Die gemeinnützige KI-Prüforganisation METR hat am 31. August 2026 zwei eigene Sicherheitsvorfälle aus den Monaten März und Mai 2026 offengelegt. Beim folgenreicheren der beiden erbeuteten Angreifer über eine falsch abgesicherte interne Anwendung einen Zugangsschlüssel und verbrauchten damit unbemerkt über drei Wochen Guthaben im Wert von rund 600.000 Dollar.
Fehlkonfigurierte Testanwendung öffnet Zugriff auf Zugangsschlüssel
Ausgangspunkt war laut METR eine Agenten-Orchestrierungs-Anwendung, die ein Mitarbeiter auf einer privaten Amazon-EC2-Instanz betrieb – eigentlich abgesichert durch eine Google-Anmeldung. Ein Programmierfehler schaltete diesen Schutz jedoch stillschweigend ab und öffnete das System mehrere Tage lang für das gesamte Internet. Der Angreifer fand die Instanz vermutlich, indem er Zertifikatstransparenz-Listen nach neu registrierten Seiten mit auffälligen KI-Agenten-Begriffen durchsuchte.
Anschließend forderte er den laufenden Agenten direkt auf, seinen eigenen Zugangsschlüssel für das Sprachmodell preiszugeben, richtete zusätzlich einen SSH-Zugang für dauerhaften Zugriff ein und nutzte die erbeuteten Daten, um drei Wochen lang Guthaben auf öffentlich zugänglichen Modellen zu verbrauchen. Der daraus resultierende Wert von rund 600.000 Dollar – von METR selbst beziffert und unabhängig nicht verifiziert – ergab sich aus dem Marktpreis der verbrauchten Rechenleistung, nicht aus einer realen Rechnung, da der Modellanbieter das Kontingent kostenlos bereitgestellt hatte. Weil METR im Rahmen seiner Testreihen ohnehin große Mengen an Modellabfragen verursacht, fiel die ungewöhnliche Auslastung zunächst nicht auf; das interne Dashboard zeigte zudem nicht jede gedrosselte Anfrage einzelner Nutzer an, und für den betroffenen Schlüssel bestand kein Ausgabenlimit. Nachdem interne Prüfer den Missbrauch bemerkten, isolierte METR die betroffene Instanz, sicherte ein Abbild für die forensische Auswertung, tauschte alle betroffenen Zugangsdaten aus und ließ den Rechner des verantwortlichen Mitarbeiters neu aufsetzen. Der Sicherheitsdienstleister Calif bestätigte anschließend die Ergebnisse der internen Untersuchung.
Zweiter Angriff zielt auf unveröffentlichte Testprotokolle
Im Mai 2026 registrierte METR eine zweite, nach eigener Einschätzung finanziell motivierte Angriffswelle gegen die öffentlich erreichbare Infrastruktur der Organisation. Die Angreifer setzten dabei selbst KI-Agenten ein, um systematisch nach Schwachstellen zu suchen: Sie probierten gestohlene Zugangsdaten in großer Zahl durch, versuchten OAuth-Freigaben zu erschleichen, scannten neu bereitgestellte Dienste und kontaktierten Mitarbeitende per Phishing-Mail.
Dabei entdeckten sie eine schreibgeschützte Abfrageschnittstelle im öffentlichen Transkript-Betrachter von METR, einem Werkzeug, über das Testprotokolle einsehbar sind. Ein Softwarefehler hätte darüber theoretisch auch den Zugriff auf unveröffentlichte Bewertungsdaten samt einzelner sensibler Modellausgaben ermöglicht. Ein unabhängiger Sicherheitsforscher fand die Lücke jedoch zuerst, meldete sie METR und erhielt dafür eine Prämie. Nach Angaben der Organisation gibt es keine Hinweise darauf, dass die Angreifer die Schwachstelle selbst fanden oder ausnutzten. Aus Vorsicht nahm METR während der Untersuchung nahezu alle öffentlich erreichbaren Dienste zeitweise vom Netz, bevor eine eigens abgeschottete Produktivumgebung für öffentliche Anwendungen entstand, getrennt von der internen Infrastruktur. METR ordnet interne Daten vier Vertraulichkeitsstufen zu; die beiden sensibelsten Kategorien blieben nach eigener Prüfung in beiden Vorfällen unberührt.
Vorfall reiht sich in wachsende Serie gestohlener KI-Zugänge ein
Der Fall reiht sich in eine wachsende Serie von Vorfällen ein, bei denen gestohlene Zugangsdaten zu KI-Diensten im Zentrum stehen – etwa beim Angriff auf das quelloffene Gateway LiteLLM mit mehr als 2500 betroffenen Unternehmen. Auch das Sicherheitsunternehmen CrowdStrike hatte zuletzt vor gezielt gekaperten Firmenzugängen zu KI-Diensten gewarnt. Erst im Juli hatte METR selbst nach dem Einbruch von OpenAI-Agenten bei Hugging Face unabhängige Prüfungen von KI-Agenten gefordert. Externe Berichte, etwa von The Hacker News, stützen sich dabei im Kern auf METRs eigene Darstellung, wonach bei beiden aktuellen Vorfällen keine besonders schützenswerten Daten abgerufen worden seien. Eine Zuordnung zu einer bekannten Angreifergruppe gibt es bislang nicht; METR bezeichnet die Angreifer des zweiten Vorfalls lediglich als mutmaßlich finanziell motiviert, ohne weitere Details zu nennen.
Als strukturelle Konsequenz hat METR nach eigenen Angaben eine dedizierte Sicherheitsstelle geschaffen, die Zusammenarbeit mit Calif für laufende Sicherheitsprüfungen ausgeweitet und regelmäßige Bedrohungsanalysen eingeführt. Zugangsschlüssel sollen künftig kürzere Laufzeiten und engere Berechtigungen erhalten, zudem baute die Organisation ihre Protokollierung aus und rüstete Server mit zusätzlicher Schutzsoftware aus.
Der eigentliche Knackpunkt liegt darin, dass ausgerechnet eine Organisation, die andere Firmen vor riskantem Verhalten ihrer KI-Agenten warnt, durch eine simple Fehlkonfiguration einer selbst gebauten internen Anwendung verwundbar wurde. Offen bleibt, ob METR die Identität der Angreifer noch ermitteln kann oder beide Fälle wie bislang unaufgeklärt bleiben.
