Proprietäre KI wird zum Ziel für Erpresser
Unternehmenseigene KI-Modelle, Forschungsdaten und Trainingspipelines entwickeln sich zu attraktiven Zielen für Cyberkriminelle. Google Threat Intelligence und Mandiant warnen vor Erpressergruppen, die solche Werte gezielt entwenden und anschließend mit deren Veröffentlichung drohen.
Im zweiten Quartal 2026 untersuchte Mandiant mehrere Angriffe auf Unternehmen aus Technologie, Gesundheitswesen, Pharma sowie Medien und Unterhaltung. Betroffen waren Organisationen in Nordamerika und Europa. Die Namen der angegriffenen Unternehmen wurden nicht veröffentlicht.
KI-Systeme seien zu wertvollen Zielen geworden, in die Unternehmen erhebliche Summen investieren. Weil niemand das eigene geistige Eigentum öffentlich sehen wolle, steige die Bereitschaft, auf Erpressungsforderungen einzugehen, erklärte John Hultquist von Google Threat Intelligence sinngemäß.
Modelle, Arzneimittelforschung und Zugangsdaten gestohlen
Bei einem Unternehmen aus dem Gesundheits- oder Pharmabereich erbeuteten die Angreifer interne Unternehmensdaten und Informationen aus der Arzneimittelforschung. Zum gestohlenen Bestand gehörten auch KI-Forschung und ein proprietäres Modell. Anschließend drohten die Täter mit der Veröffentlichung.
In einem weiteren Fall traf es einen Anbieter für KI-basierte Mediengenerierung. Dort wurden Quellcode, Prompts, hinterlegte Fähigkeiten, Modell-Skripte und Secrets entwendet. Secrets sind vertrauliche Zugangsinformationen wie API-Schlüssel, Tokens oder Passwörter.
| Bereich | Entwendete Werte | Mögliches Geschäftsrisiko |
|---|---|---|
| Gesundheit und Pharma | Unternehmensdaten, Arzneimittelforschung, KI-Forschung, proprietäres Modell | Verlust von Forschungsvorsprung und geistigem Eigentum |
| KI-Mediengenerierung | Quellcode, Prompts, Fähigkeiten, Modell-Skripte, Secrets | Nachbau interner Systeme und Zugriff auf weitere Dienste |
| Software-Lieferkette | Cloud- und KI-Zugangsdaten, proprietäre KI-Repositories | Ausweitung des Angriffs auf Entwicklung und Betrieb |
Zu den geforderten oder möglicherweise gezahlten Lösegeldsummen liegen keine Angaben vor. Klar ist jedoch, dass klassische Backups gegen diese Form der Erpressung nur begrenzt helfen. Das Druckmittel ist nicht der Ausfall eines Systems, sondern die Veröffentlichung oder Weitergabe vertraulicher Daten.
TeamPCP greift die Software-Lieferkette an
Eine zentrale Rolle spielt die als UNC6780 erfasste Gruppe TeamPCP. Sie führt seit März 2026 großangelegte Supply-Chain-Angriffe gegen PyPI, npm und Docker Hub durch. Bei solchen Angriffen wird nicht nur das eigentliche Zielsystem attackiert, sondern eine vorgelagerte Softwarequelle oder Abhängigkeit manipuliert.
Nach der Kompromittierung von Paketen und Registrierungen platziert die Gruppe Schadsoftware, die Zugangsdaten für Cloud- und KI-Systeme abgreift. In einem untersuchten Fall wurde ein bösartiger GitHub-Actions-Workflow in einem proprietären KI-Repository angelegt. Darüber konnten die Angreifer eine Kopie des Repositorys entwenden.
Die Entwicklung passt zu anderen Angriffen, bei denen Coding-Agenten Fremdcode aus vermeintlich vertrauenswürdigen Quellen installieren. Auch der LiteLLM-Angriff im Umfeld von TeamPCP zeigt, wie relevant Entwicklungswerkzeuge und Paketquellen inzwischen als Einfallstor sind.
Autonome Agenten beschleunigen Cloud-Angriffe
Neben dem Diebstahl von KI-Werten verändert sich auch die Durchführung der Angriffe. Mandiant beobachtete einen Vorfall, bei dem ein autonomes Multi-Agenten-System eine Cloud-Infrastruktur in weniger als sechs Stunden kompromittierte und Zugangsdaten sammelte.
Die Agenten suchten selbstständig nach Schwachstellen, lösten auftretende Probleme in Echtzeit und wechselten automatisiert ihre IP-Adressen. Ein unmittelbarer menschlicher Eingriff war während dieser Schritte nicht erforderlich.
Es sei wie automatisiertes Scannen, nur mit eigenständiger Entscheidungsfähigkeit, beschrieb Hultquist den Vorgang sinngemäß. Bei vollständig autonomen Angriffen befinde man sich unmittelbar an der Schwelle.
Die Geschwindigkeit deckt sich mit weiteren Beobachtungen zu KI-Agenten, die Firmennetze innerhalb weniger Stunden kompromittieren. Für Sicherheitsteams verkürzt sich damit die Zeit zwischen dem ersten Zugriff und dem Abfluss geschäftskritischer Daten erheblich.
Google beobachtete außerdem eine mutmaßlich mit China verbundene Spionagegruppe, die Gemini zur Entwicklung eines dynamischen Penetration-Testing-Frameworks nutzte. Das System konnte Aktionen planen, Aufgaben ausführen und seine Vorgehensweise an unvorhersehbare Situationen anpassen. Google deaktivierte die zugehörigen Ressourcen.
Eigene KI schafft Werte und neue Angriffsflächen
Für Unternehmen im DACH-Raum ist die Warnung besonders relevant. Pharma, Biotechnologie, Industrie und spezialisierte Softwareanbieter investieren häufig über Jahre in Forschungsdaten, feinabgestimmte Modelle, Prompts und automatisierte Workflows. Diese Bestandteile können inzwischen genauso geschäftskritisch sein wie Quellcode oder Konstruktionsdaten.
Eigene KI-Lösungen und selbst gehostete Open-Source-Modelle reduzieren die Abhängigkeit von externen Abos und Plattformanbietern. Gleichzeitig verlagert sich die Sicherheitsverantwortung in das Unternehmen. Modell-Repositories, Trainingspipelines, Paketquellen und Automatisierungsdienste müssen deshalb wie zentrale Produktionssysteme behandelt werden.
Besondere Aufmerksamkeit benötigen GitHub Actions, PyPI, npm und Docker Hub. Zugriffsrechte sollten eng begrenzt, Secrets getrennt verwaltet und Änderungen an Build- sowie Deployment-Workflows kontrolliert werden. Ebenso wichtig ist eine Protokollierung, die ungewöhnliche Repository-Zugriffe und den massenhaften Abfluss von Daten früh sichtbar macht.
Prioritäten für den Schutz von KI-Werten
- Proprietäre Modelle, Prompts, Trainingsdaten und Workflows als schützenswertes geistiges Eigentum inventarisieren.
- Cloud-, Repository- und KI-Zugangsdaten strikt trennen und ihre Berechtigungen begrenzen.
- Änderungen an CI/CD-Workflows und Software-Abhängigkeiten verbindlich prüfen.
- Exporte großer Modell- oder Datensammlungen überwachen und nachvollziehbar protokollieren.
- Erpressungsszenarien berücksichtigen, bei denen Daten veröffentlicht werden, obwohl die Systeme weiterlaufen.
Die wirtschaftliche Abwägung lautet damit nicht mehr nur SaaS-Abo gegen Eigenbetrieb. Wer KI selbst entwickelt oder hostet, baut einen wertvollen Unternehmensbestand auf. Dieser Vorteil bleibt nur erhalten, wenn Software-Lieferkette, Zugangsdaten und Forschungsbestände entsprechend geschützt werden.