Die Schadsoftware, die vier KI-Anbieter für die Planung ihrer Angriffe bezahlt

Am 22. September dokumentierte Cisco Talos CLOSEDQUORUM↗, ein Windows-Implantat, das die Arbeit des Angreifers an ein Komitee von Chatbots delegiert: Über jeden einzelnen Schritt stimmen bis zu vier kommerzielle KI-Modelle ab, ohne dass ein Bediener eingreift ¹. Wer Sicherheitssoftware einkauft, muss nun einen neuen Posten einpreisen: die Finanzierung von Erkennung gegen eine Angriffsphase, die keinen menschlichen Flaschenhals kennt – und die weiter klaut, ob jemand zusieht oder nicht. Eine Untersuchung, die Cisco einen Tag später veröffentlichte, setzte eine Zahl auf diese Lücke: 95 Prozent der Unternehmen sagen, ihre heutigen Werkzeuge für den KI-Betrieb kommen nicht mehr hinterher ².

Vier Modelle stimmen ab – den Ausschlag gibt DeepSeek

Die 16,4 Megabyte große, in Go geschriebene Binärdatei befragt DeepSeek, Qwen, Mistral und Gemini zum nächsten Schritt: injizieren, sich einnisten, stehlen oder weiterziehen. Die relative Mehrheit gewinnt, Gleichstand entscheidet DeepSeek, danach Qwen, Mistral und Gemini ¹. Ihr ständiger Prompt lautet: „Du bist ein fortgeschrittener Schadsoftware-Stratege. Liefere NUR ausführbare Entscheidungen.“ Schon eine einzige Stimme fürs Stehlen genügt, um in einem einzigen Durchlauf den LSASS-Speicher auszulesen, Passwörter aus Chrome, Edge und Firefox zu klauen sowie MetaMask-, Exodus- und Ethereum-Wallets zu extrahieren; die Beute, mit AES-256-GCM verschlüsselt, wandert an den Discord-Webhook des Betreibers. Danach entscheidet das Implantat in einer randomisierten Schleife von fünf bis 15 Minuten neu ¹³.

Aus dem Kommandoserver wird ein Abo

Blockieren ließ sich bei einem Angriff bislang vor allem der Server: eine Domain zum Sinkholen, eine IP-Adresse für die Sperrliste. CLOSEDQUORUM ersetzt ihn durch dieselben vier API-Endpunkte, die legitime Software den ganzen Tag über ansteuert. Wer diese Infrastruktur blockiert, legt damit seriöse Programme lahm ¹. In jeden Build kompiliert der Käufer eigene API-Schlüssel ¹; jedes Implantat wird so zum zahlenden Kunden der Anbieter, die es ansteuert – abgerechnet pro Aufruf. Aus dem öffentlich Vorliegenden geht nicht hervor, dass einer der vier den Datenverkehr je gemeldet hätte; laut Talos dürften die offensiven Prompts nur per TLS-Inspektion oder anbieterseitiger Telemetrie erkennbar sein ¹.

Vom Formulieren der Befehle zur Wahl der Mission

Die Reihe der Vorläufer ist kurz. Im Juli 2025 meldete das ukrainische CERT-UA LAMEHUG, ein Implantat, das seine Befehle über eine Hugging Face-API von einem Modell abrief; CLOSEDQUORUM geht einen Schritt weiter und überlässt den Modellen die Wahl der Mission ⁴. Der Talos-Forscher Ryan Fetterman kam in einem Sommer-Rückblick auf nur rund neun namentlich bekannte Familien von KI-integrierter Schadsoftware↗; CAIRN, das Toolkit, das Talos zusammen mit der Offenlegung als Open Source veröffentlichte, hat seitdem rund 20 weitere ans Licht gebracht ⁴. Die statische Analyse datiert die Binärdatei auf den 17. Juni – drei Monate vor der Offenlegung ¹.

Das Gegenmittel kommt vom Entdecker – einen Tag später

Cisco hat in Zahlen gefasst, was die eigenen Forscher zuvor benannt hatten. Eine Omdia-Befragung unter 1.000 IT-Verantwortlichen↗ ergab: 95 Prozent halten die bestehenden AIOps-Werkzeuge für unzureichend, 51 Prozent setzen bereits agentische KI im Produktivbetrieb ein, und 24 Prozent haben kein Problem damit, dass Agenten ohne menschliche Aufsicht handeln ². Produktchef Jeetu Patel sagt: „Abwehr kann nicht länger Menschenmaß haben“ ⁵. Der springende Punkt ist die Doppelrolle: Die Talos-Einheit, die CLOSEDQUORUM entdeckt hat, und die Produktsparte, die das Gegenmittel in dieselbe Angst verkauft, sind ein und dasselbe Unternehmen. Das Gegenmittel trägt einen Namen: AgenticOps – agentisch gesteuerte Netzwerkoperationen unter von Menschen festgelegten Leitplanken, verkauft zusammen mit der KI-gestützten Connect-and-Protect-Plattform, die sich 86 Prozent der Käufer als ein einziges integriertes Tool wünschen ².

Die Aufträge eilten dem Umsatz davon – und der Markt merkte es

Der Markt gab seine Stimme früh ab: Die Cisco-Aktie brachte in den zwölf Monaten bis zum 24. September eine Rendite von 62 Prozent ein, der S&P 500 eine von 16 Prozent↗ ⁶. In Ciscos Geschäftsjahr 2026 standen laut Unternehmensangaben 9,3 Milliarden Dollar an Aufträgen für KI-Infrastruktur – rund das 4,5-Fache des Vorjahres – einem KI-Umsatz von rund 4 Milliarden Dollar gegenüber; für das Geschäftsjahr 2027 hat sich der Konzern 7,5 Milliarden Dollar zum Ziel gesetzt ⁶.

Ein Produkt im Angebot, kein Ausbruch

Talos hat kein Opfer bestätigt, und die ausgelieferte Version ist wirkungslos: Platzhalter-API-Schlüssel, ein Dummy-Webhook ¹³. Ob die Probe ein Test oder ein Experiment ist, bleibt unklar ³. Talos deutet sie vielmehr als Credentials-as-a-Service-Baukasten, dessen Alleinstellungsmerkmal die autonome LLM-Schicht ist ¹: Ein Käufer ohne Programmierkenntnisse kann eine Angriffsphase mieten, die weiterarbeitet, während der Angreifer schläft.

Die Erkennung verlagert sich von Domänen auf Verhalten

Die verräterischen Merkmale liegen inzwischen im Verhalten: ein einzelner Windows-Prozess, der mehrere KI-Anbieter abfragt, auf LSASS zugreift und auf Discord postet ¹. Die Angriffsphase wartet nicht mehr auf ihren Bediener – und auf der Käuferseite beginnt die Rechnung dort, wo die eigene Umfrage des Entdeckers sie ansetzt: 95 Prozent sagen, dass ihre heutigen Werkzeuge nicht mehr Schritt halten ². Der erste harte Hinweis darauf, ob sich das Gegenmittel auszahlt, kommt mit Ciscos Bericht zum ersten Geschäftsjahresquartal – dem ersten Härtetest für das KI-Umsatzziel von 7,5 Milliarden Dollar ⁶.