Mehr als 12.000 exponierte KI-Systeme im Netz
Aktualisiert: vor 4 Tagen
KI-Sicherheitsvorfälle entstehen häufig nicht durch direkte Angriffe auf die Modelle selbst. Der „1H 2026 State of AI Security“-Bericht von TrendAI sieht die größeren Risiken in exponierten MCP-Servern, veralteter KI-Infrastruktur, unsicher verwalteten Zugangsdaten und kompromittierten Software-Lieferketten. Gleichzeitig kann KI die Ausnutzung bekannter Schwachstellen deutlich beschleunigen.
Mit der zunehmenden Verbreitung von KI-Systemen entstehen neue Angriffsflächen rund um Modelle und Anwendungen. Die von TrendAI untersuchten Vorfälle aus dem ersten Halbjahr 2026 zeigen dabei vor allem bekannte Sicherheitsprobleme: unauthentifizierte Zugänge, ungepatchte Software, schwaches Secret-Management und missbrauchte Vertrauensbeziehungen.
Für den Bericht „Aftershocks: When Fault Lines Move at Machine Speed — 1H 2026 State of AI Security“ wurden TrendAI-Telemetriedaten, eigene Schwachstellenforschung, eine Befragung von Teilnehmern des Pwn2Own-Wettbewerbs Berlin 2026 sowie öffentlich gemeldete Sicherheitsvorfälle ausgewertet.
Insgesamt identifizierte TrendAI 43.175 KI-bezogene Diensteinstanzen in 25 Branchen. Darunter befinden sich 1.468 Tools, die ausschließlich in einer einzigen Branche eingesetzt werden. Gerade solche spezialisierten Lösungen können zu blinden Flecken in Governance-Programmen werden.
KI beschleunigt die Ausnutzung bekannter Schwachstellen
Die Untersuchung kommt zu dem Ergebnis, dass KI nicht zwangsläufig völlig neue Angriffsarten hervorbringt. Vielmehr kann sie bestehende Angriffsmethoden beschleunigen. Die Analyse des Pwn2Own-Wettbewerbs zeigt, dass KI-gestützte Schwachstellenanalysen die Zeitspanne von der Offenlegung einer Sicherheitslücke bis zu einer einsatzfähigen Exploitation von Wochen auf Stunden verkürzen können.
85 Prozent der befragten Pwn2Own-Teilnehmer nutzen selbst Large Language Models in ihrer Sicherheitsforschung. Bei dem Wettbewerb wurden 47 Zero-Day-Schwachstellen aufgedeckt und rund 1,3 Millionen US-Dollar Preisgeld vergeben.
Gleichzeitig bleiben ältere Schwachstellen relevant. Mehr als 70 Prozent der im Untergrund nachgefragten Exploits richten sich gegen Sicherheitslücken, die bereits älter als zwei Jahre sind. Für Sicherheitsteams bedeutet das, dass sowohl neue als auch bereits länger bekannte Schwachstellen berücksichtigt werden müssen, während sich das Zeitfenster zwischen der Verfügbarkeit eines Patches und einer möglichen Ausnutzung verkürzt.
Exponierte MCP-Server und veraltete KI-Systeme
Ein weiterer Schwerpunkt des Berichts liegt auf der Infrastruktur rund um KI-Anwendungen. TrendAI identifizierte 1.467 exponierte MCP-Server. Diese Systeme können als Schnittstellen zwischen KI-Agenten und Unternehmenssystemen dienen und dabei Zugriff auf Datenbanken, Dateien und Anwendungen erhalten.
Auf 70 der untersuchten Hosts war die Funktion execute_sql erreichbar. Mindestens drei Server ermöglichten unauthentifizierten Zugriff auf Patientendaten. Eine Analyse von mehr als 19.000 MCP-Server-Quellcodes ergab zudem, dass 48 Prozent der Projekte empfehlen, Zugangsdaten in unsicheren .env-Dateien oder Klartext-Konfigurationen zu speichern.
Ähnliche Probleme stellte TrendAI bei weiterer KI-Infrastruktur fest. Von 12.461 frei erreichbaren Ollama-Instanzen lief nur eine Handvoll mit der aktuellsten Softwareversion. Die Vektordatenbank Chroma, die 2025 und 2026 bei Pwn2Own erfolgreich angegriffen wurde, ist laut Bericht ebenfalls häufig in einer veralteten Version öffentlich erreichbar.
Risiken sieht TrendAI zudem bei spezialisierten Branchenlösungen. Viele Governance-Programme konzentrieren sich auf bekannte Anbieter und Plattformen, während KI-Anwendungen etwa für Rechtsrecherche, Betrugserkennung oder medizinische Dokumentation nicht immer gleichermaßen erfasst werden.
Software-Lieferketten werden zum Angriffsweg
Die untersuchten Sicherheitsvorfälle zeigen außerdem die Bedeutung von Entwicklerplattformen und Software-Lieferketten. Angreifer müssen demnach nicht zwingend ein KI-Modell selbst kompromittieren, wenn sich über Paketregistries, Entwicklungsumgebungen, GitHub-Mechanismen oder OAuth-Berechtigungen Zugang zu Systemen erlangen lässt.
Als Beispiel nennt der Bericht manipulierte Versionen des KI-Gateways LiteLLM. Diese enthielten einen mehrstufigen Mechanismus zum Diebstahl von Zugangsdaten und zur lateralen Bewegung innerhalb von Kubernetes-Umgebungen. Entdeckt wurde der Angriff aufgrund eines Programmierfehlers in der Schadsoftware selbst.
Bei einem weiteren Vorfall wurde die VS-Code-Erweiterung Nx Console kompromittiert und zur Verbreitung eines Credential-Stealers genutzt. Nach einem Verpackungsfehler bei Claude Code erschienen zudem innerhalb von 24 Stunden gefälschte GitHub-Repositories, die vermeintlich geleakte Dateien anboten, tatsächlich jedoch Schadsoftware verbreiteten.
Die Ergebnisse des Berichts verlagern den Blick damit vom KI-Modell auf dessen technisches und organisatorisches Umfeld. Exponierte Schnittstellen, fehlende Updates, unsicher gespeicherte Zugangsdaten und Vertrauen in Entwicklungswerkzeuge können zu entscheidenden Angriffspunkten werden – während KI zugleich das Tempo erhöht, mit dem vorhandene Schwachstellen analysiert und ausgenutzt werden können.
it&d business Redaktion
Kommentare