Die Sicherheitsfirma CrowdStrike dokumentiert in ihrem aktuellen Threat Hunting Report gezielte Angriffe auf Firmenzugänge zu KI-Diensten. Bei einem im Mai 2026 erfassten Fall verschickte eine Angreifergruppe binnen zwei Minuten rund 200.000 Anfragen über ein gekapertes Konto, bevor eine automatische Drosselung eingriff.
Gekaperte Konten verursachen Anfrage-Fluten
Der Report führt das Phänomen unter dem Begriff „LLMjacking”: Angreifer erbeuten Zugangsdaten zu Firmenkonten bei KI-Anbietern und nutzen die freigeschalteten Kontingente für eigene Zwecke, etwa um automatisiert Anfragen an Sprachmodelle zu stellen. Im dokumentierten Mai-Fall eskalierte ein Angreifer zunächst eine kompromittierte Identität zu Administratorrechten und reichte anschließend passende Nutzungsformulare ein, bevor die Anfragen-Flut einsetzte. CrowdStrikes Beobachtungsteam OverWatch erfasste im Berichtszeitraum zudem eine präparierte Konfiguration eines Model-Context-Protocol-Servers in einer Honeypot-Falle, die gezielt Umgebungsvariablen und darin gespeicherte Zugangsdaten abgreifen sollte. Angriffstechniken, die sich direkt gegen den Zugang zu KI-Modellen richten, machten 16 Prozent der beobachteten Angriffsmuster im einschlägigen Bewertungsrahmen MITRE ATLAS aus. Adam Meyers, bei CrowdStrike für die Beobachtung gegnerischer Aktivitäten zuständig, erklärt, Unternehmen müssten KI-Systeme ebenso konsequent absichern, wie sie diese einführten. Der Report ordnet das Konto-Kapern zudem in einen breiteren Trend bei Identitätsdiebstahl ein: Vishing-Anrufe zur Herausgabe von Zugangsdaten hätten sich im ersten Halbjahr 2026 gegenüber dem zweiten Halbjahr 2025 verdoppelt, während Versuche per Geräte-Code-Phishing binnen sechs Monaten um das Fünfzehnfache zugenommen hätten. Bei der als Snarky Spider bezeichneten Gruppe habe der Weg von der Kontoübernahme bis zum Datenabfluss teils weniger als fünf Minuten gedauert.
Nordkoreanische Gruppe kapert KI-Framework über npm
Parallel dazu beschreibt der Report einen Lieferketten-Angriff auf das quelloffene KI-Agenten-Framework Mastra. Die auch als Sapphire Sleet bekannte, nordkoreanische Gruppe Stardust Chollima verschaffte sich laut Microsoft über Social Engineering auf LinkedIn Zugriff auf das Veröffentlichungskonto eines Mastra-Mitwirkenden. Am 16. Juni 2026 luden die Angreifer zunächst eine unauffällige Testversion einer als Datumsbibliothek getarnten Schadsoftware namens „easy-day-js” hoch. Einen Tag später veröffentlichten sie die eigentliche Angriffsstufe und versahen binnen zwanzig Minuten mehr als 140 Pakete des Mastra-Namensraums damit als Abhängigkeit. Die Schadsoftware deaktivierte die TLS-Zertifikatsprüfung, lud eine zweite Angriffsstufe nach und richtete sich dauerhaft auf Windows-, Mac- und Linux-Rechnern ein, wo sie unter anderem Kryptowährungs-Wallets und Browserdaten auslas. Die betroffenen Pakete kommen typischerweise auf Entwicklerrechnern, in automatisierten Build-Systemen und in produktiven KI-Diensten zum Einsatz – also genau dort, wo auch Zugangsschlüssel zu Sprachmodellen liegen. Dieselbe Gruppe hatte bereits im März 2026 mit gestohlenen Zugangsdaten eines Maintainers das npm-Paket Axios kompromittiert. Ihre Kampagnen richten sich nach CrowdStrikes Beobachtung bevorzugt gegen Finanzdienstleister, Kryptowährungsfirmen und Wagniskapitalgeber. npm entfernte die kompromittierten Versionen und entzog der Gruppe die Veröffentlichungsrechte, nachdem der Angriff aufgefallen war.
Angriffsfenster schrumpfen branchenweit deutlich
Über die beiden KI-Fälle hinaus registriert CrowdStrike branchenweit kürzere Reaktionszeiten von Angreifern. 88 Prozent aller öffentlich verfügbaren Angriffscode-Beispiele wurden binnen 48 Stunden nach Bekanntwerden aktiv genutzt. Die Ausnutzung frisch entdeckter Zero-Day-Lücken habe im Jahresvergleich um 42 Prozent zugenommen. Bösartige npm-Pakete stellten mit 87 Prozent den überwiegenden Teil aller im ersten Halbjahr 2026 entdeckten Bedrohungen in Software-Registries. Cloud-lastige Angriffe legten um 171 Prozent zu. Die Technologiebranche bleibe bereits im neunten Jahr in Folge das am häufigsten angegriffene Ziel, während Finanzdienstleister und akademische Einrichtungen die stärksten Zuwächse verzeichneten. CrowdStrikes über 290 beobachtete Angreifergruppen lösten demnach mittlerweile 2,5-mal häufiger automatisierte Warnhinweise aus als Fälle mit direktem menschlichem Eingriff. Ein bereits im Juli auf beckmann.ai beschriebener Fall, bei dem ein kompromittiertes Jscrambler-Paket gezielt API-Schlüssel von KI-Programmierwerkzeugen wie Claude Desktop und Cursor auslas, fügt sich in dieses Bild ein.
Offen bleibt, ob Unternehmen ihre KI-Konten künftig so konsequent überwachen wie klassische Nutzerkonten oder ob die Angreifer der schnelleren Reaktion einen Schritt voraus bleiben. CrowdStrike kündigte gemeinsam mit AWS für den 31. August 2026 einen Red-Teaming-Wettbewerb zur Absicherung von KI-Agenten an – ein erster konkreter Test, ob die im Report beschriebenen Lücken in der Praxis schließbar sind.
