Ein Verkäufer in einem beschränkten Kriminalitätsforum bewirbt ein autonomes Hacking-Werkzeug, das mit gestohlenen API-Keys von OpenAI, Anthropic und Google läuft. Die Kosten der Scans trägt der Inhaber des Schlüssels. Das Threat-Intelligence-Team von Bitsight hat 16 Unterforen von Februar bis August 2026 ausgewertet und einen Anstieg der Nennungen von KI-Agenten, indirekter Prompt-Injection und MCP um 67 Prozent gemessen.

Ein Verkäufer in einem beschränkten Kriminalitätsforum bewirbt ein autonomes Hacking-Werkzeug, das auf gestohlenen API-Keys von OpenAI, Anthropic und Google läuft. Der Käufer fügt die Schlüssel in ein Panel ein, setzt eine Budget-Obergrenze und richtet den Agenten auf eine Zielliste. Der Verkäufer hostet kein eigenes Modell; der Aufbau umgeht das Sicherheitstraining der Anbieter, und die Rechnung landet beim Inhaber des Schlüssels.

Das Werkzeug trägt den Namen MONST3R-AI und wird als Plattform für autonome Penetrationstests angeboten. Der Verkäufer behauptet 1.072 Funde auf 199 gescannten Hosts; die Zahl stammt aus seinem eigenen Dashboard, Bitsight kann sie nicht verifizieren. Bitsight hält selbst einen kleinen zutreffenden Anteil für ausreichend, damit das Werkzeug Wirkung entfaltet, und rechnet damit, dass gestohlene Schlüssel künftig gezielt als Treibstoff für solche Scanner gehandelt werden.

Für die Auswertung hat Bitsight 16 Unterforen zwischen Februar und August 2026 analysiert. In diesem Zeitraum stiegen die Nennungen von KI-Agenten, indirekter Prompt-Injection und dem Model Context Protocol um 67 Prozent. Diskussionen über Jailbreaks, also das Umgehen der Sicherheitsregeln eines Modells, wuchsen um rund drei Viertel. Die Forscher beobachten zudem eine Verlagerung zu offenen Modellen: Nennungen von GLM und DeepSeek zogen deutlich an, weil sich diese Gewichte herunterladen und auf gemieteten Servern betreiben lassen, ohne dass ein Anbieter Anfragen prüft, protokolliert oder Konten sperrt. In chinesisch- und russischsprachigen Foren werden Modelle inzwischen danach sortiert, wie bereitwillig sie Anfragen folgen; manche entfernen das Sicherheitsverhalten selbst, ein Verfahren, das als Abliteration bekannt ist.

Der Zugang ist billig. Ein Reseller namens CloseRouter bewarb offene und kommerzielle Modelle für rund zehn Cent pro Million Token; seine Preisliste für GLM nannte 0,053 US-Dollar pro Million Input-Tokens gegenüber 1,12 US-Dollar über die offizielle API.

Im Vergleich zum übrigen Deliktsvokabular derselben Foren wuchs die KI-Diskussion um 45 Prozent, während Nennungen von Ransomware um 49 Prozent und von Phishing um 8,5 Prozent zurückgingen. Abschaltungen und die Verlagerung in geschlossene Kanäle erklären einen Teil des Rückgangs, ein Teil ist Verschiebung der Aufmerksamkeit. Bei kriminellen Marken-Chatbots wie WormGPT und FraudGPT ging die Zahl um 8,7 Prozent zurück – WormGPT wurde im laufenden Jahr kompromittiert, dabei wurden E-Mail-Adressen, Zahlungsdaten und Abonnementstufen von rund 19.000 Nutzern offengelegt.

Eine zweite Tür öffnet die Kampagne FakeGit, die dem Akteur Water Kurita zugeschrieben wird: rund 7.600 gefälschte GitHub-Repositories verbreiten SmartLoader-Malware, mehr als 800 davon getarnt als KI-Skills oder MCP-Server, darunter ein Nachbau namens „Docker MCP Gateway“, der in öffentlichen KI-Registern indexiert werden sollte. In weiteren Beiträgen zeigte ein Akteur einen Agenten, der mit dem Disassembler IDA Pro einen Pufferüberlauf fand und einen Exploit-Plan entwarf; ein anderer nutzte einen Browser-Automatisierungsagenten, um in ein Unternehmenskonto bei Notion einzudringen.

Aus den Beobachtungen leitet Bitsight konkrete Prüfungen ab: nach offenliegenden KI-Anbieter-Schlüsseln suchen und ein Leck so ernst nehmen wie offenliegende AWS-Zugangsdaten; die Herkunft jedes MCP-Servers und Agenten-Plugins prüfen; lokale Coding-Agenten von sensiblen Verzeichnissen und Shell-Kommandos ohne menschliche Freigabe aussperren; die üblichen Anmelderaten bei Notion, Slack und GitHub erfassen, weil Agenten mit Headless-Browsern in einem anderen Rhythmus arbeiten.

Die Schwachstelle ist damit nicht der Agent, sondern der Schlüssel – und der liegt beim Betreiber.

Autor: Team REN-AI-SSANCE – mit KI-Unterstützung erstellt, von Menschen geprüft und freigegeben.

Quelle: Help Net Security – Originalartikel vom 16.10.2026; Abruf/Archivstand: 18.10.2026