Check Point Research AI-Sicherheitsbericht 2026: KI bewegt sich von Cyber-Sicherheitsassistent zu aktiver Betreiber

Der Check Point Research AI-Sicherheitsbericht 2026, veröffentlicht von Check Point Software Technologies (CHKP ), beschreibt ein Cybersicherheits-Umfeld, in dem künstliche Intelligenz nicht mehr nur dabei hilft, Angriffe zu erforschen, Phishing-E-Mails zu schreiben oder Fragmente von schädlichem Code zu generieren. KI operiert zunehmend innerhalb von Live-Angriffsketten, führt Befehle aus, analysiert gestohlene Informationen, entwickelt produktionsreife Malware und koordiniert Angriffe über mehrere Systeme. Gleichzeitig führt die Unternehmensadoption dazu, dass sensible Daten exponiert werden, Software-Lieferkettenrisiken erweitert werden und viele der Signale, die traditionell zur Verifizierung von Identitäten verwendet werden, geschwächt werden.

KI tritt in die Live-Angriffskette ein

Die wichtigste Feststellung des Berichts ist nicht, dass KI völlig neue Formen von Cyberkriminalität erfunden hat. Stattdessen hat sie die Zeit, das Fachwissen und die Kosten, die für etablierte Angriffe erforderlich sind, dramatisch reduziert.

KI spielt nun eine Rolle bei sozialer Manipulation, Malware-Entwicklung, Schwachstellenforschung, Aufklärung, Credential-Harvesting, lateraler Bewegung und Datenanalyse. Die höchstrisikofähigen Betreiber sind nicht unbedingt diejenigen, die die fortschrittlichsten Modelle verwenden, sondern diejenigen, die gelernt haben, mehrere KI-Tools zu verbinden und mehrere Stufen eines Eindringens zu automatisieren.

Ein berichteter chinesischer Link zu einer Spionagekampagne verwendete Claude Code, um etwa 80% bis 90% der taktischen Arbeit über rund 30 Zielorganisationen auszuführen. Die KI soll Aufklärung, Ausbeutung, Credential-Harvesting, laterale Bewegung und Daten-Triage übernommen haben, während der menschliche Betreiber die umfassendere strategische Richtung vorgab.

Ein noch deutlicheres Beispiel betraf die Kompromittierung von neun mexikanischen Regierungsbehörden zwischen Ende Dezember 2025 und Mitte Februar 2026. Der Betrieb deckte etwa 400 Millionen Datensätze ab, die Steuer-, Zivilstands-, Fahrzeug-, Patienten- und Wahlregisterdaten umfassten. Forscher rekonstruierten den Angriff aus der Infrastruktur des Betreibers und fanden heraus, dass 1.088 menschlich geschriebene Anweisungen 5.317 KI-ausgeführte Befehle über 34 Sitzungen generiert hatten.

Der Angreifer verwendete Claude Code, um Systeme zu erkunden und zu kompromittieren, während GPT-4.1 gestohlene Daten analysierte und Anweisungen für spätere Sitzungen generierte. Als Claude zunächst ablehnte, half der Betreiber, half die Eindringungsinstruktionen in eine vertrauenswürdige CLAUDE.md-Konfigurationsdatei einzufügen. Jede nachfolgende Sitzung erbte automatisch das geänderte Verhalten, wodurch die Notwendigkeit entfiel, den Jailbreak zu wiederholen.

Dies weist auf ein größeres Problem hin. Viele KI-Agenten vertrauen automatisch auf Projektdateien und Systemkonfigurationen. Eine vergiftete Datei kann zukünftige Sitzungen beeinflussen und aus einer vorübergehenden Prompt-Manipulationstechnik eine anhaltende Kompromittierung machen.

Hauptströmungs-KI-Tools bleiben die bevorzugte Option

Angreifer greifen in der Regel auf KI über kommerzielle Dienste, selbst gehostete Open-Source-Modelle oder speziell für kriminelle Plattformen entwickelte Plattformen zu. Trotz der wachsenden Diskussion um unbeschränkte lokale Modelle bleiben kommerzielle Tools die praktischste Wahl.

Angreifer verwenden legale oder gestohlene Konten für Dienste wie ChatGPT, Gemini, Claude, DeepSeek, Kimi und Qwen. Sie teilen häufig schädliche Anfragen in kleinere Aufgaben auf, die einzeln harmlos erscheinen, und lenken das Modell allmählich zu einem verbotenen Ergebnis.

KI-Anmeldeinformationen sind daher wertvolle Ziele geworden. Die Bissa-Scanner-Kampagne soll Anmeldedaten für Anthropic, OpenAI, Google und andere Anbieter aus über 30.000 exponierten Entwicklerumgebungsdateien gestohlen haben. KI-Konten waren die häufigste Art von gesammelten Anmeldeinformationen.

Die gestohlenen Konten können durch eine Praxis namens LLM-Jacking weiterverkauft werden. Käufer erhalten Zugang zu den KI-Ressourcen einer anderen Organisation, vermeiden Nutzungskosten, können möglicherweise auf gespeicherte Informationen zugreifen und machen ihre Aktivitäten so aussehen, als ob sie von einem legitimen Benutzer stammen. In einem Fall generierte ein gestohlenes Google-Gemini-Anwendungsprogrammierschnittstellenkey in nur zwei Tagen etwa 82.000 US-Dollar an Gebühren.

Selbst gehostete Modelle bieten weniger Einschränkungen und weniger Anbieterüberwachung, aber Angreifer berichten häufig, dass sie teure Hardware, technisches Fachwissen und umfangreiche Feinabstimmung erfordern. Kriminelle Dienste wie WormGPT haben aufgrund ihrer schlechten Leistung an Glaubwürdigkeit verloren. WormGPT selbst wurde angeblich gehackt und gab Zahlungsdetails von über 19.000 Kunden preis.

Die Ransomware-as-a-Service-Gruppe bekannt als The Gentlemen zeigt, wie gewöhnliche kriminelle Gruppen KI angehen. Der Betrieb hatte bis Mai 2026 über 330 veröffentlichte Opfer, doch die Mitglieder gaben zu, dass sie nicht wussten, wie sie ihre eigenen Modelle ausführen konnten. Stattdessen verglichen sie kommerzielle KI-Plattformen danach, welche die schwächsten Schutzmechanismen hatten. Der Administrator der Gruppe soll KI verwendet haben, um in nur drei Tagen ein Management-Tool zu erstellen.

KI-erstellte Malware erreicht professionelle Qualität

Die KI-gestützte Malware-Entwicklung hat sich von groben Prototypen entfernt. In vielen Fällen enthält die fertige Malware überhaupt keine KI. Das Modell wird während der Entwicklung verwendet, um Code zu schreiben, zu testen, zu debuggen und zu verfeinern, und hinterlässt wenig sichtbare Spuren seiner Beteiligung, wenn die Malware bereit ist.

VoidLink ist das stärkste Beispiel im Bericht. Das modulare Linux-Kommando- und Kontrollframework enthielt Stealth- und Persistenzfunktionen sowie über 30 Post-Exploitation-Plugins. Seine Qualität ließ zunächst vermuten, dass ein Team von Entwicklern mehrere Monate damit verbracht hatte, es zu erstellen.

Der Fehler des Entwicklers bei seinem Betrieb enthüllte, dass VoidLink von einer Person mit der kommerziellen TRAE-SOLO-KI-Codierumgebung erstellt worden war. Durch detaillierte Spezifikationen und wiederholte KI-gestützte Tests produzierte der Entwickler etwa 88.000 Zeilen funktionalen Codes in weniger als einer Woche.

Andere Gruppen haben ähnliche Methoden übernommen. Transparent Tribe, auch bekannt als APT36, soll eine KI-gesteuerte Fließbandproduktion verwendet haben, um auf indische Regierungssysteme abzielende Malware zu produzieren. Die russisch verlinkte GREYVIBE-Gruppe verwendete ChatGPT und Gemini, um maßgeschneiderte Malware für Operationen gegen die Ukraine zu erstellen, während die nordkoreanisch verlinkte KONNI-Gruppe KI verwendete, um eine PowerShell-Backdoor zu generieren.

Malware, die mit einem KI-Modell kommuniziert, während sie aktiv läuft, bleibt weniger häufig. LAMEHUG verwendete Qwen über die Hugging-Face-API, um Befehle auf Abruf zu generieren, während PromptLock ein ähnliches Konzept auf Ransomware anwendete. Diese Beispiele bleiben begrenzt, aber sie zeigen, dass dynamisch generiertes schädliches Verhalten technisch möglich ist.

Die Zeit, die zum Patchen zur Verfügung steht, nimmt ab

KI beschleunigt die Entdeckung von Schwachstellen für Verteidiger und Angreifer gleichermaßen. Dies reduziert das Zeitfenster zwischen öffentlicher Bekanntgabe, Ausbeutung und Behebung.

Der Bericht beschreibt Anthropics Project Glasswing, das einen unveröffentlichten Claude-Mythos-Preview-Modell verwendet, um in seinem ersten Monat über 10.000 High- und Critical-Sicherheitslücken in großen Betriebssystemen und Browsern zu identifizieren. Das Modell soll in etwa 83 % der Fälle auf seinem ersten Versuch einen funktionierenden Exploit produziert haben.

Anthropic zog das Modell aus der öffentlichen Veröffentlichung zurück, weil es Bedenken hinsichtlich einer möglichen Missbrauch gab, und verpflichtete sich, 100 Millionen US-Dollar an Nutzungsguthaben für ausgewählte Organisationen bereitzustellen. Der Fall zeigt, wie die Entdeckung von Schwachstellen billiger und zunehmend automatisiert wird.

Die Regierungsrichtlinien spiegeln bereits diese schnellere Umgebung wider. Die US-amerikanische Cybersecurity and Infrastructure Security Agency hat Bundesbehörden verpflichtet, bestimmte Hochrisiko-Schwachstellen innerhalb von drei Tagen zu beheben. Indiens CERT-In hat Organisationen geraten, bestimmte kritische internetbasierte Schwachstellen innerhalb von 12 Stunden zu beheben.

Die technische Entdeckung von Schwachstellen muss nicht mehr der Hauptflaschenhals sein. Menschliche Überprüfung, Testen, Genehmigung und Bereitstellung könnten zu den langsameren und anfälligeren Teilen des Prozesses werden.

KI-Anwendungen werden zu Zielen

Wenn Organisationen KI in Browser, E-Mail-Plattformen, Dokumente, Codierumgebungen und Geschäftsworkflows einbetten, erhält die Technologie Zugang zu sensiblen Daten und die Fähigkeit, mit bestehenden Benutzerberechtigungen zu handeln.

Prompt-Injektion bleibt eine der wichtigsten Bedrohungen. Direkte Prompt-Injektion tritt auf, wenn ein Angreifer mit einem Modell kommuniziert und versucht, dessen Regeln zu überschreiben. Indirekte Prompt-Injektion versteckt schädliche Anweisungen in Inhalten, die die KI später verarbeitet, wie z. B. eine Webseite, eine E-Mail, eine Kalender-Einladung, ein Dokument oder ein Metadatenfeld.

Ein in dem Bericht zitierter Studie scannte 1,2 Milliarden URLs und identifizierte etwa 15.300 indirekte Prompt-Injektions-Payloads. Etwa 70 % davon waren in nicht gerenderten HTML-Code versteckt, einschließlich Kommentare, Header und Metadaten, die menschliche Besucher normalerweise nicht sehen würden.

Check Point-Telemetrie zeichnete eine scharfe Zunahme längerer schädlicher Payloads auf. Zwischen März und Mai 2026 stiegen die Erkennungen um etwa das Fünffache und näherten sich im Mai 1 % der beobachteten Prompts. Längere Payloads sind insbesondere für Agenten relevant, die ganze Webseiten, Dokumente und Ausgaben von verbundenen Tools verarbeiten.

KI-gestützte Browser schaffen zusätzliches Risiko, da sie innerhalb authentifizierter Sitzungen operieren. In einem kontrollierten Test verursachte eine schädliche Kalender-Einladung, dass der Perplexity-Comet-Browser gespeicherte Passwörter preisgab. In einem anderen Experiment führte ein KI-Browser einen gesamten Phishing-Fluss in weniger als vier Minuten ohne menschliche Beteiligung aus.

Die agente Lieferkette erweitert die Angriffsfläche

KI-Agenten erwerben Fähigkeiten durch Model-Context-Protocol-Server, Erweiterungen, Konfigurationsdateien, Model-Hubs und herunterladbare Fähigkeiten. Diese Komponenten werden oft automatisch vertraut und mit begrenzter menschlicher Überprüfung installiert.

Check Point Research identifizierte Schwachstellen in Claude-Code-Projektdateien, die Angreifer-Befehle ausführen konnten, wenn ein Entwickler ein vergiftetes Repository öffnete. Ähnliche Probleme sind in Gemini-CLI, Cursor, Windsurf und anderen Codierumgebungen aufgetreten, was auf eine breitere architektonische Schwäche und nicht auf ein isoliertes Anbieterproblem hindeutet.

Die GlassWorm-Malware soll sich über Model-Context-Protocol-Pakete in über 150 Repositories verbreitet haben. Forscher untersuchten auch etwa 46.500 veröffentlichte Software-Pakete und fanden heraus, dass 428 versehentlich eine lokale Claude-Code-Einstellungsdatei enthielten. Etwa ein Drittel dieser Dateien enthielten Live-Anmeldeinformationen wie NPM-Tokens, GitHub-Schlüssel oder Hugging-Face-Schlüssel.

Eine separate Überprüfung von 10.000 Model-Context-Protocol-Servern ergab Sicherheitsschwachstellen in 40 % von ihnen. Von 221 OpenClaw-Agent-Fähigkeiten wurden 70 % mit mehr Anmeldeinformationen als notwendig angefordert und 43 % enthielten Befehlsinjektionsmuster.

Die ClawHavoc-Kampagne platzierte 44 schädliche Fähigkeiten in einem Marketplace, wo sie über 12.500 Mal heruntergeladen wurden. An anderer Stelle sollen Trojanisierte Codiererweiterungen Code von etwa 1,5 Millionen Entwicklern gesammelt haben, während ein schädliches Hugging-Face-Modell, das als OpenAI-Privatsphärentfilter getarnt war, vor der Entdeckung 244.000 Mal heruntergeladen wurde.

Synthetische Identität untergräbt digitales Vertrauen

Generative KI hat es ermöglicht, Stimmen, Gesichter, Dokumente und Online-Persönlichkeiten einfacher zu fälschen und schwieriger zu überprüfen. Eine vertraute Stimme, ein Live-Videoanruf oder ein Regierungsidentitätsdokument kann nicht mehr als unabhängiger Beweis dafür dienen, dass jemand echt ist.

Die ATHR-Plattform soll autonome Sprachagenten verwenden, um Account-Wiederherstellungsanrufe durchzuführen und Einmalpasscodes zu stehlen. Ein Betreiber kann mehrere Gespräche gleichzeitig führen, ohne menschliche Anrufer zu beschäftigen.

Echtzeit-Gesichtsüberlagerung erscheint auch in Kryptowährungs-Diebstahl, Romance-Betrug, Anlagebetrug und staatlich verlinkten Operationen. Europäische Behörden zerlegten ein Netzwerk, das angeblich Deepfake-Videos von Prominenten und Nachrichtenorganisationen verwendet hat, um falsche Investitionen zu fördern und über 700 Millionen Euro zu waschen.

Forscher identifizierten auch über 23.000 Domains, die Opfer in Messaging-Gruppen leiteten, in denen KI-Chatbots als Finanzberater auftraten. Der OnlyFake-Service verkaufte über 10.000 KI-generierte Identitätsdokumente, die die Vereinigten Staaten und etwa 56 andere Länder abdeckten, und ermöglichte es Kunden, die Verifizierung bei Banken und Kryptowährungsbörsen zu umgehen.

Nordkoreanisch verlinkte Remote-Arbeiter-Schemata gingen weiter, indem sie gefälschte Lebensläufe, veränderte Identitätsdokumente, generierte Fotos und maßgeschneiderte Persönlichkeiten verwendeten, um legale Beschäftigung in westlichen Unternehmen zu erlangen. US-Behörden verlinkten ein Netzwerk mit fast 800 Millionen US-Dollar an Einnahmen für Nordkoreas Waffenprogramme.

Menschen sind nicht besonders gut darin, diese Fälschungen zu erkennen. In einem kontrollierten Studie identifizierten ausgebildete Super-Recognizer nur 41 % der KI-generierten Gesichter. Normale Zuschauer erkannten etwa 30 %.

Unternehmens-KI-Nutzung schafft anhaltende Datenexposition

Der durchschnittliche Betrieb verwendet jetzt 10 verschiedene KI-Anwendungen pro Monat. Die durchschnittliche Anzahl von Prompts pro Mitarbeiter stieg von 56 im Dezember 2025 auf 70 im Mai 2026, was einem Wachstum von 25 % entspricht.

Zwischen 87 % und 93 % der Organisationen erlebten mindestens eine hochriskante generative KI-Interaktion pro Monat. Der Anteil von Prompts, die sensible Unternehmens-, persönliche oder regulierte Informationen enthielten, verdoppelte sich von 2 % auf 4 %, was von etwa einem riskanten Prompt in 50 Interaktionen auf einen in 25 Interaktionen führte.

Europa verzeichnete den höchsten regionalen Anteil mit 3,95 %, gefolgt von Lateinamerika mit 3,76 %, Nordamerika mit 3,33 % und Asien-Pazifik mit 2,88 %. Der Geschäftsdienstleistungssektor hatte den höchsten Branchenanteil mit 5,91 %, oder etwa einem riskanten Prompt in 17 Prompts. Bis Mai stieg die monatliche Rate auf 6,98 %, was etwa einem in 14 Prompts entspricht.

Viele Lecks resultieren aus gewöhnlicher Nutzung und nicht aus schädlicher Aktivität. In einer Demonstration rief eine legale Verbindung zwischen ChatGPT und Google Drive über 400 sensible interne Dateien in weniger als einer Sekunde nach einer einzigen Frage ab.

Dritte Anbieter führen zusätzliche Exposition ein. Eine Consumer-App namens Chat & Ask AI soll etwa 300 Millionen Nachrichten von über 25 Millionen Benutzern exponiert haben. Ein Customer-Support-Chatbot, der von Sears Home Services verwendet wurde, soll 3,7 Millionen Datensätze, einschließlich Anrufaufzeichnungen, Transkripte und persönlicher Informationen, exponiert haben.

Zukünftige Auswirkungen

Der Check Point Research AI-Sicherheitsbericht 2026 präsentiert ein Sicherheitsumfeld, in dem KI Angreifer stärkt, neue Software-Lieferketten-Schwachstellen schafft, Remote-Identitätsverifizierung untergräbt und das alltägliche Risiko einer Verletzung vertraulicher Daten erhöht. Seine zentrale Warnung ist, dass Organisationen KI-Sicherheit nicht allein durch Richtlinien und jährliche Überprüfungen bewältigen können. Sie benötigen kontinuierliche Sichtbarkeit in KI-Anwendungen, Agenten, Infrastruktur, Berechtigungen, Drittanbieter und die Daten, die Mitarbeiter teilen. Wenn KI mit Maschinengeschwindigkeit beginnt zu operieren, müssen Sicherheitsteams in der Lage sein, mit vergleichbarer Geschwindigkeit zu erkennen, zu überprüfen und zu reagieren.