „Skynet-Modus“ mit bis zu 100.000 Schritten ohne jede Rückfrage. Die Rechenzeit dafür bezahlt nicht der Angreifer, sondern der Besitzer des gekaperten Modells.
Zur Einordnung: Die Falle hat nichts ausgeführt. Es ist also nicht belegt, dass dieser Agent irgendwo Schaden angerichtet hat. Wir sprechen von einem abgefangenen Bauplan, nicht von einer Angriffswelle. Wer dahintersteckt, ist unbekannt. Dass eine mitgeschickte Übungsaufgabe ein Testlauf der Täter war, vermutet Symantec, belegt ist es nicht.
Warum uns das bei Skillkontor beschäftigt: Der Bauplan setzt genau an den Stellen an, nach denen wir bei jedem Skill fragen. Ein Schlüssel, der offen im Code steht, ist für so einen Agenten eine Einladung, und wo vor heiklen Schritten niemand freigibt, läuft er einfach weiter. Deshalb gehört bei uns kein Schlüssel in einen Skill.
Symantecs Rat deckt sich mit unserem Prüfkatalog: Schlüssel gehören nie in den Code, Agenten bekommen nur die Rechte, die sie wirklich brauchen, und vor heiklen Schritten gibt eine Person frei. Unser Rat dazu: Wer selbst ein Sprachmodell auf einem eigenen Server betreibt, sollte nachsehen, ob es von außen ohne Passwort erreichbar ist.