Ein Sicherheitsprogramm kann sehr gut darin sein, einzelne Alarme zu bearbeiten, und trotzdem an Geschwindigkeit verlieren. Genau das ist das Praxisproblem hinter dem neuen AI Threat Tracker der Google Threat Intelligence Group (GTIG). Angreifer nutzen KI nicht mehr nur, um Phishing-Texte zu formulieren oder Exploit-Code schneller zu schreiben. Sie beginnen, ganze Teilstrecken einer Angriffskette an Agenten-Workflows zu delegieren: Schwachstellen suchen, Fehler beim Scannen beheben, IP-Adressen wechseln, gefundene Zugangsdaten sortieren und die nächste Aktion vorbereiten.
Für Unternehmen ist das keine abstrakte Zukunftsfrage. GTIG beschreibt einen Q2-2026-Fall, in dem ein finanziell motivierter Akteur zunächst eine Cloud-Ressource kompromittierte und danach mit einem AI-Coding-Chatbot, einem Prompt und vorbereiteten Agenten-Anweisungen eine Massenkampagne zum Credential-Harvesting in weniger als sechs Stunden plante, baute und ausführte. Help Net Security, BleepingComputer und The Hacker News berichteten ebenfalls über die Veröffentlichung. Die wichtigste Botschaft lautet nicht: „KI hackt jetzt allein.“ Die Botschaft lautet: Die Reaktionszeit schrumpft, wenn menschliche Operatoren die repetitiven und fehleranfälligen Schritte an Agenten abgeben.
Was technisch passiert ist
Laut Google bestand der beobachtete Angriff nicht aus einem magischen autonomen Supermodell. Der Angreifer hatte bereits Zugriff auf eine Cloud-Umgebung. Diese Umgebung wurde anschließend als Ausgangspunkt für die Kampagne genutzt. Das ist operativ relevant, weil der Datenverkehr dadurch aus legitimen IP-Bereichen des Opfers kam und nicht zwangsläufig wie klassischer Angriffstraffic aus fremden Netzen aussah.
Die Agenten-Anweisungen dienten als operationalisierte Playbooks. GTIG nennt ausdrücklich Funktionen wie automatisiertes Vulnerability Scanning, Credential Harvesting, Echtzeit-Troubleshooting und IP-Rotation ohne manuelle Nachsteuerung. In einem traditionellen Angriff müsste ein Operator Scanfehler lesen, Optionen anpassen, Netzwerkprobleme umgehen, Ergebnisse sortieren und den nächsten Schritt starten. In dem beschriebenen Fall wurden diese Schleifen weitgehend maschinell geschlossen. Das reduziert nicht jede Eintrittshürde, aber es reduziert Wartezeit und Bedienaufwand.
Noch deutlicher wird der Trend beim von GTIG beschriebenen Framework „Recon“. Ein offen erreichbarer Command-and-Control-Server enthielt laut Google agentische Konfigurations- und Wissensdateien wie AGENTS.md, KNOWLEDGE.md und agentic_vuln_research.md, außerdem Verzeichnisse wie .openclaw/ und memory/. Kurz nach der Entdeckung sei daraus ein produktives Dashboard geworden, das mehr als 23.800 geerntete Secrets in Echtzeit organisieren, validieren und verwalten sollte, darunter API-Schlüssel für Cloud- und KI-Dienste. Diese Zahl sollte man nicht als allgemeine Marktschätzung lesen, sondern als konkretes Artefakt aus einem beobachteten Fall. Sie zeigt aber, wie stark sich Credential-Diebstahl in Richtung „Betriebssystem für Angriffe“ entwickelt.
Der Kontext: KI-Assets werden selbst Beute
Der Report ordnet die Fälle in mehrere Entwicklungen ein. Angreifer zielen nicht nur auf klassische Zugangsdaten, sondern auch auf proprietäre Modelle, Quellcode, Prompts, Evaluationsdaten und Forschungsergebnisse. Google beobachtete Aktivitäten gegen Sektoren wie Gesundheitswesen, Regierung und Medien. Dazu kommt ein ökonomischer Faktor: Hochwertige Modellzugänge und GPU- oder Cloud-Kapazität kosten Geld. Wer API-Keys, Cloud-Quotas oder interne Modellzugänge stiehlt, kann damit experimentieren, automatisieren oder Rechenleistung monetarisieren.
Das passt zu anderen Vorfällen der letzten Monate. In Supply-Chain-Angriffen standen CI/CD-Secrets, Modellanbieter-Keys und Entwicklerumgebungen bereits im Fokus. Neu ist die Kombination aus Ziel und Werkzeug: Angreifer stehlen nicht nur Zugang zu KI-Infrastruktur, sondern verwenden KI-Workflows, um diesen Diebstahl schneller und robuster zu betreiben. GTIG beschreibt außerdem Akteure, die Open-Weight-Modelle auf kompromittierter Infrastruktur betreiben, um kommerzielle API-Überwachung zu umgehen. Auch das ist weniger Science-Fiction als Betriebsökonomie: lokale Modelle sind schwieriger zentral zu sperren, kompromittierte Cloud-Ressourcen liefern die nötige Rechenleistung.
Wichtig ist die Einschränkung: Google schreibt ausdrücklich, man habe noch keine breit eingesetzten vollständig autonomen Angriffspipelines beobachtet, die selbstständig Zero-Days finden und reale Ziele ohne menschliche Steuerung kompromittieren. Der aktuelle Stand ist eher eine Reifung der Arbeitsteilung. Menschen setzen Ziele, wählen Infrastruktur und starten Kampagnen; Agenten übernehmen mehr Zwischenentscheidungen, Fehlersuche und Skalierung.
Was Unternehmen daraus lernen sollten
Erstens müssen Cloud- und KI-Secrets als ein gemeinsamer Risikobereich behandelt werden. In vielen Organisationen liegen Modellanbieter-Keys, GitHub-Tokens, Paketregistry-Zugänge, Cloud-Rollen und interne API-Schlüssel in denselben Entwickler- oder Automatisierungsumgebungen. Wenn ein Angreifer einen Agenten-Workflow dort laufen lassen kann, ist die Frage nicht nur, ob ein einzelner Key kompromittiert wurde. Entscheidend ist, welche weiteren Systeme dieser Key erreichen, welche Quotas er verbrauchen und welche Daten er auslesen kann.
Zweitens braucht Credential-Monitoring kürzere Taktzeiten. Ein Angriff, der in weniger als sechs Stunden eine lauffähige Harvesting-Kampagne aufsetzt, passt schlecht zu täglichen Reports und wöchentlichen Review-Runden. Unternehmen sollten ungewöhnliche Secret-Nutzung, neue Token-Erstellungen, API-Key-Validierungen, massenhafte Authentifizierungsversuche, hohe Modellnutzung und Cloud-Ressourcen mit kurzfristigen Schwellen überwachen. Kostenalarme sind dabei ein Sicherheitsinstrument, nicht nur Finanzkontrolle.
Drittens gehört Agenten-Infrastruktur ins Asset-Inventar. Wer produktive oder halboffizielle Agenten betreibt, sollte wissen: Welche Agenten haben Tool-Zugriff? Welche Konfigurationsdateien steuern ihr Verhalten? Gibt es persistente Speicher, Playbooks oder Wissensdateien? Welche Shell-, Browser-, MCP-, CI/CD- oder Cloud-Rechte hängen daran? Ein AGENTS.md ist in solchen Umgebungen nicht nur Dokumentation, sondern potenziell Teil der Ausführungslogik.
Viertens sollten Unternehmen ihre Detektion auf „legitime Infrastruktur mit illegitimem Zweck“ ausrichten. Wenn Angreifer von kompromittierten Cloud-Umgebungen aus scannen, sieht die Quell-IP zunächst vertrauenswürdiger aus. Hilfreich sind daher Verhaltensindikatoren: ungewöhnliche Sequenzen aus Discovery, Secret-Zugriff, Validierungsaufrufen, IP-Rotation, C2-Kommunikation, neuen Cronjobs, Token-Minting und massenhaften Fehlermeldungen. Einzelne Events wirken oft harmlos; die Kette ist das Signal.
Fünftens muss die Nutzung von KI in der Verteidigung prompt-injection-resistent werden. GTIG und andere Berichte beschreiben, dass Angreifer auch LLM-basierte Scanner und Analysten-Workflows zu beeinflussen versuchen. Sicherheitsdaten, Malware-Kommentare, Repository-Inhalte und Tickets sind untrusted input. Sie dürfen ein Analysemodell nicht dazu bringen, die Untersuchung abzubrechen, gefährliche Inhalte zu ignorieren oder Anweisungen als Systemregel zu behandeln. Daten und Instruktionen brauchen eine harte Trennung.
Risiken und Grenzen der Einordnung
Der Report stammt von Google und basiert auf Mandiant-Incident-Response, Threat-Actor-Tracking und Plattformtelemetrie. Das ist belastbar, aber nicht vollständig unabhängig vom Anbieterinteresse. Zudem bleiben Opfer, genaue Toolketten und viele technische Details aus guten Gründen ungenannt. Die Zahlen wie „unter sechs Stunden“ und „mehr als 23.800 Secrets“ sind Fallbefunde, keine universelle Prognose für jedes Unternehmen.
Auch sollte man aus dem Report kein Argument für pauschale KI-Verbote ableiten. Viele der beschriebenen Risiken entstehen nicht durch das Modell allein, sondern durch zu breite Rechte, schwache Isolation, fehlende Kosten- und Nutzungsgrenzen, langlebige Credentials und unklare Betriebsverantwortung. Genau dort liegen die kontrollierbaren Maßnahmen.
Fazit
Der neue GTIG-Report markiert einen praktischen Wendepunkt: Agentische Angriffe müssen nicht vollständig autonom sein, um Verteidiger unter Druck zu setzen. Es reicht, wenn Agenten die langsamen Schleifen eines Angriffs beschleunigen. Für Unternehmen bedeutet das: Secrets, Cloud-Quotas, KI-Zugänge und Agenten-Workflows gehören zusammen in ein Sicherheitsmodell. Wer Credentials kurzlebig hält, Agentenrechte begrenzt, ungewöhnliche Nutzung schnell erkennt und Analyse-Workflows gegen feindliche Eingaben härtet, reduziert den entscheidenden Vorteil der Angreifer: Geschwindigkeit.
Quellen: Google Cloud Threat Intelligence, „GTIG AI Threat Tracker: From Prompting to Autonomy“, 9. September 2026; Help Net Security, „Threat actors are giving AI agents a bigger role in cyberattacks“, 8. September 2026; BleepingComputer, „Hackers build AI frameworks for widescale credential theft“, 8. September 2026; The Hacker News, „Autonomous AI Agents Compromise Thousands of Credentials in Under Six Hours“, 9. September 2026.
