Der Quartalsbericht der Google Threat Intelligence Group für das zweite Quartal 2026 beschreibt den Übergang von einzelnen Sprachmodell-Aufrufen zu agentischen Workflows bei Cyberangriffen. In einem von Mandiant untersuchten Fall führte ein finanziell motivierter Akteur mit einem autonomen Multi-Agenten-Framework in weniger als sechs Stunden eine Kampagne zum Abgreifen von Zugangsdaten aus. Google betont zugleich, vollständig autonome Angriffspipelines gegen echte Ziele bislang nicht beobachtet zu haben.

Der Bericht, über den das Fachportal Computing berichtet, beschreibt eine Verschiebung in der Arbeitsweise von Angreifern: weg von der Nutzung von Sprachmodellen für Texte und Code, hin zu Agenten-Workflows, wie sie auch legitime Unternehmen einsetzen.

Mandiant beobachtete einen finanziell motivierten Akteur, der in die Cloud-Umgebung eines Unternehmens eindrang und dort ein autonomes Multi-Agenten-Framework aufsetzte. Mit einem KI-Coding-Chatbot und einer Reihe von Anweisungen plante, baute und führte der Angreifer in weniger als sechs Stunden eine massenhafte Kampagne zum Abgreifen von Zugangsdaten aus. Die Agenten übernahmen Schwachstellen-Scans, Fehlersuche und die Rotation von IP-Adressen ohne Eingriff eines Menschen.

Ein zweiter Schwerpunkt liegt auf der Software-Lieferkette. Die Gruppe UNC6780, auch als TeamPCP bekannt, greift nach Angaben von Google seit März 2026 Ökosysteme wie PyPI, npm und Docker Hub an: Sie übernimmt Entwicklerkonten, schleust bösartigen Code in Open-Source-Projekte ein und versucht, KI-gestützte Entwicklungswerkzeuge auszunutzen. In einigen Fällen wurden präparierte Dateien in Projektordnern abgelegt, um Coding-Assistenten dazu zu bringen, fremde Skripte ohne Wissen der Entwickler auszuführen. Weitere Techniken zielten darauf, KI-basierte Sicherheitsscans zu umgehen.

Zunehmend sind KI-Assets selbst das Ziel. Google verzeichnet wachsende Bemühungen, proprietäre Modelle, Quellcode, Prompts und Forschungsdaten zu entwenden. Betroffen waren Unternehmen aus dem Gesundheitswesen, den Medien, der Verwaltung und dem verteidigungsnahen Bereich. In einem von Mandiant untersuchten Fall stahlen Angreifer die KI-Forschung und ein proprietäres Modell eines Gesundheitsunternehmens zusammen mit Unternehmens- und Arzneimittelentwicklungsdaten und drohten mit einer Veröffentlichung, falls kein Lösegeld gezahlt würde. Vergleichbare Vorfälle gab es laut Google bei Technologie-, Pharma- und Medienunternehmen in Nordamerika und Europa.

Auch der Zugang zu KI-Diensten und Rechenressourcen wird gehandelt. Die Nachfrage nach gestohlenen Konten für Plattformen wie Gemini und Claude ist in Kriminalitätsforen gestiegen; die Preise für kompromittierte Konten haben sich 2026 mehr als verdoppelt. Unter dem Begriff „LLMjacking“ beschreibt der Bericht Fälle, in denen Angreifer über ein exponiertes GitHub-Token in eine Cloud-Umgebung gelangten, dort KI-Dienste aktivierten, leistungsfähige Rechenressourcen bereitstellten und Quoten erhöhten, um diese Workloads zu betreiben.

Google schränkt die Reichweite der Beobachtungen selbst ein. Der Bericht räumt die intensive Berichterstattung über Modelle von Anthropic und OpenAI ein, die aus ihren Sandboxen ausbrechen, und die daraus folgenden Sorgen über eine schnellere Waffenisierung von Exploits. Zugleich heißt es dort: „While recent model security incident disclosures demonstrate that frontier models can autonomously identify zero-days and execute network intrusions, GTIG has not yet observed threat actors deploying fully autonomous pipelines against targets in the wild.“ Die Formulierung „noch nicht beobachtet“ lässt Interpretationsspielraum; der Computing-Artikel merkt an, dass ein Teil der Erzählung über außer Kontrolle geratene Agenten überzogen sein könnte.

Für Handwerksbetriebe und KMU ergeben sich daraus vor allem Fragen der Berechtigungen und der Lieferkette. Aus dem Bericht lassen sich mehrere technische Konsequenzen ableiten:

• Agenten erhalten nur die Rechte, die sie für ihre Aufgabe benötigen, keine administrativen Tokens.
• Schreibende Aktionen benötigen eine Freigabe durch einen Menschen.
• Die Herkunft von Paketen wird geprüft: Lockfile, feste Versionen und die Frage, wer das Projekt pflegt.
• Exponierte Tokens werden wie im Klartext hinterlegte Passwörter behandelt.

Hinzu kommt die Zuständigkeit im Betrieb: Wer Agenten laufen lässt, muss klären, wer sie überwacht und wer für ihre Aktionen haftet. Für betroffene Unternehmen verlangt die NIS-2-Richtlinie ohnehin ein geregeltes Management von Lieferkettenrisiken.

Autor: Team REN-AI-SSANCE – mit KI-Unterstützung erstellt, von Menschen geprüft und freigegeben.

Quelle: Computing – Abruf/Archivstand: 19.10.2026